RECHTLICHE BEWERTUNG MIT CHECKLISTE. Im Zusammenhang mit der IT-Security geht es ei- nerseits um den Schutz von verarbeiteten Kunden- daten oder Daten von Geschäftspartnern und ande- rerseits um den Schutz eigener Daten vor Zugriff von außen. Im Hinblick auf unternehmensfremde Daten ist vor allem das Datenschutzrecht von Bedeutung. Für deren Schutz ist Art. 32 DSGVO maßgeblich, der keine konkreten Maßnahmen vorschreibt, jedoch einzelne geeignete Maßnahmen definiert wie Pseu- donymisierung und Verschlüsselung, die Sicherstel- lung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme oder die Implemen- tierung eines Verfahrens zur regelmäßigen Evalu- ierung der Maßnahmen. Die Schutzmaßnahmen müssen dem Schutzniveau der jeweiligen Daten angemessen sein und dem Stand der Technik ent- sprechen. Darüber hinaus sollten die Schutzmaß- nahmen dokumentiert und ein Meldesystem für Datenschutzverstöße implementiert werden, um den Meldepflichten nach Art. 33, 34 DSGVO fristge- recht nachzukommen. Werden die Sicherheitsvorgaben der DSGVO nicht eingehalten, besteht das Risiko von Schadensersatz- ansprüchen von Kunden und Vertragspartnern nach Art. 82 DSGVO. Dazu können die Datenschutzbe- hörden nach Art. 83 DSGVO Bußgelder in Höhe von bis zu 20 Mio. Euro oder 4 % des weltweiten Jah- resumsatzes verhängen, bei Verstößen gegen Art. 32 DSGVO bis zu 10 Mio. Euro oder 2 %. Besonderheiten ergeben sich für Betreiber kriti- scher Infrastrukturen, die von wichtiger Bedeutung für das staatliche Gemeinwesen sind. Solche müs- Informationen sollten ihrem Schutzstatus entsprechend kategorisiert werden. Sinnvoll ist die Kategorisierung nach dem potentiellen wirtschaftli- xxxx Xxxxxxx bei Bekanntwer- den. Darüber hinaus sollten sie (1) vertraglich, etwa durch konkrete Vereinbarungen mit Arbeitnehmern oder Vertrau- lichkeitsvereinbarungen mit Geschäftspartnern, (2) tech- nisch, etwa durch Zutrittskon- trollen, beschränkte Zugriffs- rechte und Sicherheitsupdates, sowie (3) organisatorisch, etwa durch regelmäßige Erstellung eines Gefährdungsberichts, abgesichert werden. Alle Maß- nahmen sollten regelmäßig aktualisiert und dokumentiert werden. sen seit Inkrafttreten des IT-Sicherheitsgesetzes im Juli 2015 gemäß § 8a BSI-Gesetz (BSIG) u.a. beson- dere organisatorische und technische Vorkehrungen einrichten und strengere Registrierungs- und Mel- depflichten beachten. Auch im Hinblick auf eigene Daten und Know- How sollten Sicherheitsmaßnahmen umgesetzt werden. Diese können auf den Sicherheitsmaß- nahmen i...
RECHTLICHE BEWERTUNG MIT CHECKLISTE. Im Zusammenhang mit dem Internet der Dinge sind viele rechtliche Fragen noch offen, deshalb ist eine vertragliche Regelung fast immer empfehlenswert. Wesentlich in der Vertragsgestaltung mit Anbietern von Smart Products ist die Ausgestaltung der Haftung für vernetzte Systeme, die sowohl natürliche (z.B. Einzelunternehmer) als auch juristische Personen (z.B. Aktiengesellschaften) treffen kann. Im Regelfall haftet bei einem vom ein- gesetzten System verursachten Schaden dessen Betreiber gegenüber den Verletzten. Lag der Fehler jedoch in der mangelhaften Hard- oder Software des Herstellers, so kann sich der Betreiber bei diesem schadlos halten, was bestenfalls aufgrund eines gut gestal- teten Vertrages erfolgen sollte, da die Gesetzeslage Anspruchsteller benachteiligt.
RECHTLICHE BEWERTUNG MIT CHECKLISTE. Bei der Anwendung von Data Analytics liegt ein erstes Problem in der rechtmäßigen Erlangung der auszuwertenden Daten, da häufig Datenbestände aus öffentlich zugäng- lichen Quellen hinzugezogen werden. Dabei können bei der Verwendung oder Speiche- rung von Daten aus Datenbanken, ggf. auch aus sozialen Netzwerken, die Rechte des Da- tenbankerstellers nach § 87b UrhG verletzt werden. Dieser Schutz ist regelmäßig jedoch nur dann verletzt, wenn wesentliche Teile der Daten betroffen sind oder eine wiederholte und systematische Entnahme stattfindet. Die normale Auswertung dieser Daten kann in der Regel problemlos stattfinden, solange technische und organisatorische Einrichtungen des Datenbankinhabers nicht umgangen werden. Öffentliche Datenquellen haben meist Lizenzbedingungen. Für alle Datenquellen ist des- halb im Vorwege zu überprüfen, ob die geplante Nutzung gestattet wird. Werden Daten gekauft, kann die Herkunft der Daten nicht immer überprüft werden. Des- halb sollte bei der Vertragsgestaltung darauf geachtet werden, dass neben einer umfas- senden Übertragung der Nutzungsrechte an den Daten auch eine Haftungsfreistellung erfolgt, etwa für den Fall, dass die Daten Rechte oder Geschäftsgeheimnisse Dritter ver- letzen. Der Personenbezug von Daten sollte so früh wie möglich aufgehoben werden, etwa durch die unwiderrufliche Anonymisierung und Löschung der Rohdaten. Sollte das nicht möglich sein, ist jedenfalls auf die Erhebung nur tatsächlich benötigter personenbezogener Daten und möglichst frühzei- tige Pseudonymisierung zu achten. Werden bei der Datenanalyse nicht nur Unterneh- mensdaten, sondern auch personenbezogene Daten verarbeitet, ist das Datenschutzrecht zu beachten. Dabei ist selbst bei der Verwendung der Daten von Bestandskunden wiederum eine gesonderte Recht- fertigung nach Art. 6 DSGVO erforderlich. Eine bereits eingeholte Einwilligung in die Datenverarbeitung zu anderen Zwecken ist dafür nicht ausreichend. So- fern die betroffenen Personen umfassend über die konkrete Datenanalyse informiert werden, ist eine Einwilligung nach Art. 6 lit. a) DSGVO jedoch möglich. Bei Daten aus frei zugänglichen Quellen (v.a. soziale Netzwerke) sollte bei Analyse zu Werbezwecken das Interesse der betroffenen Person am Ausschluss der Verarbeitung gegenüber dem berechtigten Interesse des Verantwortlichen regelmäßig überwiegen [21], weshalb auch hier die Einwilligung nach Art. 6 lit. a) DSGVO vorzuziehen ist. Der Betroffene ist trotz der öffentlichen Verfügbarkeit nach A...
RECHTLICHE BEWERTUNG MIT CHECKLISTE. Das Cloud Computing wirft insbesondere in zwei Bereichen rechtliche Probleme auf. So ist einerseits im Vertragsrecht zu unterscheiden zwischen den einzelnen Leistungen der Cloud-Provider. Diese ge- währen Zugriff auf Ihre IT-Infrastruktur und stellen hierfür Speicherplatz zur Verfügung (Mietvertrag). Andererseits sichern sie eine bestimmte Bandbrei- te sowie Rechenleistung zu, pflegen sowie aktua- lisieren Software und überwachen den laufenden IT-Betrieb (Dienstvertrag). Soweit einzelne Anpas- sungsleistungen geschuldet sind (Customizing) so sind diese schließlich im Einzelfall auch erfolgsab- hängig (Werkvertrag). Unternehmen sollten bes- tenfalls Cloud-Verträge mit deutschen oder EU-Providern schließen, die nach ISO 27001 zertifiziert sind. Bei Xxxx eines US-Providers sollte darauf geachtet werden, dass a) nur EU-Server Verwendung finden (viele Provider haben eine „EU-Cloud-Option“) und b) sich der US-Provider dem EU-US-Privacy-Shield [27] unterworfen hat. Andererseits ist das Cloud Computing jedoch un- ter datenschutzrechtlichen Gesichtspunkten zu betrachten. Der Cloud-Provider ist im Regelfall als Auftragsverarbeiter nach Art. 28 DSGVO zu be- trachten, was den gesonderten Abschluss eines entsprechenden Vertrages zur Auftragsverarbeitung in schriftlicher oder elektronischer Form (PDF) vor- aussetzt, der auch zumeist von den internationalen Cloud-Providern selbständig zur Verfügung gestellt wird. Hierin sollte bestenfalls zugesichert werden, dass sich die eingesetzten Webserver ausschließ- lich innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) befin- den, so dass eine Datenverarbeitung in Drittstaaten ausscheidet. Denn ansonsten sind die zusätzlichen Vorgaben der Artikel 44 ff. DSGSVO zu beachten, was im Regelfall den Abschluss eines zusätzlichen Vertrages gemäß der EU-Standarddatenschutz- klauseln [23] (Art. 46 II lit. c DSGVO) voraussetzt, soweit nicht von Seiten der EU-Kommission in dem betreffenden Drittstaat [24] ein angemes- senes Datenschutzniveau festgestellt wurde [25]. Im Hinblick auf die Einhaltung IT- sicherheitsrechtlicher Vorgaben sollten die BSI-Vorgaben zum Mindeststandard bei Nut- zung externer Cloud-Dienste berücksichtigt werden [26], die sich zwar an Bundesbehör- den richten und vor dem Hintergrund der alten Rechtslage vor 2018 erstellt wurden, je- doch für Unternehmen einen guten Überblick zum Stand der Technik geben.
RECHTLICHE BEWERTUNG MIT CHECKLISTE. Bei der Verwendung mobiler Endgeräte zu Unternehmenszwecken sind auf rechtlicher Ebene verschiedene Aspekte zu beachten. Die vertragliche Regelung der betrieblichen Nutzung kann durch Arbeitsvertrag, Betriebsvereinbarungen oder interne verbindliche Richtlinien erfolgen. Dabei ist zunächst zu entscheiden, ob mobile Endgeräte betrieb- lich gestellt werden („Choose your own device“ – CYOD) oder die betriebliche Nutzung privater Endgeräte gestattet wird („Bring your own device“ – BYOD). Wird die private Nutzung dienstlicher Geräte nicht ausdrücklich untersagt, besteht das Risiko, dass diese durch betriebliche Übung zulässig wird. In diesem Fall könnte der Arbeitgeber außerdem als Anbieter von Telekommunikationsleistungen nach § 88 TKG dem Fernmeldegeheimnis unterlie- gen. [31] Im Hinblick auf das Arbeitsrecht stellen sich – wie bei jeder Form des mobilen Arbeitens – Probleme hinsichtlich der Arbeitszeiterfassung sowie der Einhaltung von Ruhephasen. Da gemäß § 5 Arb- ZG zwischen zwei Phasen der Arbeit Ruhephasen einzuhalten sind, die nicht durch die Bearbeitung betrieblicher Nachrichten unterbrochen werden dür- fen, darf die permanente Erreichbarkeit auch im Ein- vernehmen mit dem Arbeitnehmer nicht erwartet werden.
RECHTLICHE BEWERTUNG MIT CHECKLISTE. Auch die Blockchain wirft viele, rechtlich nicht abschließend geklärte Probleme auf. So steht das Prinzip der Blockchain, insbesondere im Hinblick auf Smart Contracts, mit einigen Grundsätzen des allgemeinen Zivilrechts im Konflikt: Die anfängliche Nichtig- keit einer Transaktion, bspw. durch Anfechtung (§ 142 BGB), Verstoß gegen gesetzliche Verbote (§ 134 BGB) oder Sittenwidrigkeit (§ 138 BGB), etwa ist kaum darstellbar, da es zum Wesen der Blockchain gehört, nachträglich unabänderbar zu sein. Ähnliche Proble- me stellen sich, wenn der Smart Contract nicht das von den Vertragsparteien Gewollte abbildet, etwa bei der Durchführung eines Rücktritts oder Geltendmachung von Ge- währleistungsrechten. Im Übrigen ist auf die abgebildeten Verträge jedoch allgemeines Zivilrecht anwendbar. Erfolgen Transaktionen über eine Blockchain bzw. Smart Contracts, sollte stets eine Methode zur Rückabwicklung nichtiger Transaktionen und darauf aufbauender, ebenfalls „falscher“ Folgetransaktionen enthalten sein. Das Gleiche gilt für die Durchführung von Gewährleistungsansprüchen. Im Hinblick auf das Datenschutzrecht sind bei Verwendung von Blockchains die Anforderungen der DSGVO zu beachten. Dabei ist zwischen öf- fentlicher (z.B. bei Kryptowährungen) und priva- ter Blockchain zu unterscheiden. Bei letzterer, die meist bei internen Blockchain-Systemen zur Anwendung kommt, kann der für die DSGVO erforderliche Personenbezug regelmäßig schon durch Vergabe von Nutzerkennungen hergestellt werden, weshalb die entsprechende Stelle dann auch datenschutzrechtlich verantwortlich ist. Auch auf öffentliche Blockchains ist Datenschutzrecht anwendbar, da Transaktionen trotz der dort vor- genommenen Pseudonymisierung rückverfolgbar sein können. Schwieriger ist hier die Frage nach der Verantwortlichkeit: Nach heutigem Stand könnte je nach Art der konkreten Blockchain jeder Teilnehmer der Blockchain oder jeder Absender einer Transaktion, jedenfalls aber die sog. No- des (Betreiber einzelner Netzwerkknoten) daten- schutzrechtlich Verantwortlicher sein. Betroffene müssen in der Da- tenschutzerklärung des Block- chain-Systems genau über die mangelhafte Umsetzung aller Betroffenenrechte informiert werden. Die Rechtmäßigkeit der Datenverarbeitung stützt sich bei der Blockchain in der Regel auf das berech- tigte Interesse der verantwortlichen Stelle nach Art. 6 lit. f) DSGVO, da eine Einwilligung nach Art. 6 lit. a) DSGVO häufig daran scheitert, dass eine Informati- on des Betroffenen über alle Umstä...