Diese Nummer sollte man sich merken: ISO 27701. Und nein, kein Tippfehler – gemeint ist nicht ISO 27001, sondern ISO/IEC 27701. Dies ist die neue Ergänzungsnorm für ein Datenschutz-Managementsystem. Nanu, darüber wurde doch schon am 04. März 2019 hier berichtet. Was ist neu? Neu ist, dass die vormals im Draft ISO/IEC 27552 genannte Norm final […]
Datenschutz-Grundverordnung
Wann ist eine Datenschutz-Folgenabschätzung erforderlich? Zur Stellungnahme des Europäischen Datenschutzbeauftragten
Der Europäische Datenschutzbeauftragte (EDPS) hat sich am 16.07.2019 zu den Kriterien für die Erforderlichkeit einer Datenschutz-Folgenabschätzung geäußert. Zur Erinnerung: Eine Datenschutz-Folgenabschätzung ist gem. Art. 35 DSGVO für den Verantwortlichen insbesondere dann erforderlich, wenn „[…]eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich […]
Forum shopping between data protection authorities?
The data protection authority (DPA) of the German federal state of Hamburg recently opened administrative proceedings against Google. It relates to Google’s “Google Assistant” System, the natural language assistant behind the “Google Home” speaker, and transcripts from it. The Belgian public broadcaster VRT NWS recently revealed that recordings from “Google Assistant” were systematically listened to […]
“Forum shopping” zwischen Aufsichtsbehörden?
Die Datenschutzbehörde des Landes Hamburg hat kürzlich ein Verwaltungsverfahren gegen Google eröffnet. Es bezieht sich auf das Google-System „Google Assistant“, den Sprachassistenten hinter dem „Google Home“ -Lautsprecher, und Abschriften daraus. Der belgische öffentlich-rechtliche Sender VRT NWS hat kürzlich veröffentlicht, dass Aufzeichnungen von „Google Assistant“ systematisch von Menschen abgehört und transkribiert wurden: von freiberuflichen Google-Vertragspartnern. In […]
Europaweit einheitliche Fristberechnung bei der Meldung von Datenpannen?
In Anbetracht der hohen Sanktionsmöglichkeiten der DSGVO kommt der Einhaltung von Fristen eine besondere Bedeutung zu. In der Praxis spielt insbesondere die korrekte Bemessung der 72-Stundenfrist zur Meldung von Datenpannen für Unternehmen eine wichtige Rolle. Die Pflicht zur Meldung nach Art. 33 DSGVO setzt in dem Zeitpunkt ein, in dem die Verletzung dem Verantwortlichen bekannt […]
Datenschutzmanagement-System – Alles im Griff?
Die Datenschutzgrundverordnung (DSGVO) mit ihrer Umsetzung stellt für viele Unternehmen eine große Aufgabe dar. Sie verpflichtet Unternehmen ein Datenschutzmanagement einzuführen, das den Schutz der personenbezogenen Daten im Unternehmen sicherstellen soll. Doch welche Gründe sprechen für die Einführung eines Datenschutzmanagement-Systems (DSMS) bzw. welche Ziele können durch den Einsatz erreicht werden? Exemplarisch haben wir die folgenden drei […]
Ist die Kommunikation per E-Mail wirklich unsicher?
Im jüngsten Tätigkeitsbericht von 2019 (S. 99) des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein und (auch in einigen anderen) findet sich die Feststellung, dass ein unverschlüsselter Versand von personenbezogenen Daten per E-Mail nicht ausreichend sicher sei. Leider wird nicht weiter darauf eingegangen, was genau mit „Verschlüsselung“ gemeint ist. Geht es hier um die Verschlüsselung des Inhalts […]
Annual Report of the Finish Data Protection Authority
The Finnish data protection authority (the Office of the Data Protection Ombudsman) has recently published its annual reports on May 17th 2019.[1] This short article summarizes the most interesting fact regarding the English summary report. Major Focus Points of the Finnish Data Protection Authority The authority plans to focus until 2020 on the data subject’s […]
Bußgeld gegen Stadtverwaltung
Die Norwegische Datenschutzaufsicht Datatilsynet hat ein Bußgeld in Höhe von umgerechnet 170.000 Euro gegen die Stadtverwaltung von Bergen verhängt. Der Fall Über 35.000 Benutzerkonten von Schülern und Schulangestellten waren offen zugänglich. Fehlende Sicherheitsmaßnahmen führten dazu, dass sich jeder in unterschiedlichste Informationssysteme einloggen konnte. Dabei waren Daten wie Name, Passwort, Geburtsdatum, Adresse, Schulzugehörigkeit und Schulnote des […]
GUIDELINES ON THE PROCESSING OF PERSONAL DATA UNDER ARTICLE 6(1) (B) GDPR: EDPB BEGINS PUBLIC CONSULTATION
As anticipated under the provision of Article 70(4) of the GDPR, the European Data Protection Board (EDPB), on the 12th April 2019 began a public consultation on the Guidelines 2/2019 on the processing of personal data under Article 6(1) (b) GDPR in the context of the provision of online services to data subjects (the Guidelines), with the […]
Erneuter Anlauf im Bundesrat zur Änderung des BDSG-NEU
Die Datenschutzgrundverordnung (DSGVO) und das an sie angepasste neue Bundesdatenschutzgesetz (BDSG-NEU) feiern demnächst ihren ersten Geburtstag. Trotz des jungen Alters gibt es nun schon zum wiederholten Mal Bestrebungen zur Änderung des BDSG-NEU. Zuletzt hatten im Oktober 2018 die Bundesratsausschüsse für Inneres und Wirtschaft in einer Empfehlung an die Bundesregierung (letztlich erfolglos) Änderungen im BDSG-NEU vorgeschlagen. […]
Datenminimierung und Löschkonzepte – Aufsichtsbehörde in Dänemark empfiehlt Bußgeld von über 160.000€
Nachdem in Dänemark von der zuständigen Aufsichtsbehörde wegen unzureichender Löschung und mangelhafter Dokumentation ein Sanktionsverfahren gegen einen Taxi-Plattform-Betreiber eingeleitet wurde[1], rückt das ohnehin brisante Thema rund um Löschkonzepte wieder vermehrt in den Fokus. Dieser Beitrag schildert zunächst die Hintergründe des Verfahrens in Dänemark und zeigt dann auf, was ein Löschkonzept grundsätzlich leisten muss, um den […]
Datenschutzfolgenabschätzungen und Videoüberwachung in Liechtenstein
Nicht nur in der EU, sondern auch innerhalb des EWRs gilt die DSGVO unmittelbar. Wie wir berichteten, hat das Fürstentum Liechtenstein entsprechend auch sein nationales Datenschutzgesetz angepasst. Nunmehr hat die Datenschutzstelle als Aufsichtsbehörde des Fürstentums Liechtenstein auch eine eigene Liste (sog. Blacklist) von Verarbeitungstätigkeiten veröffentlicht, bei denen Datenschutzfolgeabschätzungen durchzuführen sind, und ein Meldewesen für Videoüberwachungen […]
The Long Arm of the GDPR
The new General Data Protection Regulation (GDPR) strictly regulates the collection, use and storage of personal data, but does the long arm of the law stretch beyond the EU borders more than anyone could have anticipated? If you are surfing the web to see who the GDPR applies to, you could come to the conclusion […]
Bewerbungsdaten in US-Cloud – Verschlüsselung ist Pflicht
Cloud-basiertes Bewerbermanagement Nicht nur Großkonzerne, sondern auch klein- und mittelständige Unternehmen gehen verstärkt dazu über, ihr Bewerbermanagement über cloud-basierte Web-Applikationen durchzuführen. Sämtliche Kommunikation mit dem Bewerber, aber auch Bewerbungsunterlagen, die Ergebnisse von vorgeschalteten Assessment Centern werden hierbei nicht mehr über klassische Client-Server-Anwendungen unterstützt, sondern über Web-Applikationen, die von jedem Client aus browserbasiert genutzt werden können. […]