Künstliche Intelligenz und der Datenschutz
Wer im Vertrieb tätig ist kennt natürlich die Vorteile von künstlicher Intelligenz, will heißen, weniger Aufwand und mehr Leads.
Ja, aber was ist mit dem Datenschutz?
Drei Fragen um zu klären, wo sich die Fußangeln befinden.
Tulos Consulting GmbH sind Experten für den Datenschutz und IT-Sicherheit. Wir haben langjährige Erfahrung aus der Praxis mit CRM-Systemen, wie Hubspot, Salesforce und andere.
Was sind denn die größten Risiken, wenn man künstliche Intelligenz im Vertrieb einsetzt?
Zuallererst der Vertrauensverlust der Kunden, denn das ist bei Umfragen die häufigst genannte Befürchtung.
Wir alle wissen, dass wirklich gute Kundenbeziehungen auf Vertrauen basieren.
Kunden wollen zwar möglichst individuell betreut werden, und das geht mit KI besonders effizient. Sie erwarten aber, einen vertrauenswürdigen und datenschutzkonformen Umgang mit ihren Daten.
Jetzt zu Risiko-Punkt 2. Das sind die Haftungs-Schäden und Sanktionen.
Unternehmen machen sich juristisch angreifbar, wenn sie die massenhafte Verarbeitung von Daten mit KI nicht beherrschen.
z.B. da wird die DSGVO gerne hergenommen um Rechtstreite, auch für völlig andere Themen, durchzusetzen.
Typische Forderungen sind Abfindungen der Mitarbeiter, Abmahnungen von Wettbewerbern oder Haftungsforderungen von Kunden.
Und schließlich die Wiederbeschaffungskosten für verlorene unternehmenswichtiger Daten.
Cyberangriffe, durch Hacker, die mit KI aufwändig aufbereitete oder gekaufte Kundeninformationen, verfälschen oder stehlen oder Zugänge kapern, um Lösegelder zu verlangen.
Die Nachrichten berichten fast täglich News über Cyberangriffe.
CRM-Systeme stehen als Opfer auf Platz eins.
Kein Wunder, denn die Beute ist lukrativ und leicht am Markt zu Geld zu machen.
Von den drei größten Risiken, jetzt die größten Fehler, die KI-Systeme für den Vertrieb verursachen können?
Mit KI-Systemen können Vorhersagen getroffen oder Empfehlungen und Entscheidungen generiert werden – ganz ohne im Vorhinein festgelegte Regeln oder Berechnungsvorschriften.
Die Ergebnisse können unvorhersehbar und falsch sein
Betroffene, also auch potenzielle Kunden, können schnell verärgert werden, wenn falsche Annahmen aus KI-Systemen getroffen werden oder ihnen gar schaden.
Stichwort, das eben erwähnte Kundenvertrauen
Menschen haben das Recht auf korrekte Datenverarbeitung ihrer Person, alles andere ist strafbar und
verantwortlich hierfür ist immer das Unternehmen.
Und wieder ein Einfallstor für die sprichwörtlichen Abmahnvereine.
Wie bekommt man die Risiken in den Griff?
Wie ein Flugzeugpilot vor dem Start, sollte man einen Check machen, was geplant ist.
- Welche Daten werden gefüttert?
- Welche Ergebnisse sollen erzielt werden?
Nur so bekommt man seine Datenverarbeitung in den Griff.
Weil KI in so vielen Bereichen innerhalb des Vertriebs Daten auswerten kann, gibt es hier keine pauschale Lösung.
Ich empfehle immer einen Datenschutzbeauftragten begleitend einzusetzen. Er oder sie kennt die Linien zwischen legaler und illegaler Datenverarbeitung und kann von Fall zu Fall die Risiken einschätzen.
Das hat auch noch den sympathischen Vorteil, dass im Schadensfall ein Datenschutzbeauftragter fast immer gegenüber Betroffenen oder Behörden schneller zur Schlichtung beiträgt.
Die KI und der Datenschutz
Im folgenden Video erklärt Tulos-Gründer und Datenschutzexperte Roderich Pilars de Pilar, wie sich der Einsatz von Künstlicher Intelligenz (KI) in Unternehmen mit dem Datenschutz vereinbaren lässt.
Die Blockchain funktioniert wie ein Notizbuch. Hier eine einfache Erklärung
Blockchain, was ist das und was kann man damit machen?
Die Blockchain funktioniert wie ein Notizbuch.
Jede Seite des Notizbuches entspricht einem Block der Datenkette. In jede Seite schreiben wir Zeile für Zeile eine Liste mit Informationen und Transaktionen. Das kann alles sein, was in 40 Byte passt (Byte ist eine Maßeinheit für die Datenmenge).
Informationen können Überweisungen von A nach B, Verträge, ein Testament, Aktien oder Kaufverträge sein. Wenn ich eine Transaktion in mein Notizbuch schreibe, erscheint sie auch in allen anderen Notizbüchern. Es existieren also tausende Kopien auf tausenden Servern der unverfälschten, ursprünglichen Blockchains. Abweichungen können also so, durch einen Vergleich der anderen Kopien, aufgedeckt werden. Das nennt sich DLT (Distributed , Ladger Technology).
Soweit also zur Dezentralität der Blockchain. Nun die kryptographische Verschlüsselung:
Wenn eine Seite vollgeschrieben ist, bildet das Notizbuch eine Quersumme aus den Transaktionen dieser einen Seite. Diese Prüfsumme wird Hashwert genannt und steht dann am Ende der Seite.
Jede neue Seite im Notizbuch beginnt wieder mit der Prüfsumme, also mit dem Hashwert der vorhergehenden Seite und damit hat man das kryptographische Verfahren. Somit hat jeder Block genau einen chronologischen Vorgänger und einen chronologischen Nachfolger.
Diese Prüfsumme sorgt also dafür, dass die Reihenfolge der einzelnen Blöcke der Blockchain nicht vertauscht und der Inhalt nicht manipuliert werden kann, denn sonst würde sich auch der Hashwert verändern.
Es ist also extrem schwierig, den Hashwert der Blockchain zu verfälschen.
Noch einmal etwas technischer zusammengefasst:
Eine Blockchain ist eine dezentrale Datenbank. Die Daten sind also nicht nur auf einem Server im Rechenzentrum, sondern auf mehreren Servern in mehreren Ländern.
In einer Blockchain werden dieselben Daten synchron abgespeichert. Alle Teilnehmer der dezentralen Server haben eine Kopie des letzten Standes der Daten.
Eine Blockchain ist also eine dezentrale Datenstruktur, die über Kryptografie abgesichert ist, sodass Transaktionen und Datenveränderungen nicht oder sehr schwierig verändert werden können.
Die Blockchain ist eine Datenbank, in die nur neue Einträge hinzugeführt werden können. Alte Einträge können weder gelöscht noch geändert werden.
Was einmal in der Blockchain gespeichert wird, bleibt auch dort.
Vorteile der Blockchain
Geschwindigkeit und Sicherheit:
Alle Daten, die in einer Blockchain gespeichert werden, werden unmittelbar verschlüsselt an das gesamte Netzwerk verteilt. Durch diesen Ansatz lassen sich große Datenmengen in kürzester Zeit an die Nutzer verteilen. Zudem sind die gespeicherten Daten durch die dezentrale Verteilung vor Manipulation geschützt.
Datenintegrität:
Die Integrität der vorliegenden Daten spielt bei einer Blockchain eine tragende Rolle.
Zuverlässigkeit des Netzwerks:
Eine Blockchain ist dezentral organisiert, sodass ein Totalausfall des gesamten Netzwerks nahezu ausgeschlossen werden kann.
Transparenz:
Jede Transaktion des Blockchain-Netzwerks wird in einem der Blöcke gespeichert, sodass eine nachträgliche Analyse stets möglich ist. Hierdurch lassen sich Vertragspartner identifizieren und die Auswirkungen von Transaktionen reproduzieren.
Einsatzgebiete der Blockchain in der Praxis
Internationale Finanz-Transaktionen
Die hohe Datenkonsistenz und ein besonders hohes Maß an Transparenz sind wichtige Eigenschaften für Banktransaktionen. Durch eine Verschlüsselung – dies erfolgt durch den Einsatz einer Hash-Funktion – werden die Daten abgesichert und vor Manipulation geschützt.
Da die Verifikation innerhalb des Netzwerks stattfindet, können Intermediäre ausgeschlossen und die Transaktionskosten reduziert werden. Das Fehlen von Intermediären sorgt zusätzlich für eine höhere Transaktionsgeschwindigkeit.
Vermeidung von Geldwäsche
Bis heute ist Geldwäsche ein großes Problem in der Wirtschaft. Um dieses Problem zu beseitigen, kann die Blockchain herangezogen werden, indem alle abgeschlossenen Verträge transparent auf einer Blockchain gespeichert werden. Durch Aufzeichnungen lassen sich die einzelnen Transaktionen auch den jeweiligen Beteiligten zuordnen und so Geldwäsche vermeiden.
Der Einsatz einer Blockchain im Gesundheitswesen
Eine Blockchain kann so konfiguriert werden, dass diese nur ausgewählten Nutzern Zugriff auf die abgelegten Daten gewährt. Dennoch können die Daten im verteilten Netz abgelegt werden, sodass hier die Speicherung der sensiblen Daten erfolgen kann. Vor allem persönliche Unterlagen wie die Patientenakte, medizinische Befunde und Krankheitsverläufe können auf einer Blockchain gespeichert werden. Zugriff auf diese Daten erhalten dabei nur ausgewählte Nutzer, die zuvor vom Eigentümer der Daten freigeschaltet wurden.
Blockchain für das Identitätsmanagement
Die Verifizierung der Identität einer Person, z.B. für Ausweisdokumente – Führerscheine, Reisepässe und Personalausweise. Mithilfe der Blockchain-Technologie lassen sich die Identitäten von Personen sicherer und schneller identifizieren als bisher.
Abwicklung von Versicherungen über die Blockchain
Insbesondere moderne Blockchains bieten die Möglichkeit Smart Contracts zu entwickeln. Hierbei handelt es sich um intelligente Skripte, die automatisch Transaktionen auf der Blockchain veranlassen. Für Versicherungen bietet diese Möglichkeit einen großen Mehrwert, denn vor allem die Abwicklung von Schadensfällen oder Versicherungsleistungen lässt sich somit automatisiert und gesichert darstellen. So kann z. B. erkannt werden, dass ein einzelner Kunde mehrere Anliegen für einen identischen Schadensersatzanspruch geltend machen will.
IT-Sicherheit für Microsoft Office 365
Wirksamer Schutz für MS Office 365
Leitfaden wie man Microsoft Clouddienste sicher betreibt und Cyber-Schäden vermeidet
Risiken bei Microsoft Office 365 und wie man Microsoft Clouddienste mit wenigen Schritten sicherer macht
MS Office 365 ist bei Unternehmen und Behörden die mit Abstand meistgenutze Cloud-Anwendung. Daher werden die Microsoft Büroanwendungen auch häufig angegriffen.
Monokulturen sind von Natur aus weniger sicher, daher zielen Angreifer bewusst auf die Microsoft 365 Sicherheitsvorkehrungen! Im Jahr 2019 verursachten alleine Phishing Angriffe über 1 Milliarde EUR Kosten. (Quelle: IDC Report 2020)
Der Schaden kann groß sein, wenn es Cyberkriminellen gelingt in die Cloud einzudringen.
Risiken bei Microsoft 365 kennen und deren Ursachen verstehen.
In einer Welt, in der Remote-Arbeit die Norm ist, müssen Menschen in der Lage sein, überall, jederzeit und auf jedem Gerät auf ihre E-Mails zuzugreifen. Anwender profitieren von zahlreichen zusätzlichen Vorteilen wie z. B. dem Zugriff auf aktuelle Tools, einem geringeren Wartungsaufwand und kürzeren Zeitfenstern, in denen Anwender neue Funktionen nutzen können.
Doch während Cloud-E-Mail-Dienste dem Unternehmen in vielerlei Hinsicht Vorteile bringen, machen sie sich auch ungeschützt und anfällig für Angriffe.
Microsoft Office 365 gehört zu den am häufigsten angegriffenen Public-Cloud-E-Mail-Diensten.
Laut ESG Trend 2019 werden weltweit 73 % aller E-Mails über Google und Microsoft versendet. Hiervon nutzen 62 % aller Unternehmen und staatliche Einrichtungen Microsoft Office 365.
Die gefährlichsten E-Mail-Angriffe:
- Malware: Im Jahr 2019 gab es 10,52 Milliarden Viren-Angriffe. Aktuelle Faustregel: 2 von 5 schädliche Schadprogramme, z.B. Viren verbreiten sich in Microsoft Office-Dokumenten.
- Phishing: Im Jahr 2020 kamen über 27 % aller Angriffe über gefälschte Webseiten, E-Mails oder Kurznachrichten. Die Folge, Diebstahl von Anmeldedaten von zahlreichen Anwendungen und Dateiverzeichnissen.
- Ransomware: Für 2021 werden 19 Milliarden EUR Erpressungsgelder über Verschlüsselungstrojaner prognostiziert.
- Betrügerische Geschäfts-E-Mails (BEC): Zwischen 2016 und 2020 verursachten Cyberkriminelle über 24 Milliarden EUR Verluste, in dem sie sich Zugang zu E-Mails in Unternehmen verschafften, um dann in betrügerischer Absicht mit der Identität des eigentlichen E-Mail-Kontoinhabers ihre Opfer zu täuschen. Geschädigte waren das Unternehmen, Kunden oder Lieferanten.
- Domain-Kompromittierung: 54 % der legitimen Domains werden in Phishing-Kampagnen verwendet. Schäden sind hier auch Nichtverfügbarkeit eines Internetdienstes , z.B. eines Onlineshops.
Quelle: OpenPhish
Der einfachste Weg, sich vor komplexen Bedrohungen der Microsoft Clouddienste zu schützen
- Einrichten von Cloud Mailbox Defense. Das Sicherheitsmodul ist vollständig in Office 365 integriert.
- CESS einführen. Für besondere E-Mail Sicherheit empfiehlt sich der Einsatz eines Cloud E-Mail Security Supplement (CESS). Dieser Begriff wurde 2019 von Gartner geprägt. CESS ist eine Lösung, für schwer erkennbare und raffinierte Angriffe. Es schützt vor Eindringlingen, also z.B. Phishing oder Malware, innerhalb von Microsoft 365, die von Standard-Abwehrsystemen in Microsoft 365 nicht mehr erkannt werden.
Kontoübernahmen oder die beliebten E-Mailangriffe werden so wirksamer abgewehrt. CESS ist ein Muss für jedes Unternehmen, das sein Geschäft ernsthaft schützen möchte.
Ein dringender Appell:
- Beenden Sie Ihre unbewusste Geisterfahrt! Schließen Sie Ihre Einfallstore! Indem Sie mehr Sichtbarkeit für eingehende, ausgehende und interne Nachrichten schaffen.
- Behalten Sie die Herrschaft über Ihre unternehmensdigitales Geschäftskapital und bekämpfen Sie auch versteckte Bedrohungen, indem Sie die Bedrohungen zunächst erkennen. Sicherheits Produkte, wie AMP und Threat Grid.
- Bieten Sie Raubrittern ohne Hexenwerk die Stirn! Nur wenige Schritte bis zum Ziel.
- Nutzten Sie API-gesteuerte Beseitigung von Nachrichten mit bösartigem Inhalt in allen Mailboxen
- Verwenden Sie integrierte Dashboards für Suche, Reporting und Tracking.
Das Ergebnis
- Kontrolle über Ihre Mailbox
- Keine Änderungen am E-Mail-Fluss oder DNS
- Verfolgung aller Nachrichten
Drucker sind oft unterschätzte Risikofaktoren in Unternehmen und Behörden
Achtung, Drucker gehören zu den größten Risikofaktoren im Unternehmen!
In diesem Beitrag geht es um IT-Sicherheit und Kosteneinsparungen im Druckerbetrieb.
Drucker im Unternehmen. Teure und gefährliche Begleiter
Drucker gehören, trotz der zunehmender Digitalisierung, zu unserem Büroalltag.
Die meisten professionellen Drucker können zusätzlich scannen oder Kopien anfertigen.
Jeder soll sie leicht bedienen können, vom PC am Arbeitsplatz oder am Drucker selbst. Papier nachlegen – und kleinere Störungen sind zwar lästig, können aber meist von den Mitarbeitern erledigt werden. Gute Drucker sollen „einfach nur funktionieren“. Die Druckerwartung übernimmt in der Regel ein Dienstleister.
Drucker gehören zu den Kosten-Posten, die vom Management selten besondere Beachtung bekommen, definitiv zählen sie nicht zur strategischen Infrastruktur.
Drucker und deren Betrieb nehmen aber einen bemerkenswerten Anteil am Budget für die Technik. In vielen Fällen können die Kosten für Drucker jedoch erheblich reduziert werden.
Drucker sind oft ein Risiko und sie werden daher auch auf die erforderliche DSGVO Konformität geprüft.
Die drei häufigsten Schwachstellen bei Drucker, wie man diese Risiken minimiert und dabei gleichzeitig die Kosten messbar reduziert:
- Die Schnittstellen.
- Cyber-Angriffe über das Netzwerk: Drucker Schnittstellen für den Netzwerkanschluß sind oft nicht so geschützt wie Clients, also PC´s und Laptop. Hacker suchen gezielt den Weg über Drucker, um von dort an die Server und Clients der Unternehmen zu gelangen.
- Über Bluetooth oder USB-Schnittstellen gelangt man zur Drucker-Software und dann oft auch zur Druckerfestplatte und somit an die restliche Unternehmens-IT
- Die Festplatte in den Druckern speichert alle gedruckten oder gescannten Dokumente. Je nach Größe der Festplatte sind dies tausende Seiten. Man muss sich nur vorstellen, welche vertraulichen Informationen in den letzten Monaten gedruckt, kopiert oder gescannt wurden. Dann realisiert man wie wichtig es ist, dass diese Informationen nicht in falsche Hände gelangen. (Immerhin haben wir alle schon gelernt keine vertraulichen Kopien am Drucker liegen zu lassen)
- Drucker-Software: Jeder Drucker hat natürlich auch eine eigene Software, über die das Druckermanagement alle Funktionen möglichst reibungslos auf Befehl umsetzt.
Wie fast alle Systeme im Netzwerk wird diese Software regelmäßig aktualisiert. Dummerweise berücksichtigt jeder Hersteller im System nur seine eigenen Produkte. Server und Clients werden hoffentlich gut vom Systemadministrator gewartet, Updates erfolgen koordiniert. Die Drucker aber haben hierbei Ihren eigenen Takt. Abgestimmt sind sie weder mit der übrigen IT noch innerhalb der Drucker selbst. Vor allem, wenn Unternehmen verschiedene Drucker von unterschiedlichen Herstellern und unterschiedlichen Wartungsunternehmen betreiben.
Druckerausfälle sind hier nicht selten. Wir alle kennen diese und erinnern uns an Situationen, wo Druckerausfälle uns um Stunden länger im Büro verhaftet haben.
Hacker kennen sie auch. Hacker lieben diese Lücken, um in Unternehmensnetzte einzudringen.
Druckerkosten
Druckkosten sind ein erheblicher Anteil der Infrastrukturbetriebskosten. Sie werden aber als sehr gering im Verhältnis zu den Betriebskosten (TCO) anderer technischen Hilfsmittel, wie Laptop, Server Applikationen-Lizenzen etc. erachtet.
Das ist falsch, wie folgendes reales Beispiel zeigt:
Ein internationaler Konzern betreibt in Deutschland 2.000 Drucker und druckt pro Jahr 100 Mio. Din A 4 Blätter. 40% hiervon in Farbe.
Bei ineffizientem Druckermanagement entstehen hier leicht Kosten von 7,6 Millionen € / Jahr, welche mit effizientem Druckmanagement auf die Hälfte reduziert werden können – also auf 3,8 Millionen € / Jahr. Nicht unerheblich ist auch die Menge an Papier welche so eingespart werden kann.
Es bleibt ausgesprochen sinnvoll, sich mit diesem Thema im eigenen Betrieb auseinander zu setzen. Auch ist es keine Schande, sich für diesen umfänglichen Aufgabenbereich Unterstützung zu gönnen.
Cookie-Banner benutzerfreundlich und DSGVO konform gestalten
Ein Leitfaden mit Tips und Richtlinien für Cookie-Banner
Webseiten sollen benutzerfreundlich informieren oder kundenorientiert verkaufen.
Gute Webseiten tragen maßgeblich zum Image von Unternehmen und Behörden bei. Vertrauen und Zuverlässigkeit sind hierbei wesentlich.
Webseiten müssen nicht nur DSGVO Konform sein, sie sollten auch sicher funktionieren, um Vertrauen zu gewinnen. Leider bewirken Cookie Banner oft genau das Gegenteil, sie meistens lästig. Damit also die Webseite attraktiv ist, sollte man den Cookie-Bannern genauso Aufmerksamkeit widmen, wie dem Portal selbst.
Hier ein Leitfaden zur Gestaltung von Cookie-Banner
Von Anfang an: Was sind Cookies?
Einfach gesagt, ist ein Cookie ein kleines Programm, mit dem Internetseiten (beziehungsweise deren Betreiber) Nutzer identifizieren und bei jedem Besuch wiedererkennen und ihre Aktivitäten dokumentieren.
Cookies haben vor allem zwei Vorteile:
- Für die die Nutzer: Sie müssen nicht bei jedem Aufrufen der Seite ihre Daten eingeben und sich anmelden.
- Für die Betreiber: Diese können anhand der Cookies Besucherprofile erstellen und diese beispielsweise für Marketingzwecke verwenden oder Kunden das anzeigen, was sie am meisten interessiert. Für Onlineshops, z.B. sind Kundeninformationen ein Erfolgskriterium.
Dabei wird zwischen verschiedenen Arten von Cookies unterschieden:
- Notwendige Cookies sind technisch erforderlich, damit eine Website überhaupt funktioniert. Eine konkrete Übersicht oder Auflistung, was genau darunter fällt, gibt es bislang allerdings nicht.
Technisch Notwendige Cookies bedürfen keine Einwilligung! - Funktionale Cookies speichern beispielsweise Informationen zur ausgewählten Sprache der Webseite oder den Benutzernamen. Sie ermöglichen u. a. eine persönliche Begrüßung auf der Website und können die Nutzung für den Nutzer bequemer machen.
- Statistik-Cookies erfassen Informationen über das Nutzerverhalten, beispielsweise angesehene Produkte, verwendete Suchbegriffe oder auch die Verweildauer auf einer Website.
- Marketing-Cookies dienen einzig und allein werblichen Interessen. Sie werden genutzt, um Internetnutzern passgenaue Werbung anzuzeigen.
Vorgehensweise für die Gestaltung von Cookies
- Prüfen, ob überhaupt Cookies verwendet werden und ob es jedes Mal nötig, ist den Interessenten mit einem Cookie-Hinweis oder Cookie-Banner zu konfrontieren.
- Wenn Cookies genutzt werden, dann sollte man prüfen, welche Daten (Informationen) gelesen und ausgewertet werden.
Erst wenn feststeht, welche Daten ausgewertet und ggf. an Dritte weitergeleitet werden, dann ist die Einwilligung des Betroffenen erforderlich. Betroffene müssen wissen, welche ihrer Daten verarbeitet werden, wer sie Lesen kann und wohin sie gespeichert werden. - Jetzt macht man sich daran, möglichst benutzerfreundliche Cookie-Banner zu gestalten, also das Design und deren Texte.
- Die Einwilligung sollte möglichst einfach gestaltet werden, ohne Umwege und versteckte Links. Versteckte Links führen zur Verärgerung und bewirken das Gegenteil, was die Webseite eigentlich erreichen soll, nämlich Interessierte gewinnen.
- Prüfen ob ein Consent Tool erforderlich ist. Einwilligungen machen nur dann Sinn, wenn man die Einwilligung auch nachprüfen kann. Kann man die Einwilligung nicht nachvollziehen, nützt sie bei Nachfrage wenig. Wenn man viele Interessenten hat, ist ein Consent Tool sehr hilfreich. Consent Tools gibt es viele, Tulos hilft Ihnen gerne bei der Auswahl passender Systeme.
Zusatzwissen und rechtliche Grundlagen für Cookies
Seit Mai 2018 gilt die DSGVO. Alle Webseitenbetreiber, die Cookies nutzen, müssen seit 2018 ihre Datenschutzerklärung neu formulieren. Die DSGVO verlangt nämlich, dass in der Datenschutzerklärung die Rechtsgrundlagen für das Verwenden von Cookies genannt werden.
Richtlinien für Cookies regelt in Deutschland der § 15 Abs.3 Telemediengesetz (TMG). Der besagt, dass es ausreicht, den Nutzer zu unterrichten und auf ein Widerspruchsrecht hinzuweisen (§ 13 Abs. 1). Das kann in einem Cookie-Hinweis in einem Banner mit Link auf die Datenschutzerklärung erfolgen.
Vorschriften für die Gestaltung von Cookies bzw. Einwilligungserklärungen
- Die Zustimmung des Nutzers muss direkt beim Seitenaufruf eingeholt werden, bevor Cookies gesetzt werden. Einzige Ausnahme: Technisch notwendige Cookies dürfen ohne vorherige Zustimmung gesetzt werden.
- Cookie-Banner dürfen keine vorher angekreuzten Kontrollkästchen haben.
- Das fortgesetzte Scrollen und Browsen auf einer Website stellt keine gültige Zustimmung dar.
- Cookie-Walls (d.h. erzwungene Einwilligung) stellen keine gültige Zustimmung dar.
- Die Einwilligung muss spezifisch sein und vom Benutzer aktiv erteilt werden, durch erstmaliges Ankreuzen eines Kästchens, nicht durch Deaktivieren eines bereits angekreuzten Kästchens. Die Einwilligung gilt auch nur, wenn die Nutzer über die Dauer der platzierten Cookies informiert wurden und darüber, ob Dritte Zugang zu ihren Daten haben.
- Im Idealfall wird auf manipulative Formulare verzichtet, bei denen etwa für das Abwählen mehr Klicks als für das Annehmen erforderlich sind. Oder der Annehmen-Button mehr hervorsticht als der fürs Ablehnen. Dies ist zwar nicht verboten, der Europäische Datenschutzausschuss (EDSA) sieht das aber in einer Richtlinie aus dem Jahr 2020 sehr kritisch. (Stand: Oktober 2020).
- Unabhängig davon, ob und wie die Besucher einer Webseite über eingesetzte Cookies unterrichtet werden, in der Datenschutzerklärung muss auf die Verwendung der Cookies hinwiesen werden.
- Der Link zur Datenschutzerklärung muss von jeder Seite der Website aus erreichbar sein.
- Betreiben Sie eine gewerbliche Website, stellt eine fehlende oder mangelhafte Datenschutzerklärung einen Wettbewerbsverstoß dar, welcher abgemahnt werden kann.
Fazit
- Die Rechtslage in Sachen Cookies ist in Deutschland verwirrend und noch nicht eindeutig geregelt, mann sollte aber prüfen was mindestens erforderlich ist.
- Klar ist aber: Wer über Cookies personenbezogene Daten erhebt, muss dafür zuvor die aktive Zustimmung des betroffenen Nutzers einholen.
- Nur technisch notwendige Cookies dürfen ohne Einwilligung des Nutzers gesetzt werden.
Datenschutz für Windows 10
Umsetzung der DSGVO Erfordernisse für den Betrieb von Windows 10
Sieben Schritte, wie man Windows 10 nach DSGVO prüft und sicher betreibt.
Unternehmen und staatliche Einrichtungen die Windows 10 einsetzen müssen diese Plattform auf DSGVO Erfordernisse prüfen und ggf. korrektive Maßnahmen umsetzten.
Denn Windows 10 ist nicht nur ein Betriebssystem, es ist eine Produktfamilie mit vielen Funktionalitäten die personenbezogene Daten verarbeiten, diese weiterleiten und speichern. Wer Windows 10 Systeme nicht auf DSGVO Konformität prüft und sie nicht auf die gesetzlichen Erfordernisse anpasst riskiert Strafen.
Nicht nur DSGVO Strafen, auch mangelnde IT-Sicherheit können hohe Schäden in Unternehmen und Behörden verursachen. Daher ist es in jedem Fall ratsam die Datenverarbeitung von Windows 10 zu kennen und zu kontrollieren.
Schritt 1
Zunächst wird die Edition und Version von Windows 10 aufgenommen. Microsoft bietet mehrere Editionen, z.B.:
– Windows 10 -Enterprise
– Windows 10 Education und Home
– Windows 10 Windows Server 2016 und höher
Alle diese in verschiedenen Versionen (z. B. 1803) und ggf. weiterer Merkmale (z.B.: Sprache, Multimediapaket) an.
Schritt 2
Dann werden die Produkte und Funktionalitäten gelistet, die tatschlich genutzt oder geplant sind.
Für die DSGVO müssen die Verarbeitungstätigkeiten derjenigen Produkte beschrieben werden, die personenbezogene Daten beinhalten. Wichtig dabei sind Datenweiterleitung, z.B. an Microsoft, und die Speicherung.
Denn während Privatnutzer von Windows 10 die Datenweiterleitung ihrer personenbezogenen Daten an Microsoft mit einer Einwilligung legalisieren, können Mitarbeiter von Unternehmen und Behörden hier keine Zustimmung geben. Einwilligungen setzten nämlich die Freiwilligkeit voraus, die ist bei Mitarbeitern nicht gegeben, sie können ja nicht ablehnen, solange sie mit Windows 10 arbeiten müssen.
Auch die Vorschriften zur Löschung von Daten, können nur eingehalten werden, wenn man weiß welche Daten sich an welcher Stelle befinden.
Microsoft hat seine Windows 10 Produkte den Anforderungen der DSGVO angepasst und stellt für jede Edition einen Leitfaden zur Konfiguration sowie der nötigen Dokumentation zur Verfügung. Diesen Leitfanden finden Sie hier.
Schritt 3
Nachdem die Verarbeitungstätigkeiten, einschließlich der Art, Umfang, Umstände und Zweck der Datenvereinbarungen beschrieben sind und durch Einsatz entsprechender Tools, wie z.B. MS Diagnostic Data Viewer, festgestellt wurde, welche personenbezogenen Daten an Microsoft für welche Zwecke übermittelt werden, ist zu prüfen, ob die Datenverarbeitung, inkl. deren Übermittlungen rechtmäßig sind.
Relevante Rechtsgrundlagen für Windows 10 sind hier beschrieben.
Schritt 4
Auswahl angemessener Maßnahmen
Es sind Maßnahmen zu treffen, mit denen eine unrechtmäßige Offenlegung von Daten verhindert werden. Die Auswahl von angemessenen Maßnahmen ist abhängig vom Stand der Technik, den Implementierungskosten und den Risiken für die Rechte und Freiheiten der betroffenen Personen. Neben der technischen Verhinderung einer unrechtmäßigen Offenlegung von personenbezogenen Daten sind auch Maßnahmen zu treffen, durch die überprüft wird, ob diese getroffenen Maßnahmen auch nach Updates weiterhin einen angemessenen Schutz gewährleisten. Die getroffenen Maßnahmen und ihre Einhaltung sind nach Art. 5 Abs. 2 DSGVO zu dokumentieren.
Schritt 5
Sodann ist eine Datenschutz-Folgenabschätzung durchzuführen.
Das ist eine Einschätzung des Schadens den der oder die Betroffene erleiden kann, falls Informationen über Sie/ Ihn an Unbefugte gelangen. Bei der Einschätzung werden die Schwere und Eintrittswahrscheinlichkeit unter Berücksichtigung der getroffenen Maßnahmen geprüft. Das Ergebnis ist dann die Risikobewertung für die Oder den Betroffenen.
Ist das Risiko nicht tragbar, weil die erforderlichen Maßnahmen nicht umgesetzt wurden, ist die zuständige Aufsichtsbehörde gemäß Art. 36 DS-GVO zu konsultieren.
Schritt 6
Implementierung der Maßnahmen und Überprüfung ihrer Wirksamkeit. Die ermittelten Maßnahmen sind zu implementieren und auf ihre Wirksamkeit zu überprüfen. Sobald die Maßnahmen erfolgreich greifen und das Restrisiko tragbar ist, kann Windows 10, bzw. können bestimmte Funktionen von Windows 10 zum Einsatz kommen.
Schritt 7
Bei einem Update besteht die Möglichkeit, dass neue Funktionen aktiviert werden, bestehende Funktionen verändert werden, Konfigurationsmöglichkeiten verändert werden oder die durch den Verantwortlichen getätigte Konfiguration verändert wird. Der Verantwortliche wird prüfen müssen, inwieweit sich dadurch die Effektivität der Maßnahmen zur Verhinderung einer unrechtmäßigen Offenlegung verändert hat. Ggf. darf eine Versionsänderung nicht durchgeführt werden, bevor die Maßnahmen nicht angepasst wurden und ein fortwährender Einsatz im Einklang mit der Verordnung wieder gewährleistet werden kann.
In einem weiteren Blog stellt Tulos Consulting einen Überblick zur rechtlichen Prüfung und passende Hinweise für Windows 10 zur Verfügung.
