Datenschutzbeauftragter: Ist der „Beschäftigte“ „beschäftigt“?

Große Unsicherheit besteht derzeit darüber, ab wie vielen Personen im Unternehmen ein Datenschutzbeauftragter bestellt werden muss.

Nach Art. 38 BDSG-neu müssen alle Unternehmen bzw. Sonstigen Verantwortlichen einen Datenschutzbeauftragten bestellen, wenn sie “in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen”.

Hier der Art. 38 BDSG-neu im Wortlaut:

§ 38 Datenschutzbeauftragte nichtöffentlicher Stellen
(1) 1 Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. 2Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.

Die Regel scheint klar: Wenn 10 Personen erreicht sind, die ständig automatisiert Daten verarbeiten, so benötigt man einen Datenschutzbeauftragten. Aber wen zählt man mit? Dies ist weniger deutlich. Eines ist klar: Im Gegensatz zu der bisherigen Regelung des § 4f BDSG wird nicht mehr danach unterschieden, ob die Daten automatisiert oder “auf andere Weise” verarbeitet werden.… Weiterlesen

DSGVO: Handreichung des BayLDA für kleine Unternehmen und Vereine

64 Tage: So lange haben Unternehmen noch Zeit, sich auf die Anwendbarkeit der Datenschutzgrundverordnung (DSGVO) vorzubereiten. Trotz der langen Übergangszeit von zwei Jahren sind viele Unternehmen jetzt erst dabei, die entsprechenden Maßnahmen zu ergreifen. Dies zeigt auch die anwaltliche Praxis von uns Datenschutzanwälte, die wir uns derzeit vor Anfragen nicht mehr „retten“ können.

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat nun Handreichungen für kleine Unternehmen und Vereine veröffentlicht, die diese bei der Umsetzung der Datenschutzmaßnahmen unterstützen sollen.

Arztpraxen

Sie enthalten auch überraschende Äußerungen der Datenschutzbehörde: So soll in Arztpraxen mit weniger als 10 Mitarbeitern, die ständig automatisiert Daten verarbeiten, nach Ansicht des BayLDA kein Datenschutzbeauftragter notwendig sein. Darüber kann man aber trefflich streiten: Art. 37 DSGVO sieht vor, dass ein Datenschutzbeauftragter auch dann bestellt werden soll, wenn

c) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.

Unklar ist, was unter Kerntätigkeit zu verstehen ist. Bei Ärzten ist zwar die Kerntätigkeit die Behandlung von Patienten, man hätte aber durchaus argumentieren können, dass im Rahmen dieser Behandlung ja auch die besonderen Kategorien personenbezogener Daten in Form von Gesundheitsdaten anfallen, sodass sie auch bei weniger als 10 Personen unter die Verpflichtung zur Bestellung eines Datenschutzbeauftragten fallen.… Weiterlesen

Weitere Sicherheitslücke im beA

Nachdem das beA durch die vom Hacker Markus Drenger aufgedeckte Sicherheitslücke (eine gute Zusammenfassung findet sich bei FAZ Einspruch und bei SPIEGEL online) jetzt erst einmal offline bleibt und dies gute zehn Stunden vor Inkrafttreten der passiven Nutzungspflicht, hat Markus Drenger erneut eine Sicherheitslücke aufgedeckt:

Die beA-Webanwendung ist anfällig für XSS-Attacken. Bei diesem sog. Cross-Site-Skripting wird die Webanwendung zum Ausführen von Schadcode gebracht. In dem bereitgestellten Video zeigt Drenger, wie er durch eine einfache Änderung der URL den Browser dazu bringt, dass ein neuer Tab geöffnet wird.

Die Verhinderung von XSS-Attacken gehört zum Einmaleins eines jeden Webentwicklers.

Weiter rät die BRAK, die Kanzleirechner auf Viren zu überprüfen. Es besteht der Verdacht, dass einzelne Rechner sich in Folge der Installation des unsicheren Zertifikats einen Schädling eingefangen haben.… Weiterlesen

beA: BRAK lässt Nutzer unsicheres Zertifikat installieren

Nachdem unsere Kanzlei schon seit März weitgehend problemlos mit beA arbeitet, haben sich die letzten Wochen die Ausfälle gehäuft: Mehrmals war aufgrund von Netzwerkproblemen das beA nicht erreichbar.

Heute dann eine neue Überraschung: Ein Zertifikat, das für die beA-Anwendung erforderlich ist, ist ausgelaufen und muss nun manuell installiert werden. Die BRAK wurde nach eigenen Angaben erst gestern informiert.

Eine Anleitung zur Installation des Zertifikats stellt die BRAK hier bereit.

Sollte das beA nach diesen Schritten noch nicht gehen, habe ich die Erfahrung gemacht, dass eine Neuinstallation des beA-Clients Abhilfe schafft.

Als großer Befürworter des elektronischen Rechtsverkehrs darf ich an dieser Stelle doch eine Kritik äußern: Vorfälle wie der heutige führen leider bei den beA-Skeptikern nicht zu einer Akzeptanz des Systems. Gerade nicht so IT-affine Anwälte werden bei der Durchführung solcher Abhilfemaßnahmen Probleme haben.

Auch die neue RA MICRO Schnittstelle. die noch sehr viele Fehler aufweist und teilweise mehrmals täglich gepatcht wird von RA MICRO, spielt den Kritikern leider in die Hände.

Update am 22.12.2017, 17:06 Uhr: Laut einer Meldung von heise wurde anstatt des öffentlichen Schlüssels der private Schlüssel durch den beA-Client verteilt. Da der private Schlüssel kompromittiert wurde, musste er für ungültig erklärt werden, womit die manuelle Installation notwendig wurde.

ERVV passiert Bundesrat

Die Verordnung über die technischen Rahmenbedingungen des elektronischen Rechtsverkehrs und über das besondere elektronische Behördenpostfach (ERVV) hat den Bundesrat passiert.

Damit gibt es mit dem Inkrafttreten am 01.01.2018, rechtzeitig zum Beginn der passiven Nutzungspflicht des beA, bundesweit einheitliche Regelungen, welche Dateiformate beim elektronischen Rechtsverkehr zulässig sind. Bisher hat dies jedes Bundesland einzeln geregelt, manche Bundesländer ließen etwa auch .doc und .rtf-Dateien zu. Ab sofort sind nur noch PDF-Dateien und bei Bildern auch TIF-Dateien zulässig, wenn die bildliche Darstellung verlustfrei nicht in PDF möglich ist.

Der Bundesrat nahm eine wichtige Änderung vor: Die Pflicht, die PDF-Dokumente durchsuchbar einzureichen gilt erst ab dem 1. Juli 2019. Ursprünglich war eine Verpflichtung schon ab dem 1. Juli 2018 vorgesehen.… Weiterlesen

Neue Regelungen für Berufsgeheimnisträger in Kraft getreten

Am heutigen Tag tritt das Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen in Kraft. Die Verkündung im Bundesgesetzblatt erfolgte gestern.

Damit können Berufsgeheimnisträger nun Dienstleister einbeziehen, was erstmals ein rechtskonformes Outsourcing und auch die Nutzung von Cloud-Diensten ermöglicht, sofern der Dienstleister auf die Verschwiegenheit verpflichtet wird. Dazu werden insbesondere § 203 StGB sowie die einzelnen Berufsordnungen geändert. Für Rechtsanwälte wurde der neue § 43e BRAO geschaffen.

Nähere Informationen finden Sie in meinen früheren Posts hier, hier und hier.

Sehr streitig wird noch werden, was unter Dienstleistungen zu verstehen ist, die unmittelbar einem Mandat dienen (§ 43e Abs. 5 BRAO). Hierzu reicht die Verpflichtung zur Verschwiegenheit nämlich nicht aus, sondern es bedarf zusätzlich der Einwilligung des Mandanten. In der Gesetzesbegründung sind die Beauftragung eines Sachverständigen, eines Detektivs oder eines Übersetzers genannt (BT-Drucks. 18/11936, S. 36). Entscheidend dafür, ob die Dienstleistung unmittelbar einem Mandat dient, soll laut Gesetzesbegründung nicht die Vertragsgestaltung sein, sondern die Frage, ob für die jeweilige Dienstleistung, die in Anspruch genommen werden soll, ein besonderer Bedarf im einzelnen Mandat besteht. Hier sehe ich noch Unklarheiten mit der Folge, dass trotz der Neufassung eine gewisse Rechtsunsicherheit bestehen bleibt.… Weiterlesen

Datenschützer kritisiert unverschlüsselte E-Mails bei Berufsgeheimnisträgern

In seinem 8. Tätigkeitsbericht für den Landtag kritisiert der sächsische Datenschutzbeauftragte Andreas Schurig, dass die viele Rechtsanwälte unverschlüsselt über E-Mail kommunizieren. Er begründet dies mit „Zeit und Kostendruck“ (8. Tätigkeitsbericht, Ziffer 8.13, Seite 8, zum Bericht bei heise.de).

Weiter schreibt er:

Ich gehe daher davon aus bzw. fordere dies gegebenenfalls, dass Rechtsanwälte ihre EMails zukünftig verschlüsseln oder aber ihre Schriftsätze per Fax und/oder Briefpost versenden.

Hier kann ich nur widersprechen: Es liegt nicht daran, dass wir Rechtsanwälte nicht verschlüsseln möchten, sondern dass zum Verschlüsseln bei der asymmetrischen Verschlüsselung immer zwei Personen notwendig sind. Der Mandant muss also auch etwa PGP/GPG einsetzen. Obwohl dies kostenlos möglich ist, ist anscheinend die technische Hürde noch so hoch, dass Mandanten dies nicht wünschen. Selbst in meinem IT-Recht-Umfeld, in dem die meisten Mandanten technisch versiert sind.

Ich biete den Mandanten immer an, verschlüsselt zu kommunizieren, allerdings ist ihnen dies meist zu umständlich. Wirklich daran ändern wird sich nur etwas, wenn die PGP-/GPG-Verschlüsselung in der Bevölkerung mehr Verbreitung findet. Initiativen, wie sie etwa United Internet (GMX, Web.de), Mailbox.org oder Posteo mit der Implementation von PGP im Webmailer mit dem Plugin Mailvelope oder auch ProtonMail ergreifen, sind sehr wichtig, haben aber zumindest meiner Erfahrung nach noch nicht zu einem Umdenken bei den meisten Internetnutzern geführt.… Weiterlesen

RA-MICRO veröffentlicht Informationen zur beA-Schnittstelle

RA-MICRO hat Informationen zu der beA-Schnittstelle veröffentlicht.

Danach ist eine Integration in den E-Workflow geplant. Der Zugriff auf das beA-Postfach soll über Softwarezertifikate erfolgen. Für jeden beA-Nutzer muss also ein solches bestellt werden (Kosten derzeit 4,90 € netto pro Jahr), wenn eine Einbindung des Postfachs in RA-MICRO erfolgen soll.

Die Veröffentlichung der RA-MICRO-Version ist für Ende 2017/Anfang 2018 geplant.

Gut ist, dass auch die manuelle Schnittstelle über den Export in der E-Akte erhalten bleiben soll. Damit ist man technisch unabhängig, wenn einmal die RA-MICRO-Integration bzw. die beA-Schnittstelle nicht funktionieren sollte.

Auch positiv: Es soll einen Senden-Button an beA direkt in Word geben sowie eine Erweiterung des Adressfensters um beA-Adressen. Spannend wird die Frage sein, ob hier auch die SAFE-IDs hinterlegt werden. Da diese das einzige zuverlässige Unterscheidungskriterium sind und das einzige Zuordnungsmerkmal, ob es sich um ein beA-, Gerichts-, Notar- (beN) oder Behördenpostfach (beBPo) handelt, sollte auf die SAFE-ID im ERV erhöhte Aufmerksamkeit gelegt werden. Interessant wird hier auch die Frage sein, wie einer Kanzlei die Postfächer der einzelnen Anwälte zugewiesen werden können.… Weiterlesen

beA: Ab heute auch OLG München, LG München I und AG München erreichbar

Ab heute, 18. Oktober 2017, sind auch das Oberlandesgericht München, das Landgericht München I und das Amtsgericht München in allen ZPO- und FamFG-Verfahren über das beA erreichbar, (vgl. Anlage 2 BayERVV Justiz).

Damit sind alle bayerischen Gerichte in diesen Verfahren angeschlossen.

Nachdem Bayern in den letzten Jahren beim Anschluss der Gerichte an den elektronischen Rechtsverkehr eher zu den langsameren Bundesländern gehörte, hat Bayern extrem aufgeholt und gehört jetzt zu den Vorreitern. Alle Amts-, Land- und Oberlandesgerichte in ZPO- und FamFG-Verfahren, alle Arbeits-, Verwaltungs-, Sozial- und Finanzgerichte sind jetzt über den elektronischen Rechtsverkehr erreichbar.… Weiterlesen

Störerhaftung: Änderungen am Telemediengesetz in Kraft getreten

Seit dem heutigen Tag ist die Störerhaftung für WLAN-Betreiber passé: Das Dritte Gesetz zur Änderung des Telemediengesetzes vom 28.09.2017 ist am 13. Oktober 2017 in Kraft getreten (BGBl. I S. 3530).

Über die Änderungen hatte ich hier und hier berichtet.

Eine Synopse finden Sie bei Buzer.