Gesundheitsdatenverarbeitung durch die Privatwirtschaft in der Corona-Pandemie
31.03.2021
Dürfen Restaurant- oder Veranstaltungsbesuche davon abhängig gemacht werden, dass Besucher eine Anti-Corona-Impfung oder eine überstandene Infektion nachweisen bzw. ein negatives Testergebnis vorlegen können?
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat sich mit dieser Frage befasst und eine Entschließung veröffentlicht.
Stellungnahme zur digitalen Kontaktnachverfolgung
29.03.2021
Verschiedene Unternehmen bieten in der Corona-Pandemie Apps zur Infektionsnachverfolgung an. Mit den digitalen Lösungen werden die Kontaktdaten von Kunden, Gästen oder Veranstaltungsteilnehmern verarbeitet. Diese Verfahren müssen datenschutzkonform erfolgen. Darauf weist die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hin. In ihrer Stellungnahme bennennt die DSK technische Aspekte, die App-Entwickler berücksichtigen sollten. Außerdem fordert sie den Gesetzgeber auf Landes- und Bundesebene dazu auf, bundeseinheitliche gesetzliche Regelungen zur digitalen Kontaktnachverfolgung zu schaffen.
Stellungnahme zur Kontaktnachverfolgung in Zeiten der Corona-Pandemie (PDF-Datei)
Datenpannen-Meldungen wegen Sicherheitslücken auf Microsoft Exchange-Servern
12.03.2021
Aufgrund von Schwachstellen in Microsoft Exchange-Servern erreichen die Dienststelle derzeit vermehrt Meldungen von Verletzungen des Schutzes personenbezogener Daten nach Artikel 33 Datenschutz-Grundverordnung (DSGVO). Vergangene Woche hatte Microsoft kurzfristig neue Sicherheitsupdates für Exchange-Server veröffentlicht, die von Betroffenen unverzüglich installiert werden sollten, um die Sicherheitslücken zu schließen. In einer Pressemitteilung informierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 5. März über die neue, außerordentlich kritische Gefährdungslage, die sofortiges Handeln der betroffenen Unternehmen erfordert.
Zu diesem sofortigen Handeln gehört nicht nur die unverzügliche Installation der bereitstehenden Sicherheitsupdates, sondern auch die unbedingte Überprüfung, ob eine Kompromittierung des Exchange-Servers des Verantwortlichen tatsächlich stattgefunden hat. Zur dazu erforderlichen Vorgehensweise hat das BSI hier die erforderlichen Informationen zusammengestellt und auf YouTube ein etwa einstündiges Video zum Hintergrund und den notwendigen Aktivitäten veröffentlicht. Das Ergebnis dieser Prüfung ist für die weitere Bewertung des Vorfalls durch den Verantwortlichen wie auch der Datenschutzaufsichtsbehörde von wesentlicher Bedeutung.
Wann ist ein Vorfall im Zusammenhang mit diesen Exchange-Server-Schwachstellen meldepflichtig? Wann sind Betroffene zu informieren?
Sofern eine Kompromittierung des Exchange-Servers nach sachkundiger Prüfung mittels der vom BSI empfohlenen Vorgehensweise nicht ausgeschlossen werden kann, stellt dies einen meldepflichtigen Vorfall im Sinne des Art. 33 DSGVO dar. Darüber hinaus ist eine Risikoabwägung zu treffen. Wenn Ihre Prüfung ergibt, dass durch die Verletzung des Schutzes personenbezogener Daten ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht, ist der betroffene Personenkreis durch den Verantwortlichen nach Artikel 34 DSGVO unverzüglich zu unterrichten. Von einem hohen Risiko ist dann auszugehen, wenn die Eintrittswahrscheinlichkeit und die Schadensauswirkungen entsprechend hoch eingeschätzt werden. Dies ist insbesondere bei einer Betroffenheit von besonders sensiblen personenbezogenen Daten im Sinne des Artikels 9 DSGVO möglich. Weitere Informationen zur Beurteilung finden Sie im Kurzpapier der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (PDF-Datei).
Geplantes Registermodernisierungsgesetz: Großer Schritt zum gläsernen Bürger
02.03.2021
Am Freitag, den 5. März 2021, stimmt der Bundesrat über die Einführung des Registermodernisierungsgesetzes ab. Es sieht vor, dass die Steuer-ID nunmehr zu einer allgemeinen Identifikationsnummer in der öffentlichen Verwaltung wird.
Dazu erklärt der Sächsische Datenschutzbeauftragte Andreas Schurig: „Durch die Schaffung eines einheitlichen und verwaltungsübergreifenden Personenkennzeichens besteht die Gefahr, dass umfangreiche Persönlichkeitsprofile erstellt werden – ein großer Schritt zum gläsernen Bürger. Zudem hat Sachsen historische Gründe, ein solches Personenkennzeichen abzulehnen. In der DDR war Anfang der 70er Jahre eine umfassende Personenkennzahl eingeführt worden, die zur Kontrolle der Bevölkerung genutzt wurde. Daher appelliere ich an die Sächsische Staatsregierung, dem Gesetzentwurf im Bundesrat nicht zuzustimmen.“
Einsatz von Consent-Layern auf Webseiten
26.02.2021
Wenn Website-Betreiber auf ihren Seiten personenbezogene Daten sammeln und verarbeiten wollen, benötigen sie eine datenschutzrechtliche Einwilligung der Nutzerinnen und Nutzer. Um die Zustimmung einzuholen, kommen meist sogenannte Consent-Layer zum Einsatz, die oftmals auch Consent-Banner als Cookie-Banner bezeichnet werden. Was Webseiten-Verantwortliche im Umgang mit Consent-Tools beachten sollten, ist in der nachfolgenden Handreichung erläutert.
Handreichung zu datenschutzkonformen Einwilligungen auf Webseiten (PDF-Datei)
