DS-GVO aktuell

8. April 2025

Warnung!

Phishing-Nachrichten über vertrauenswürdige Plattformen
Angreifer / Cyberkriminellen versuchen Sie mit echten Systemnachrichten auszutricksen.

Was steckt dahinter?

Potenzielle Angreifer / Cyberkriminellen……

1. richten sich ein „echtes“ Konto bei einem Anbieter wie z.B. Microsoft 365, Google Drive, Paypal oder Docusign ein. Hierzu benutzen die Cyberkriminellen eine sehr kreativen „Organisationsbezeichnung“, wie z.B.

„Ihr Abonnement wurde erfolgreich für [000,00 € / $] über Ihr Girokonto erworben. Wenn Sie diese Transaktion nicht autorisiert haben, rufen Sie bitte [+00 000 0000] an, um eine Rückerstattung zu beantragen.“

2. laden eine angebliche Rechnung für das Abonnement in Form eines PDFs (oder eine leere Schadcode behaftete Datei), zum Beispiel bei OneDrive in diesem Konto hoch.

3. teilen dieses Dokument mit dem Anwender bzw. Empfänger der Phishing-Nachricht.
Ein simpler, aber überaus raffinierter Trick, um Anwender dazu zu bringen Malware-belastete Dokumente zu öffnen.

Woher stammt diese Information?

Das Threat-Labs-Team des Security-Awareness-Spezialisten Knowbe4 beobachteten Anfang März 2025 einen massiven Anstieg von Phishing-Angriffen, die von legitimen Microsoft-Domains ausgingen. Innerhalb von 30 Minuten hätten die Experten 7.000 Angriffe registriert, die über die E-Mail-Adresse microsoft-noreply@microsoft.com ausgingen.

Wo liegt das Risiko?

Da die Angreifer / Cyberkriminellen das schädliche Dokument über einen echten, vermeintlichen vertrauenswürdigen Account hochladen, wird die Nachricht möglicherweise auch durch erfahrene Benutzer als legitim angesehen werden.

Wie erkennt man diesen Angriff?

Im Feld „im Auftrag von.“ steht nicht wie erwartet die Organisation, bei den Sie den Vertrag abgeschlossen haben, sondern die eigentliche Nachricht.

Beispielsweise:

Von: Microsoft OneDrive microsoft-noreply@microsoft.com

Im Auftrag von: Ihr Abonnement wurde erfolgreich für [000,00 € / $] über Ihr Girokonto erworben. Wenn Sie diese Transaktion nicht autorisiert haben, rufen Sie bitte [+00 000 0000] an, um eine Rückerstattung zu beantragen.

Betreff: [Microsoft] hat eine Datei mit Ihnen geteilt

15. Februar 2025

Beschwerdeunabhängige Kontrollen durch Datenschutzbehörden

Auf gleicher Weise wie der HmbBfDI 2023 nach datenschutzrechtlichen Kennzahlen fragt, könnte zu jeder Zeit eine gleichartige Anfrage von Ihre Landesdatenschutzbehörde auch in Ihren Briefkasten landen.

Die Behörden nutzen verschiedene Methoden wie Fragebögen, Vor-Ort-Prüfungen oder technische Analysen, um mögliche Datenschutzverstöße aufzudecken.

Um auf eine Kontrolle gut vorbereitet zu sein, sollten Verantwortliche im Unternehmen oder Verein regelmäßig ihre Datenschutzmaßnahmen überprüfen.

Lesen Sie hier mehr dazu

7. Februar 2025

Kann „Microsoft CoPilot“ datenschutzkonform eingesetzt werden?

Microsoft CoPilot steht seit einiger Zeit kostenfrei zur Verfügung und ist ebenso wie „Microsoft CoPilot with commercial Data Protection“  mit weniger Funktionen und Sicherheitseinstellungen als der „CoPilot for Microsoft 365“ ausgestattet.

Dies bedeutet, dass ….

Microsoft CoPilot, auch mit der Lizenz „with commercial Data Protection“,
(„mit kommerziellem Datenschutz“)

nicht Datenschutzkonform (DS-GVO) einsetzbar ist.

Verwirrend und für einige überraschend wird sein, dass der Einsatz von Microsoft CoPilot (Generativ / with commercial Data Protection) nicht per se ausgeschlossen ist. Sofern diese KI nicht in einem Zusammenhang mit personenbezogenen Daten verwendet wird, ist eine Verwendung durchaus möglich.

Lesen Sie hier mehr dazu

30. Januar 2025

Deepseek ist in aller Munde und bringt sogar die Tech-Giganten an den Börsen ins Wanken.

Klar, dass wir alle diese KI mal ausprobieren möchten. Aber Datenschutzrechtlich ist einiges im Argen und sollte vor allem in unternehmerischen Bereich bedacht werden.

Nach Aussagen von Datenschutzexperten fehle es Datenschutzrechtlich „an so ziemlich allem“.

Deepseek weist in seine Datenschutzrichtlinien daraufhin, dass das Unternehmen umfangreiche Benutzer- Informationen durch die App erfasst. Außerdem ist dort zu lesen – „Wir speichern die von uns erfassten Daten auf sicheren Servern in der Volksrepublik China“.

Aus diesem Grund müssen sich DeepSeek-Nutzer darüber im Klaren sein, dass alle Daten, die mit der Plattform geteilt werden, auf Anfrage auch dem Zugriff der Regierung in China unterliegen können.

Als besonders datenschutzrechtlich problematisch gelten die Speicherung und Verwendung von;

·         der IP-Adresse,

·         Datum und Uhrzeit der Anforderung

·         Name der angeforderten Datei

·         Seite, von der aus der Datei angefordert wurde

·         Zugriffsstatus (Datei übertragen, Datei nicht gefunden, etc.)

·         verwendeter Webbrowser und verwendetes Betriebssystem

·         Sprache und Version der Browsersoftware

·         Chatverläufe,

·         Audiodateien,

·         hochgeladene Dateien,

·         den Mustern und dem Rhythmus der Tastaturanschläge. (Keylogging)

Die DS-GVO erlaubt nur eine Übermittlung von personenbezogenen Daten mit Staaten, deren Schutzniveau, mit dem in der Europäischen Union vergleichbar sind. Zurzeit fehlt es jedoch an einem Abkommen zwischen China und der EU. Somit ist eine Datenaustausch von personenbezogenen Daten, wie z.B. die IP-Adresse, rechtlich nicht erlaubt.

29. Oktober 2024

Dienstliche E-Mails an Ihre private E-Mail-Adresse weiterleiten

Darf man das?

Kurz zusammengefasst:

Das OLG München (Az. 7 U 351/23 e) entschied kürzlich das dies als ein schwerer Vertrauensbruch gewertet wird und eine fristlose Kündigung nach § 626 BGB rechtfertigt.

Hat Ihr Unternehmen bereits Richtlinien zu dem Umgang mit dienstlichen E-Mails herausgegeben? Gibt es klare Anweisungen und/oder Schulungen zu diesem Thema?

Wenn nicht, dann besteht ein akuter Handlungsbedarf!

Hier erfahren Sie mehr

Ich berate Sie gerne persönlich und freue mich über Ihre Kontaktaufnahme.

Bei Fragen, Anregungen oder Interesse an einer Beratung stehe ich Ihnen gerne persönlich zur Verfügung.

Sie erreichen mich über mein Rückrufservice.

11. September 2024

Auskunftanfrage nach Art. 15 DS-GVO – Empfängerkategorien reichen meist nicht aus!

Informationen zum Verfahren ( Vorabentscheidungsersuchen) EuGH C-154/21 – 12.01.2023

Kurz zusammengefasst:

Nach Art. 15 Datenschutz-Grundverordnung hat jeder Kunde Ihres Unternehmens, aber auch jeder (Ex-)Mitarbeiter, Bewerber, Aushilfskraft oder Praktikant das Recht Auskunft darüber verlangen, welche personenbezogenen Daten Sie von ihm erhoben und an wen Sie diese weitergegeben haben. Der Europäische Gerichtshof (EuGH) hat bereits 2023 klargestellt, wie die Auskunft über die Empfänger der personenbezogenen Daten auszusehen hat.

 Hier erfahren Sie mehr

14. August 2024

Der EuGH hat ein, mit einem Bezug zur Datenschutzverstößen von Auftragsverarbeitern, wegweisendes Urteil getroffen.

Informationen zum Verfahren ( Vorabentscheidungsersuchen) EuGH C-683/21 – 14.12.2023

Kurz zusammengefasst:

Mit diesem Urteil wird klargestellt, dass auch dann seitens des Verantwortlichen eine Verantwortung für Datenschutzverstöße besteht, wenn diese nicht von einem Mitarbeiter, sondern von einem Auftragsverarbeiter begangen wurde. Voraussetzung ist, dass die betreffenden Verarbeitungsvorgänge im Namen des Verantwortlichen, also der Auftraggeber, durchgeführt wurden und der Verstoß somit im Zuge der Auftragserfüllung erfolgte.

 Hier erfahren Sie mehr

14. Dezember 2023

Schadensersatz bei einem möglichen Missbrauch von persönlicher Daten.

Informationen zum Verfahren EuGH C-340/21 – 14.12.2023

Kurz zusammengefasst:

Mit diesen Gerichtsurteil hat die EuGh die Rechte von Verbrauchern in der EU enorm gestärkt.

Für Unternehmer bzw. Datenverarbeiter wird es im Falle eines Hackerangriffs schwierig sein nachzuweisen, dass ihre Schutzmaßnahmen zum Zeitpunkt der Datenschutzverletzung geeignet waren und sie in keinerlei Hinsicht für den Schaden verantwortlich sind. Als Folge dieses Urteil müssen Verantwortliche dafür sorgen das die Dokumentationen auch dazu geeignet sind die Sicherheitsmaßnahmen für einen zurückliegenden Zeitraum zu beweisen. Dabei geht vorallem um den Nachweis das eine Sicherheitsmaßnahme nicht nur geplant, sondern auch tatsächlich umgesetzt wurde.

Da sich die EuGH bei dieser Feststellung nicht auf eine “größere” Menge von betroffenen Daten bezieht, wird es zukünftig vorallem für kleinere Unternehmen ein großes Risiko für Schadenersatzansprüche von Einzelpersonen und somit zu einer Zunahme von Klagen wegen immaterieller Schäden führen.

In der Regel wird es dem Verantwortlichen kaum möglich sein, sich zu entlasten bzw. darzulegen und zu beweisen, dass das geforderte Sicherheitsniveau zum Zeitpunkt des Cyberangriffs oder Datenschutzverletzung eingehalten wurde. Es sei denn, er hat Maßnahmen getroffen um das geforderte Sicherheitsniveau und die getroffenen Schutzmaßnahmen auch rückwirkend nachzuweisen.

Die Verantwortlichen aller Unternehmen, Freiberufler, Vereine und öffentliche Organisationen werden zukünftig Ihre Dokumentierungs- und Nachweispflicht weitaus sorgfältiger und für die Vergangenheit nachweisbar nachkommen müssen.

 Hier erfahren Sie mehr

Hinweis:

DS-GVO Sprechstunde

Am besten senden Sie eine E-Mail an office@daschub.de oder nutzen das E-Mail Formular.

Telefonisch erreichen Sie mich:

Mo, Di, Mi, Do, Fr: 9 – 11:30 Uhr unter der Telefonnummer:

01575 6641957

Ich freue mich auf Ihre Nachricht oder Anruf

DSB as a Service

Datenschutzberatung und -assistenz – einfach, effizient und günstig

Stellen Sie sicher, dass ihr Unternehmen die strengen und komplexen rechtlichen Anforderungen der EU-Datenschutz-Grundverordnung (EU-DS-GVO), des Bundesdatenschutzgesetzes (BDSG) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) erfüllt.

Dieses Angebot gilt für Unternehmen und Vereine in den Landkreisen Rotenburg (Wümme), Stade, Harburg, Heidekreis, Verden, Osterholz, Cuxhaven sowie die Bundesländer Hamburg und Bremen.

Preise zzgl. USt. bei einer Laufzeit von 12 Monaten.
Zusätzliche Beratungs- und Assistenzstunden 95,- €.
Weitere Angebote auf Anfrage.

Eigener Mitarbeiter oder externer Datenschutzbeauftragter?

Ist die Umsetzung der DS-GVO auch für Sie eine große Herausforderung oder haben Sie eine spezielle Aufgabenstellung im Bereich Datenschutz? Kein Problem, ich unterstütze Sie auch gerne zeitlich begrenzt.

Gemeinsam erarbeiten wir eine effiziente und benutzerfreundliche Lösung mit passendem und kalkulierbarem Aufwand.

Eigener Mitarbeiter oder externer Datenschutzbeauftragter?

Unternehmen dürfen einen Datenschutzbeauftragten, intern oder extern, bestellen. Was ist die bessere Wahl?

Die Regelungen der DS-GVO betreffen alle Unternehmen und Vereine, das personenbezogene Daten in irgend eine Weise verarbeitet oder speichert.

Unternehmer und Auftragsverarbeiter sind unter bestimmten Voraussetzungen verpflichtet einen Datenschutzbeauftragten zu bestellen.

Der Datenschutzbeauftragte muss eine hohe Fachkompetenz haben und über ausreichende Ressourcen verfügen, um seine Aufgaben effektiv wahrnehmen zu können. Besonders wichtig ist das der DSB auch unabhängig von anderen Bereichen des Unternehmens oder der Organisation agieren kann, um eine objektive Beratung und Überwachung gewährleisten zu können.

Ein Datenschutzbeauftragter (DSB) kann aber auch auf freiwilliger Basis bestellt werden.

	Externer DSB	Interner DSB
Geringe Kosten Die interne Lösung hat den (oft vermeintlichen) Vorteil der geringere Kosten.   Mein Versprechen: Ich erstelle ein maßgescheidertes Datenschutzkonzept in weniger als 4 Wochen zu transparenten Kosten!   Senden Sie jetzt eine eine Rückrufanfrage
Bekannt im Unternehmen Der Mitarbeiter kennt die internen Unternehmensstrukturen, Abläufe und Mitarbeiter bereits.
Vertrauen bereits erworben Da der Mitarbeiter auch mit sensible Betriebsinternas in Berührung kommt muss dieser das Vertrauen vom Unternehmer haben. Da er aber auch der Ansprechpartner für die Mitarbeiter ist, muss er auch deren Vertrauen haben.
Fachlicher Expertise im Bereich Datenschutz Der externe Datenschutzbeauftragte hat in der Regel schon mehrere Unternehmen betreut. Somit wird er wissen welche Schritte in welcher Reihenfolge notwendig sind. Auch wird er die Prioritäten kennen und diese für das Unternehmen klar erkennbar machen. Die Mitarbeiter werden die mögliche Verbesserungen sofort erkennen und verstehen, worauf der Datenschutz abzielt. Sie werden somit bestmöglich eingebunden und wissen, dass sie sich mit ihren Fragen jederzeit an einen Experten wenden können.
Juristische und technische Kompetenz Von einem externe Datenschutzbeauftragter kann man erwarten das sein juristische und technische Kompetenz außer frage stehen. Dies sollte er natürlich auch nachweisen können. Mit seinem theoretischen Wissen der DS-GVO und praktische Erfahrungen in der Umsetzung ist sein Rat gefragt und wird bei den Entscheidungen berücksichtigt. Der externe Datenschutzbeauftragter sollte lösungsorientiert und pragmatisch sein. Ein gutes und sachliches Verhältnis sowohl zur Geschäftsführung, als auch zum Abteilungsmanagement, als auch zu den Beschäftigten aufzubauen
Prophet im eigenen Land Als „Fremder“ im Unternehmen hat der externer Datenschutzbeauftragter den Vorteil optimal zwischen den (manchmal divergierenden) Interessen van Arbeitgeber und Arbeitnehmer vermitteln zu können. Der externe Datenschutzbeauftragte ist dabei nicht der „Prophet im eigenen Land“. Wenn er etwas zu bemängeln hat, dann wird es von den Mitarbeitern häufig nicht als Kritik angesehen, sondern als objektiver Handlungsbedarf. Große Diskussionen, Zänkerei und Missgunst werden somit vermieden. Es gibt nur Herausforderungen und Lösungen.
Neutral im Unternehmen Der Datenschutzbeauftragte stellt sowohl für Personal als auch für die Geschäftsführung die erste Instanz dar, die bei datenschutzrechtlichen Fragestellungen kontaktiert wird. Der Datenschutzbeauftragte hat daher stets eine neutrale Position im Unternehmen einzunehmen. Nur auf dieser Weise werden sowohl die Mitarbeiter als auch die Geschäftsführung ihn als unabhängige Instanz wahrnehmen und sich seiner Unvoreingenommenheit sicher sein können.
Verlässlich und zuverlässig Dass ein Datenschutzbeauftragte zuverlässig, also verlässlich sein muss steht außer Frage. Er sollte aber auch ohne Interessenkonflikte im Unternehmen agieren können.Dies ist auch der Grund, warum IT-Mitarbeiter, Mitarbeiter der Personalabteilung und viele weitere interne Positionen als Datenschutzbeauftragter ausscheiden: Sie hätten die Aufgabe, ihr eigenes Agieren zu kontrollieren. Zuverlässig im Sinne des Gesetzes können nur Personen sein, für die eine Tätigkeit als Datenschutzbeauftragter nicht im Widerspruch zu ihrer sonstigen Tätigkeit oder Position im Unternehmen steht. Durch seine breite Erfahrungen im Umgang mit der DS-GVO, seine praktische Erfahrungen und bei Verhandlungen mit Dritten, wie z.B. Auftragsverarbeitern können Sie sich auf das fundierte Wissen und Können des externen Datenschutzbeauftragten verlassen.
Kostensicherheit und Planungssicherheit Der externer Datenschutzbeauftragter benötigt neben seiner Bestellung noch einen Dienstleistungsvertrag, auf dessen Grundlage er tätig wird. Dieser Vertrag kann zwischen dem Unternehmen und dem zukünftigen externen Datenschutzbeauftragter frei ausgehandelt werden. In der Regel enthält der Dienstleistungsvertrag die Aufgaben, die entsprechenden Preise sowie Laufzeiten und Kündigungsfristen. Für den Unternehmer bedeutet dieses eine hohe Planungssicherheit. Die genaue Gestaltung der Vergütung ist frei. So kann etwa eine monatliche Pauschale entrichtet oder aber nach einzelnen Leistungen oder Projekten bezahlt werden.

DS-GVO Nachrichten

In gegensatz zu vieler meiner Kollegen hantiere ich bei Jahresverträge ( DSB / DPO as a Service) keine Einrichtungs- oder Set-up -Kosten!

Dieses Angebot gilt für Unternehmen mit maximal 20 Mitarbeiter in den Landkreisen Rotenburg (Wümme), Stade, Harburg, Heidekreis, Verden, Osterholz, Cuxhaven sowie die Bundesländer Hamburg und Bremen.

Preise zzgl. USt. bei einer Laufzeit von 12 Monaten.
Zusätzliche Beratungsstunden gegen Aufpreis buchbar.
Weitere Angebote auf Anfrage.

[/su_column]

Über mich

Langjährige Erfahrung, professionelle webbasierte Software für die Verwaltung Ihres Datenschutz-Managements sowie Zertifizierungen als betrieblicher Datenschutzbeauftragter und Datenschutzauditor sind ein Garant für die Erfüllung der Datenschutzanforderungen in Ihrem Unternehmen.

Mein Ziel ist es, die Vorgaben der DS-GVO und weitere gesetzliche Anforderungen durch eine fundierte Datenschutzberatung und professionelle effektive und pragmatische Unterstützung in Ihrem Unternehmen umzusetzen, ohne dass es dabei zur Beeinträchtigung des Tagesgeschäfts kommt.

Mit Hilfe einer cloudbasierter Videokonferenzdienst wie Microsoft Teams oder Zoom berate und betreue ich Sie persönlich in allen Fragen des Datenschutzes. Ich prüfe, ob Sie einen Datenschutzbeauftragten benötigen, installiere mit Ihnen alle DS-GVO notwendigen Prozesse und bin Ihr ständiger Ansprechpartner.

Gern begleite ich Sie auch beratend, wenn Sie einen eigenen betrieblichen Datenschutzbeauftragten einsetzen möchten.

Zur Unterstützung der vielfältigen Aufgaben verwende ich das Datenschutz Management System “DPM-Online”. In einem unverbindlichen Online-Meeting führe ich Sie gerne durch das Datenschutz Management System und zeige dabei die Potenziale für Ihr Unternehmen auf.

Als Datenschutz-Auditor, -Berater und externer Datenschutzbeauftragten stehe ich im Raum Norddeutschland zur Verfügung.

Wenn Sie sich noch nicht oder nur geringfügig mit dem Datenschutz in Ihrem Unternehmen oder Verein befasst haben, dann sollten Sie ….

… jetzt handeln und eine Rückrufanfrage senden.