Bürger-CERT: Prophete – Insolvenz durch Cyber-Angriff

Vor wenigen Tagen hat der traditionsreiche Hersteller von Fahrrädern, die Prophete-Gruppe aus Rheda-Wiedenbrück, Konkurs angemeldet. Als einen Grund für die Pleite nennt der vorläufige Insolvenzverwalter gegenüber der Frankfurter Allgemeinen Zeitung einen Hacker-Angriff, der im Unternehmen über mehrere Wochen zu einem kompletten Betriebsausfall geführt haben soll. „Die daraus resultierenden Verluste waren für das Unternehmen nicht mehr zu bewältigen.“

BSI-Informationen zu Ransomware: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Gefaehrdungen/Fortschrittliche-Angriffe/Fortschrittliche-Angriffe_node.html

Generalstaats­anwalt­schaft Berlin: Durchsuchungen nach Abmahnwelle wegen „Google Fonts“-Nutzung

Pressemitteilung vom 21.12.2022

In einem Verfahren gegen zwei Beschuldigte – einen 53‑jährigen Rechtsanwalt mit Kanzleisitz in Berlin und dessen 41‑jährigen Mandanten, dem angeblichen Repräsentanten einer „IG Datenschutz“ – wurden heute wegen des Verdachts des (teils) versuchten Abmahnbetruges und der (versuchten) Erpressung in mindestens 2.418 Fällen durch die Polizei im Auftrag der Staatsanwaltschaft Berlin Durchsuchungsbeschlüsse in Berlin, Hannover, Ratzeburg und Baden-Baden sowie zwei Arrestbeschlüsse mit einer Gesamtsumme vom 346.000 Euro vollstreckt.

Den Beschuldigten wird vorgeworfen, bundesweit Privatpersonen und Kleingewerbetreibende, die auf Ihren Homepages sog. „Google Fonts“ – ein interaktives Verzeichnis mit über 1.400 Schriftarten, die das Schriftbild einer Webseite bestimmen – eingesetzt haben, per Anwaltsschreiben abgemahnt zu haben. Zugleich wurde diesen angeboten, ein Zivilverfahren gegen Zahlung einer Vergleichssumme in Höhe von jeweils 170 Euro vermeiden zu können. Dass die behaupteten Schmerzensgeldforderungen wegen Verletzung des Rechts auf informationelle Selbstbestimmung nicht bestanden, soll den Beschuldigten dabei bewusst gewesen sein. Entsprechend sollen sie auch gewusst haben, dass für die Angeschriebenen kein Anlass für einen entsprechenden Vergleich bestand, da sie die angeblichen Forderungen gerichtlich nicht hätten durchsetzen können. Die Androhung eines Gerichtsverfahrens soll daher tatsächlich nur mit dem Ziel erfolgt sein, die Vergleichsbereitschaft zu wecken.

Bei Google Fonts handelt es sich um ein Tool, das lizenzfrei von der Firma Google für Websitebetreiber zur Verfügung gestellt wird. Internetseiten, die dieses nutzen, übermitteln die Internet Protocol (IP)‑Adresse in der Regel ohne Kenntnis und Einwilligung von Besuchern der Website automatisch an die Firma Google in den USA. Vor diesem Hintergrund hat das Landgericht München mit Urteil vom 20. Januar 2022 (Az. 3 O 17493/20) entschieden, dass die automatische Weitergabe der IP‑Adresse (als personenbezogenes Datum) durch den Betreiber einer Website einen datenschutzrechtlichen Eingriff darstelle, in den der Besucher der Seite nicht eingewilligt habe. In dieser Vorgehensweise dürfte also tatsächlich ein Verstoß gegen die Datenschutzgrundverordnung liegen und so auch ein entsprechender Unterlassungsanspruch bestehen, wenn ein unbedarfter Nutzer eine solche Website besucht.

Die Beschuldigten aber sollen gerade nicht unbedarft gewesen sein: Mittels einer eigens dafür programmierten Software sollen sie zunächst Websites identifiziert haben, die Google Fonts nutzen. In einem zweiten Schritt und wieder unter Nutzung einer dafür entwickelten Software sollen Sie Websitebesuche durch den beschuldigten 41‑jährigen automatisiert vorgenommen, diese letztlich also fingiert haben. Die dann protokollierten Websitebesuche sollen die Grundlage für die Behauptung der datenschutzrechtlichen Verstöße und die Geltendmachung von Schmerzensgeldansprüchen gewesen sein, die durch die Annahme des „Vergleichsangebotes“ angeblich hätten abgewendet werden können.

Die Beschuldigten sollen daher darüber getäuscht haben, dass eine Person die Websites besucht hat (und nicht tatsächlich eine Software). Mangels Person läge dann aber keine Verletzung eines Persönlichkeitsrechts vor.
Da sie diese Besuche außerdem bewusst vorgenommen haben sollen, um die IP‑Adressen‑Weitergabe in die USA auszulösen, hätten sie faktisch auch in die Übermittlung eingewilligt, so dass eben gerade kein datenschutzrechtlicher Verstoß mehr gegeben war, der eine Abmahnung hätte begründen können.
In einigen Fällen soll zudem überhaupt keine Datenübermittlung in die USA erfolgt, ein darauf basierender Anspruch aber trotzdem geltend gemacht worden sein.

420 Anzeigen von „Abgemahnten“, die letztlich nicht gezahlt haben, liegen der Staatsanwaltschaft Berlin inzwischen vor. Aus der Auswertung der Kontounterlagen der Beschuldigten ergibt sich indes, dass etwa weitere 2.000 Personen das „Vergleichsangebot“ aus Sorge vor einem Zivilverfahren und in der unzutreffenden Annahme, der behauptete Anspruch bestünde tatsächlich, angenommen und gezahlt haben.

Die heutigen Durchsuchungen führten zum Auffinden von Beweismitteln, insbesondere Unterlagen und Datenträgern, die nunmehr ausgewertet werden müssen. Sie sollen unter anderem über die Anzahl, Auswahlkriterien und Identität, die tatsächlichen Umsätze und die genaue Vorgehensweise weiteren Aufschluss geben.

Link: Gemeinsame Pressemeldung: Durchsuchungen nach Abmahnwelle wegen „Google Fonts“-Nutzung – Berlin.de

DSK: neue Version der Orientierungshilfe Telemedien veröffentlicht

Auf ihrer 104. Konferenz hat die Datenschutzkonferenz die geänderte Fassung der Orientierungshilfe (OH) für Anbietende von Telemedien 2021 Version 1.1 beschlossen. Diese wurde nun zusammen mit einem umfassenden Auswertungsbericht veröffentlicht.

Zum Inkrafttreten des Telekommunikation-Telemedien-Datenschutzgesetzes (TTDSG) im Dezember 2021 verabschiedete die DSK die OH Telemedien 2021. Diese setzt sich ausführlich mit den Anforderungen des neuen Gesetzes sowie der Daten
schutz-Grundverordnung beim Betrieb von Webseiten auseinander und gibt Webseitenbetreibenden, Anbietenden von Telemedien sowie Nutzenden und Rechtsanwendenden Hilfestellungen für einen datenschutzkonformen Betrieb ihrer Webseiten.

Auf Webseiten und in Apps kommen regelmäßig Technologien zum Einsatz – häufig von Drittdienstleistenden – die es ermöglichen, personenbezogene Daten von Nutzenden zu verschiedenen Zwecken zu verarbeiten. Ein sehr praxisrelevantes Beispiel solcher Technologien sind sogenannte Cookies, die in den Anwendungsbereich des neuen §25 TTDSG fallen.

Im Anschluss an die Veröffentlichung der OH Telemedien 2021 hat die DSK ein öffentliches Konsultationsverfahren eingeleitet. Nach Auswertung der eingegangenen Stellungnahmen wurden entsprechende Anpassungen und Ergänzungen in der Ursprungsversion der OH Telemedien 2021 vorgenommen. Zudem wurde die OH Telemedien 2019 in die aktuelle Version 1.1 aufgenommen. Eine ausführliche Bewertung der Stellungnahmen findet sich im Auswertungsbericht des Arbeitskreis Medien „Konsultation zur Orientierungshilfe für Anbieter von Telemedien“.

Weitere Informationen zur Datenschutzkonferenz: www.datenschutzkonferenz-online.de

DSK: Microsoft 365 nicht datenschutzrechtskonform!

Die DSK (Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder) stellt unter Bezugnahme auf die Zusammenfassung des Berichts fest, dass der Nachweis von Verantwortlichen, Microsoft 365 datenschutzrechtskonform zu betreiben, auf der Grundlage des von Microsoft bereitgestellten „Datenschutznachtrags vom 15.September 2022“ nicht geführt werden kann. Solange insbesondere die notwendige Transparenz über die Verarbeitung personenbezogener Daten aus der Auftragsverarbeitung für Microsofts eigene Zwecke nicht hergestellt und deren Rechtmäßigkeit nicht belegt wird, kann dieser Nachweis nicht erbracht werden.

ür eine vertiefte Bewertung der Gesprächsergebnisse stellt die DSK die eine Zusammenfassung der Arbeitsgruppenergebnisse zur Verfügung.

https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DSK/DSKBeschluessePositionspapiere/104DSK-Festlegung-Microsoft-Onlinedienste.pdf?__blob=publicationFile&v=1

LfDI BW: Verhaltensregeln für Auftragsverarbeiter

Mehr Rechtssicherheit im Bereich Auftragsverarbeitung – standardisierte Verhaltensregeln bieten Unternehmen Unterstützung bei der Anwendung der Datenschutz-Grundverordnung

LfDI Dr. Stefan Brink: „Selbstregulierung ist eine hervorragende Möglichkeit, Datenverarbeitung maßgenau auf die Bedürfnisse von Branchen abzustimmen – die DS-GVO gibt diese Möglichkeit, die wir jetzt umsetzen.“

Wer in Baden-Württemberg personenbezogene Daten verarbeitet, muss die europäischen Regeln der Datenschutz-Grundverordnung (DS-GVO) beachten. Für den Datenschutz verantwortliche Stellen nutzen regelmäßig Dienstleister, die in ihrem Auftrag personenbezogenen Daten verarbeiten – sogenannte Auftragsverarbeiter. Um hier mehr Übersichtlichkeit und Rechtssicherheit zu schaffen, hat der LfDI daher die neue nationale Verhaltensregel „Anforderungen an die Auftragsverarbeiter nach Artikel 28 DS-GVO – Trusted Data Processor“ genehmigt. Unternehmen können sich fortan diese Verhaltensregeln zu eigen machen und nutzen damit die Möglichkeit, für sich mehr Rechtssicherheit zu schaffen.

Durch die Selbstverpflichtung auf die Verhaltensregel „Trusted Data Processor“ machen Auftragsverarbeiter nach außen sichtbar, dass sie den in der Verhaltensregel festgelegten Vorgaben folgen und sich deren Überwachung durch eine vom LfDI akkreditierte Überwachungsstelle unterwerfen. Die Überwachungsstelle ist Anlaufstelle für Beschwerden und kontrolliert regelmäßig die Einhaltung der Verhaltensregel. An der Entwicklung der „Trusted Data Processor“ wirkten maßgeblich Experten der Fachverbände „Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V.“ und „Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V.“ mit.

Die DS-GVO kennt das Instrument der Verhaltensregeln (Code of Conduct), welche der Konkretisierung von datenschutzrechtlichen Anforderungen dienen soll. Mit der Anerkennung der Verhaltensregel wurde auch die DSZ Datenschutz Zertifizierungsgesellschaft mbH als neue Überwachungsstelle akkreditiert. Die DSZ bearbeitet die Anträge auf Selbstverpflichtung und übernimmt die Kontrolle und Bearbeitung von Beschwerden.

Weitere Informationen:

Der Landesbeauftragte berät Bürger_innen, Behörden, Unternehmen und bei Fragen des Datenschutzes. Seinen Beratungsansatz hat er zudem gestärkt, in dem er hauseigene Bildungszentrum BIDIB aufgebaut und erfolgreich etabliert hat, Handreichungen und Orientierungshilfen herausgibt und zuletzt etwa mit der Vorlage von Datenschutzicons die übersichtliche Gestaltung von Datenschutzhinweisen fördert. Mit seinem Tool DS-GVO.clever ermöglicht der Landesbeauftragte Vereinen und kleinen Unternehmen zudem, einfach und schnell Datenschutzhinweise zu erstellen.

Mit der Akkreditierung DSZ Datenschutz Zertifizierungsgesellschaft mbH folgt der Landesbeauftragte seinem praxisorientierten Ansatz zur einheitlichen und konsequenten Umsetzung und Anwendung der DS-GVO und bietet damit auch baden-württembergische Unternehmen die Möglichkeit, ihrer datenschutzrechtlichen Verantwortung mit der Einhaltung der Selbstverpflichtung wirksam nachzukommen. Auf der Webseite der DSZ unter https://www.verhaltensregel.eu/ finden Interessierte die Verhaltensregel Trusted Data Processor.

Für Rückfragen erreichen Sie uns unter der Telefonnummer
0711/615541-23 und per E-Mail: pressestelle@lfdi.bwl.de

Weitere Informationen zu Datenschutz und Informationsfreiheit finden Sie im Internet unter www.baden-wuerttemberg.datenschutz.de oder unter www.datenschutz.de.

BSI: Cyber-Sicherheit für KMU

Die Broschüre bietet KMU einen leicht verständlichen Einstieg, um ihr Cyber-Sicherheitsniveau zu verbessern, denn Informationssicherheit ist die Voraussetzung für eine sichere Digitalisierung. Die Broschüre steigt mit den wichtigsten Grundlagen der IT-Sicherheit ein – kurz und knapp anhand von 14 Fragen. Sie informiert unter anderem darüber, wer für die Informationssicherheit im Unternehmen verantwortlich ist, warum Patches und Updates regelmäßig installiert werden sollten, warum ein Virenschutzprogramm notwendig und eine Datensicherung so wichtig ist.

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cyber-Sicherheit_KMU.pdf

Kündigung wegen Verstoß gegen„Clean-Desk-Policy“

Die DS-GVO fordert von Verantwortlichen und Auftragsverarbeitern in Art. 32 DS-GVO ein Schutzniveau, das dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessenen ist. Dabei sollen zur Gewährleistung der Sicherheit der insbesondere die Risiken berücksichtigt werden, die aus einer Verletzung der Verfügbarkeit, Vertraulichkeit und Integrität der personenbezogenen Daten, der an deren Verarbeitung beteiligten IT-Systeme, Dienste und Fachprozesse hervorgehen können. Ziel ist es, diese Risiken einzudämmen, indem wirksame technische und organisatorische Maßnahmen (TOM) umgesetzt werden. Auf Grund der technikneutralen Formulierung des DS-GVO finden sich darin keine konkreten Maßnahmen, die Schritt für Schritt abgearbeitet werden können. Stattdessen steht es grundsätzlich jedem Verantwortlichen frei, selbst diejenigen TOM auszuwählen, die passend zu der eigenen Art der Verarbeitung und Unternehmensgröße sind, sofern damit ein wirksames angemessenes Schutzniveau erreicht werden kann.

Diese TOM können und werden von Verantwortlichen in sog. „Clean-Desk-Policies“ zusammengefasst und für die Einhaltung durch die Beschäftigten in Kraft gesetzt. Die Etablierung von TOM ist nicht nur für den Schutz von personenbezogenen Daten ein notwendiges Muss, sondern kann auch für den Schutz von sog. Geschäftsgeheimnissen eingesetzt werden.

Früher wurde es als ausreichend betrachtet, dass der Inhaber eines Geschäftsgeheimnisses den subjektiven Willen hatte, eine Information als Geschäftsgeheimnis zu schützen. Mit dem neuen Geschäftsgeheimnisgesetz reicht dies nicht mehr aus, da eine Information nur noch als Geschäftsgeheimnis betrachtet wird, sofern diese zum Gegenstand von tatsächlichen angemessenen Schutzmaßnahmen gemacht und explizit durch diese geschützt wird (vgl. (§ 2 Nr 1 a) GeschGehG). Bestandteil des organisatorischen Geheimnisschutzes ist in Unternehmen daher oftmals eine „Clean-Desk-Policy“, die den Mitarbeiter dazu verpflichtet, bei Verlassen des Schreibtisches keine Geschäftsgeheimnisse offen oder erkennbar liegen zu lassen.

Das LAG Sachsen hat in einer kürzlich verkündeten Entscheidung klargestellt, dass die wiederholte Verletzung organisatorischer Schutzmaßnahmen, die zum Schutz von Geschäftsgeheimnissen etabliert wurden, die Kündigung des Arbeitnehmers rechtfertigt (Urteil vom 07.04.2022 – 9 Sa 250/21).

Im Kern ging der Kündigungsschutzklage ging es auch um die Frage, wann die Nichtbeachtung einschlägiger Clean-Desk-Policies zu einer Abmahnung oder aber auch in wiederholten Fällen zu einer Kündigung führen kann. Im Fall des LAG Sachsen war die Klägerin bei der Beklagten als Kreditsachbearbeiterin beschäftigt. Die von der Beklagten in Kraft gesetzter umfassende Richtlinie zur Informationssicherheit und Clean-Desk-Policy wurde von der Klägerin (der Kündigungsschutzklage) zum wiederholten Male verletzt. Die Richtlinien enthielten Regelungen mit dem Inhalt, dass Beschäftigte schützenswerte Daten stets wegzusperren oder ordnungsgemäß zu entsorgen haben, ihre Arbeitsgeräte beim Verlassen des Arbeitsplatzes zu sperren sind und sensible Dokumente keinesfalls offen einsehbar liegen gelassen werden dürfen.
Nach Auffassung des Gerichts habe die Klägerin gegen die Hauptpflichten aus ihrem Arbeitsvertrag verstoßen. Unter Beachtung der vorhergehenden Abmahnungen handele es sich laut Gericht insgesamt um erhebliche Pflichtverletzungen. Der Arbeitgeber sei nicht verpflichtet gewesen, erst noch eine weitere Abmahnung auszusprechen.

Der Fall macht die Bedeutung von verschriftlichten Regelungen rund um den Schutz von personenbezogenen Daten und auch Geschäftsgeheimnissen deutlich:
Verantwortliche finden wichtige Hinweise, welche Inhalte eine Clean-Desk-Policy enthalten sollte, u.a. auch in den Umsetzungshinweisen zum Baustein INF.7 Büroarbeitsplatz. Diese können selbstverständlich auch im Rahmen einer Home-Office-Regelung genutzt werden, wo das Thema Clean-Desk-Policy ebenfalls seine Daseinsberechtigung haben kann, wie am Arbeitsplatz im Unternehmen selbst. Hierfür kann das Dokument „Datenschutzrechtliche Regelungen bei Homeoffice – Checkliste mit Prüfkriterien nach DS-GVO“ des BayLDA empfohlen werden. Eine noch allgemeinere und umfangreichere Checkliste finden Interessierte in dem Dokument “ Good Practice bei technischen und organisatorischen Maßnahmen – Generischer Ansatz nach Art. 32 DS-GVO zur Sicherheit„, welches ebenfalls vom BayLDA angeboten wird.

Google Fonts löst Abmahnwelle aus

Pressemitteilung des Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI) vom 02.11.2022

Aus aktuellem Anlass möchte der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Dr. Lutz Hasse über Folgendes informieren:

Laufende Abmahnwelle
Laut Medienquellen soll es aktuell zu einer Abmahnwelle gegen tausende von Websites-Betreibern kommen. Grund ist die dynamische Einbettung von Google Fonts auf deren Website, ohne vorab die Einwilligung der Besucher der Website einzuholen. Auch beim TLfDI gehen regelmäßig Beschwerden dieses Inhalts gegen Seitenbetreiber ein. Bei einer dynamischen Einbindung werden die Schriftarten von Servern des US-Konzerns in den Browser des Besuchers geladen und dabei personenbezogene Daten, wie z. B. die IP-Adresse der Benutzer, in die USA übermittelt. Dies verstößt laut dem Urteil des Landgerichtes München v. 20. Januar 2022, Az. 3 O 17493/20, gegen das allgemeine Persönlichkeitsrecht und die Datenschutz-Grundverordnung. Details finden sich in den Urteilsgründen, abrufbar unter:

https://www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2022-N-612?hl=true

Worum geht es genau bei Google Fonts?
Google Fonts sind kostenlose Schriftarten des US-Konzern Google, welche zur freien Verfügung stehen. Dabei ist es nicht jedem Website-Betreiber bekannt, dass Google Fonts auch durch eingebettete Google-Dienste (z. B. Google Maps, reCAPTCHA) automatisch mitgeladen werden.

Der Europäische Gerichtshof entschied bereits in seinem Urteil vom 16. Juli 2020 (C-311/18 „Schrems II“), dass das US-Recht derzeit den Schutz personenbezogener Daten von Bürgern aus der EU nicht angemessen gewährleistet und erklärte den sog. „Privacy Shield“ für ungültig. Demnach gelten die USA im datenschutzrechtlichen Sinne als „unsicherer Drittstaat“, der nicht ohne weiteres Zugang zu personenbezogenen Datenströmen aus Europa erhalten darf. Näheres kann auf der Website des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit nachgelesen werden:

https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Europa-Internationales/Auswirkungen-Schrems-II-Urteil.html

Empfehlungen des TLfDI zu Google Fonts zur Vermeidung von Abmahnungen:
Der TLfDI empfiehlt Betreibern von Websites zu prüfen, ob sie Google Fonts einsetzen und wenn ja, wie der Dienst in die Website eingebunden wird. Wer dynamische Google Fonts nutzt, sollte diese Schriftarten lokal speichern und von dort in den eigenen Internetauftritt einbinden. Wer nicht weiß wie das geht, keine Anleitungen im Internet findet, sollte sich an seinen Web-Diensteanbieter wenden. Strato hat bspw. eine Anleitung veröffentlicht:

BSI-Lagebericht 2022: Bedrohung im Cyber-Raum so hoch wie nie

„Die Bedrohung im Cyber-Raum ist damit so hoch wie nie“, stellt das BSI in seinem „Bericht zur Lage der IT-Sicherheit in Deutschland“ fest, der am vergangenen Dienstag veröffentlicht wurde. Grund dafür ist nicht nur eine „hohe Bedrohung durch Cybercrime“, sondern auch „verschiedene Bedrohungen im Zusammenhang mit dem russischen Angriffskrieg auf die Ukraine“. Zu den Top-Bedrohungen für die Gesellschaft zählt das BSI Identitätsdiebstahl, Sextortion (die Erpressung mit Nacktbildern oder -videos) und Fake-Shops im Internet. Mit Blick auf die Wirtschaft bergen Ransomware-Schwachstellen, offene oder falsch konfigurierte Online-Server und zu große Abhängigkeiten in den Lieferketten die größten Gefahren. Staat und Verwaltung leiden dem Bericht zufolge vor allem unter Ransomware-Schwachstellen, unter komplexen, fortlaufenden Angriffen auf die IT-Infrastrukturen und, wie in der Wirtschaft, unter offenen oder falsch konfigurierten Online-Servern. (Weitere Zahlen aus dem Bericht finden Sie in unserer Rubrik „Gut zu wissen“.)

Weitere Informationen zum BSI zum Lagebericht 2022 (mit Download-Möglichkeit): https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html

BayLDA stellt Tätigkeitsbericht für das Jahr 2021 vor

Pressemitteilung des Bayerischen Landesamts für Datenschutzaufsicht vom 14.10.2022

Der Präsident des Bayerischen Landesamtes für Datenschutzaufsicht (BayLDA), Michael Will, stellte am Freitag, den 14. Oktober 2022 den Tätigkeitsbericht seiner Behörde für das Jahr 2021 vor. „Die Zunahme von komplexen Cybervorfällen beschäftigt uns intensiv. Neben aktuellen Fragen des Internationalen Datenverkehrs waren und sind sie einer der Schwerpunkte der Arbeit des BayLDA“, so Will.

Die anhaltend hohen Fallzahlen der Behörde und die fortbestehende Beratungserfordernisse von Unternehmen und Vereinen stellen das BayLDA mit seinen 33 Mitarbeiterinnen und Mitarbeitern weiterhin vor große Herausforderungen. „Wenn Beschwerden von Betroffenen nicht in der gebotenen und gesetzlich geforderten Geschwindigkeit bearbeitet werden können und wichtige Beratungen deshalb zurückgestellt werden müssen, leidet die Rechtssicherheit im Datenschutz für alle“, so Will. Ein erheblicher Zuwachs an Mitarbeiter:innen ist daher nötig, damit das BayLDA stärker präventiv tätig werden kann und Unternehmen unterstützen kann, sich beispielsweise für die gestiegenen Cyberrisiken zu wappnen oder komplizierte Fragen des Internationalen Datenverkehrs zu lösen.

Durch die hohe Anzahl von Meldungen zu Cyberattacken hat das BayLDA ein gutes Bild von der Sicherheitslage bayerischer – insbesondere kleiner und mittlerer – Unternehmen. Das Landesamt führt zum wirksamen Schutz gegen Cyberangriffe bereits jetzt präventive Kontrollmaßnahmen durch. Trotz hoher personeller Auslastung hat das Landesamt 2021 eine Stabstelle Prüfverfahren etabliert, die sektor- oder themenspezifische anlasslose Datenschutzprüfungen bei bayerischen Unternehmen auf den Weg bringen soll.

Das BayLDA stellte seinen Tätigkeitsbericht in einer Online-Konferenz vor Presse- und Fachöffentlichkeit vor. Auch die Veröffentlichung des Tätigkeitsberichts selbst erfolgt digital auf der Homepage der Behörde.

Der Tätigkeitsbericht für das Jahr 2021 ist ebenso wie ein Videomitschnitt der virtuellen Pressekonferenz unter folgendem Link erreichbar: https://www.lda.bayern.de/de/taetigkeitsberichte.html.