BSI: Kritische Schwachstelle in log4j veröffentlicht (CVE-2021-44228)

/in /von

Sachverhalt

Log4j ist eine beliebte Protokollierungsbibliothek für Java-Anwendungen. Sie dient der performanten Aggregation von Protokolldaten einer Anwendung.

Das Blog eines Dienstleisters für IT-Sicherheit [LUN2021] berichtet über die Schwachstelle CVE-2021-44228 [MIT2021] in log4j in den Versionen 2.0 bis 2.14.1, die es Angreifern gegebenenfalls ermöglicht, auf dem Zielsystem eigenen Programmcode auszuführen und so den Server zu kompromittieren. Diese Gefahr besteht dann, wenn log4j verwendet wird, um eine vom Angreifer kontrollierte Zeichenkette wie beispielsweise den HTTP User Agent zu protokollieren.

Ein Proof-of-Concept (PoC) der Schwachstelle wurde auf Github veröffentlicht [GIT2021a] und auf Twitter geteilt [TWI2021]. Neben dem PoC existieren auch Beispiele für Skripte, die Systeme stichprobenartig auf Verwundbarkeit hin untersuchen [GIT2021b]. Skripte solcher Art können zwar Administratoren keine Sicherheit über die Verwundbarkeit geben, aber erlauben Angreifern kurzfristig rudimentäre Scans nach verwundbaren Systemen.

Diese kritische Schwachstelle hat demnach möglicherweise Auswirkungen auf alle aus dem Internet erreichbaren Java-Anwendungen, die mit Hilfe von log4j Teile der Nutzeranfragen protokollieren.

Update 1:
Der Schwachstelle wurde nach Veröffentlichung des Blog-Posts ein CVSS-Wert von 10.0 zugewiesen.
Erste öffentliche Quellen weisen auf breitflächiges Scannen nach verwundbaren Systemen hin. Das BSI kann derartige
Scan-Aktivitäten bestätigen.

Update 2:
Im Gegensatz zur ursprünglichen Einschätzung kann die kritische Schwachstelle ggf. auch auf internen Systemen
ausgenutzt werden, sofern diese externe Daten entgegennehmen oder verarbeiten.
Einige Produkthersteller haben bereits öffentlich bzgl. einer möglichen (Nicht-)Betroffenheit ihrer Produkte
hingewiesen und teilweise bereits Updates veröffentlicht ([APA2021c], [BRO2021], [CIS2021], [FSE2021], [MCA2021],
[SOP2021], [TRE2021], [VMW2021a], [VMW2021b], [UNI2021]). Zu den betroffenen Herstellern gehören z. B.:
• VMWare
• Apache
• UniFi
Diese Liste ist nicht abschließend und erhebt keinen Anspruch auf Vollständigkeit. Zahlreiche weitere Hersteller prüfen
aktuell noch eine Betroffenheit.

Update 3:
Auf Github wurde unter [GIT2021e] eine Liste mit Sicherheitswarnungen für Produkte von über 140 Herstellern
veröffentlicht. Einige der Links verweisen direkt auf Herstellerseiten, die neben Informationen zur Betroffenheit auch
Updates für Ihre Produkte bereitstellen. Die Inhalte wurden durch das BSI stichprobenartig verifiziert und sollen als
erste Orientierungshilfe dienen.
Das NCSC NL (Nationaal Cyber Security Centrum Netherlands) plant im Laufe des Nachmittages die Veröffentlichung
eines Github-Repositories unter [NCSC2021] mit gesicherten Informationen zu betroffenen Herstellern. Zum
Redaktionsschluss war das Repository noch nicht veröffentlicht.

Bewertung

Log4j wird in vielen Java-Anwendungen eingesetzt. Der Schutz gegen eine aktive, breite Ausnutzung ist durch die
Verfügbarkeit eines PoC sehr gering. Das Patchmanagement von Java-Anwendungen ist nicht trivial, sodass bis zu einer
Update-Möglichkeit die kurzfristigen Mitigationen empfohlen werden.
Wenngleich das Nachladen von Schadcode über den im PoC aufgezeigten Weg bei Grundschutz-konform
eingerichteten Systemen fehlschlagen sollte, sind auch andere Wege denkbar, ggf. auch automatisiert und ohne
Nachladen Schadcode zur Ausführung zu bringen. Hierbei ist die Komplexität im Vergleich zum PoC deutlich erhöht.
Update 1:
Aufgrund der weiten Verbreitung der Bibliothek ist es nur schwer absehbar, welche Produkte alle betroffen sind.
Das BSI sieht aktuell eine Erhöhung der IT-Bedrohungslage für Geschäftsprozesse und Anwendungen. Durch das aktuell
breitflächige Scannen ist eine mögliche anschließende Infektion von anfälligen Systemen und Anwendungen, auch auf
Grund aktuell oftmals noch fehlenden Patches, nicht auszuschließen.
Update 2:
Das Ausmaß der Bedrohungslage ist aktuell nicht abschließend feststellbar. Die Reaktions- und Detektionsfähigkeit des
IT-Betriebes ist kurzfristig geeignet zu erhöhen, um angemessen die Systeme überwachen zu können bzw. zu reagieren.
Aus mehreren CERT-Quellen erreichten das BSI Benachrichtigungen über weltweite Massenscans und versuchte
Kompromittierungen. Es gibt bereits erste Meldungen über erfolgreiche Kompromittierungen (bislang u.a. mit
Kryptominer).
Es sind zudem Ausnutzungen der Schwachstelle zu beobachten, die kein explizites Nachladen eines Schadcodes
benötigen und einen maliziösen Code direkt in der Abfrage enthalten. Dies gefährdet auch Grundschutz-konforme
Systeme, die i.d.R. keine Verbindung ins Internet aufbauen können.

ktuell ist noch nicht bekannt in welchen Produkten diese Bibliothek eingesetzt wird, was dazu führt, dass zum jetzigen
Zeitpunkt noch nicht abgeschätzt werden kann, welche Produkte von der Schwachstelle betroffen sind.
Auch interne Systeme, die Informationen oder Daten von anderen Systemen verarbeiten, können ggf. kompromittiert
werden und sind daher umgehen zu patchen.
Aufgrund der neuen Sachverhalte hat das BSI entschieden die Warnmeldung von der Warnstufe Orange auf Rot
hochzustufen.
Update 3:
Neben erfolgreichen Kompromittierungen mit Kryptominern gibt es unter [3602021] erste Hinweise darauf, dass die
Schwachstelle auch von Botnetzen ausgenutzt wird. Die Wahrscheinlichkeit ist groß, dass die mit dieser Schwachstelle
in Verbindung stehenden Angreiferaktivitäten in den nächsten Tagen deutlich zunehmen werden.

Maßnahmen

Server sollten generell nur solche Verbindungen (insbesondere in das Internet) aufbauen dürfen, die für den
Einsatzzweck zwingend notwendig sind. Andere Zugriffe sollten durch entsprechende Kontrollinstanzen wie Paketfilter
und Application Layer Gateways unterbunden werden. [BSI2021b]
Es sollte entsprechend dem Grundschutzbaustein [BSI2021a] ein Update auf die aktuelle Version 2.15.0 [APA2021] (git-
tag: 2.15.0-rc2 [GIT2021c]) von log4j in allen Anwendungen sichergestellt werden. Da Updates von Abhängigkeiten in
Java-Anwendungen häufig nicht zeitnah erfolgen können, sollte bis dahin die folgende Mitigationsmaßnahme ergriffen
werden:
Die Option „log4j2.formatMsgNoLookups“ sollte auf „true“ gesetzt werden, indem die Java Virtual Machine mit dem
Argument

„–Dlog4j2.formatMsgNoLookups=True”
gestartet wird.
Update 2:
Alternativ kann auch die Umgebungsvariable LOG4J_FORMAT_MSG_NO_LOOKUPS auf true gesetzt werden. Diese
beiden Mitigationsmaßnahmen funktionieren erst ab Log4J Version 2.10.
Achtung: Diese Maßnahme kann die Funktionsweise der Applikation beeinträchtigen, wenn die Lookup-Funktion
tatsächlich verwendet wird.
Update 2:
Die Log4J Versionen 1.x sind von der aktuellen Schwachstelle nach aktueller Kenntnis nicht betroffen [GIT2021d]. Die
Version 1.x wird, auch wenn sie noch in diversen Produkten eingesetzt wird, nicht mehr vom Hersteller unterstützt. Sie
ist End-of-Life und durch andere Schwachstellen verwundbar. Daher sollten auch noch eingesetzte Log4J Versionen 1.x
ebenfalls auf eine nicht-verwundbare Version 2.x aktualisiert werden.
Sofern das Log4j als eigene jar-Datei vorliegt, kann diese ggf. ausgetauscht werden. Hier ist vorab die
Herstellerdokumentation zu prüfen, ob und unter welchen Umständen dieses Verfahren das System absichert.
Als Alternative, die auch in Versionen ab 2.0-beta9 und höher funktioniert, empfiehlt der Hersteller die Klasse
JndiLookup aus dem Klassenpfad zu löschen [APA2021b]:
zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
Sofern die Hersteller Updates zur Verfügung stellen, sollten diese umgehend installiert werden.
In den jeweilig zu verantwortenden Bereichen sollte qualifiziertes IT-Personal eingesetzt werden, um die kritischen, vor
allem von außen zu erreichende Systeme engmaschig zu überwachen.
Um potentiell betroffene Systeme leichter zu identifizieren, kann zunächst überprüft werden, welche Systeme Java als
Installationsvoraussetzung haben oder Java installieren. Zu solchen Systemen sollten die Meldungen des jeweiligen
Herstellers prioritär geprüft werden. Sofern seitens des Herstellers noch kein Security Advisory veröffentlicht wurde,
sollte eine entsprechende Anfrage gestellt werden.

Da eine Ausnutzung nicht zwingend ein Nachladen von Schadcode aus dem Internet benötigt, sondern bereits mit
einer einzigen Anfrage möglich ist, muss für alle verwundbaren Systeme die Angriffsfläche reduziert werden. Konkrete
Schritte hierzu sind:
• Nicht zwingend benötigte Systeme abschalten.
• Netzwerke segmentieren, sodass verwundbare Systeme von nicht extern-verbundenen/internen Systemen
isoliert werden
Systeme, die aufgrund der Kritikalität für unabdingbare Geschäftsprozesse nicht abgeschaltet werden können:
• In Web-Application-Firewalls (WAF), Intrusion Prevention Systemen (IPS) oder Reverse Proxies Verbindungen,
die Angriffsmuster aufweisen, direkt ohne Weitergabe an die Fachapplikation abweisen oder nicht zwingend
benötigte HTTP-Header auf statische Werte setzen.
• Blockieren aller nicht zwingend notwendigen, ausgehenden Verbindungen.
• Umfassendes Logging und die Protokollierung aller eingehender und ausgehender Verbindungen, um im
Nachgang eine Kompromittierung leichter feststellen zu können.
• Anomaliedetektion auf dem Host betreiben.
• Prüfen, mit welchen Rechten der betroffene Dienst betrieben wird und diese auf das notwendige Minimum
reduzieren.
• Verbindungen zu anderen Systemen sollten getrennt werden.
Für nach Bekanntwerden der Schwachstelle gepachte Systeme muss zusätzlich untersucht werden, ob diese bereits
kompromittiert wurden. Dies betrifft auch Systeme, die nicht direkt mit dem Internet verbunden sind, da diese über
verbundene Systeme kompromittiert worden sein könnten.
Informieren Sie sich auf den Webseiten der von Ihnen eingesetzten Hersteller (u.a. den oben genannten) über Patches
und Workarounds und spielen sie diese unverzüglich ein.
Update 3:
Unter [GIT2021e] und [NCSC2021] (möglicherweise erst am späten Nachmittag verfügbar) wurden Hinweisen zu einer
möglichen Betroffenheit zahlreicher Produkte veröffentlicht. Als erste Orientierungshilfe ist es zu empfehlen, diese
Listen mit eigenen eingesetzten Produkten abzugleichen. Das BSI hat die Inhalte nicht vollständig verifiziert. Die Listen
werden mit hoher Wahrscheinlichkeit fortlaufend aktualisiert, so dass eine mehrmalige Überprüfung notwendig ist.
Dieser Abgleich kann die zwingend erforderlichen eigenen Überprüfungsmaßnahmen ergänzen.
Da zum aktuellen Zeitpunkt keine gesicherte Aussage darüber getroffen werden kann, in welchen Produkten die
Bibliothek eingesetzt wird, kann das unter [GIT2021h] veröffentlichte Tool zum Suchen von betroffenen log4j
Bibliotheken verwendet werden. Das Tool durchsucht dabei Hashsummen-basiert .jar und .war Archive nach
eindeutigen Java-Klassen. Da lediglich die offiziell kompilierten Releases erkannt werden, kann es insbesondere bei
Linux-Systemen vorkommen, dass betroffene log4j Bibliotheken nicht erkannt werden.
Unter [GIT2021f] wurde eine Auflistung von Befehlen veröffentlicht, mit denen man Log-Daten auf eine mögliche
Ausnutzung der Schwachstelle überprüfen kann. Im Falle von Treffern ist es dringend zu empfehlen weitere
Maßnahmen sofort einzuleiten. Zu diesen zählen z.B.: Netztrennung, Suche nach den Schwachstellen, deren Schließung
(ggf. durch Neuinstallation) und dann die Feststellung/Bereinigung einer möglichen Kompromittierung mit Schadcode
unter Betrachtung auch weiterer benachbarter und dahinterliegender Systeme (lateral movement).

BayLDA: Datenschutzprüfung gegen Welle von Ransomwaren-Angriffen bei bayerischen Unternehmen

/in /von

Startschuss für anlasslose Prüfungen der Datenschutzaufsichtsbehörde

Pressemitteilung des Bayerischen Landesamts für Datenschutzaufsicht vom 01.12.2021

Bayerische Unternehmen – von der kleinen Arztpraxis bis zum Konzern – werden zunehmend von international agierenden Cyberkriminellen angegriffen. Neben der Verschlüsselung von Dateien samt exorbitanter Lösegeldforderung kommt es dabei vielfach auch zum Diebstahl sensibler Gesundheitsdaten, Kontodaten oder Bewerbungsunterlagen verbunden mit der Drohung, bei einer Verweigerung der Zahlung diese im Internet zu veröffentlichen. Alleine innerhalb des letzten Jahres wurden dem Bayerischen Landesamt für Datenschutzaufsicht von bayerischen Unternehmen mehrere hundert Ransom-Angriffe gemeldet, bei denen Lösegeld von 10 TSD bis zu 50 Mio. Euro gefordert wurden. Präsident Michael Will: „Schon im eigenen Interesse müssen bayerischen Unternehmen ihre Daten gegen Angriffe Cyberkrimineller absichern. Die Einhaltung des Datenschutzrechts schafft einen Sicherheitswall für die Daten der betroffenen Personen, der häufig schon mit einfachen Maßnahmen errichtet werden kann. Mit unserer Prüfaktion greifen wir Basisaufgaben auf, die in jedem Unternehmen gewährleistet werden können und sollten.“

Die hohe Anzahl der gemeldeten Fälle, die nach einer Sommerpause ab September wieder deutlich angestiegen sind, spiegelt das Risiko für jedes Unternehmen wieder, Opfer eines Cyberangriffs zu werden. Gerade auch Unternehmen aus dem Mittelstand sind überproportional betroffen und widerlegen damit das trügerische Gefühl, nicht im Fokus der Angreifer zu sein.

Werden Daten und IT-System verschlüsselt, dann ruht häufig der Betrieb. Selbst eine funktionierende Datensicherung bietet aber vor dem Trend, dass Angreifer personenbezogene Daten entwenden (Ransomware 2.0), keinen Schutz und verlagert den Schaden auf die betroffene Belegschaft und Kundschaft. Gravierend kann es werden, wenn sensitive Informationen wie Inhalte einer ärztlichen Patientenakte, Kontoverbindungsdaten oder Bewerbungsunterlagen im sogenannten Darknet auftauchen, um dort in Marktplätzen für andere Internetverbrecher zum Verkauf angeboten zu werden.

Aufgrund der sehr hohen Bedrohungslage von Angriffen mit Ransomware hat sich das BayLDA entschieden, die Auftaktprüfung einer ganzen Prüfreihe diesem Thema zu widmen. Ziel ist, mit fünf zielgerichteten Prüffragen die wichtigsten Sicherheitsbereiche abzufragen sowie weitere Informationen für einen umfassenden Schutz anzubieten. „IT-Sicherheit zum Schutz vor Ransomware gehört zu den Pflichtaufgaben für alle Unternehmen, die personenbezogene Daten verarbeiten. Unsere Prüfung zeigt gerade für kleine und mittelständige Unternehmen einfache und wirksame Maßnahmen auf, mit denen sie ihre Datenschutzanforderungen wahren und sich im besten Fall zugleich erfolgreich gegen die Angriffe Cyberkrimineller verteidigen.“, so Will.

Neu gegründete Stabstelle Prüfverfahren

Mit der Prüfung „Ransomware“ gibt die neu gegründete Stabstelle Prüfverfahren des BayLDA den Startschuss für eine Reihe anlassloser fokussierter Kontrollen. In kurzen Abständen werden künftig standardisierte schriftliche und auch automatisiert über das Internet ausgeführte Prüfungen mit klarer Schwerpunktsetzung durchgeführt. Begleitend werden die Prüffragen sowie Informationen zu dem jeweiligen Prüfkomplex unter https://www.lda.bayern.de/de/kontrollen_stabsstelle.html veröffentlicht. Künftige Themenbereiche werden zudem bereits vorangekündigt.

Ziel der regelmäßigen fokussierten Prüfungen ist einerseits, die datenschutzrechtlichen Kontrollen der nicht-öffentlichen Stellen in Bayern auszuweiten. Andererseits soll durch die begleitende Bereitstellung von Informationen das Augenmerk auch der Datenschutzbeauftragten auf die jeweils geprüften oder zur Prüfung anstehenden Thematiken gelenkt werden. „Wir möchten die betrieblichen Datenschutzexperten als Multiplikatoren gewinnen, um gemeinsam den Schutz der bayerischen Unternehmen zu erhöhen. Unsere fokussierten Prüfkataloge bieten ihnen einfache Werkzeuge für interne Kontrollen und Schulungen.“, erläutert Präsident Michael Will.Download Für den Ernstfall gewappnet? – Datenschutzprüfung gegen Welle von Ransomwaren-Angriffen bei bayerischen Unternehmen als PDF

VirDSB: TTDSG tritt in Kraft: Klare Regeln für Cookies und ähnliche Technologien

/in /von

Pressemitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit

Am heutigen 1. Dezember 2021 tritt das Telekommunikations-Telemedien-Datenschutz-Gesetz (TTDSG) in Kraft. Das Gesetz regelt unter anderem den Schutz der Vertraulichkeit und Privatsphäre bei der Nutzung von internetfähigen Endgeräten wie Webseiten, Messengern oder Smart-Home-Geräten.

„Mit dem TTDSG ändert sich auch der rechtliche Rahmen für den Einsatz von Cookies und vergleichbaren Technologien“, erklärt Volker Brozio, kommissarischer Dienststellenleiter der Berliner Beauftragten für Datenschutz und Informationsfreiheit. „Das Gesetz schafft Klarheit und bestätigt die Auffassung der Datenschutzbehörde: Für den Einsatz von Cookies und ähnlichen Technologien braucht es im Regelfall eine Einwilligung der Nutzer:innen. Infolgedessen müssen Anbieter:innen von Telemedien überprüfen, ob Anpassungsbedarf unter anderem auf ihren Webseiten oder Apps besteht.“

Auf den meisten Webseiten und Apps werden Technologien wie Cookies eingesetzt, um Informationen auf den Geräten der Nutzenden abzulegen und zu verwalten. Damit einher geht regelmäßig die Verarbeitung von personenbezogener Daten, mindestens der IP-Adresse der Nutzer:innen. Dies dient häufig nicht nur dazu, das Verhalten von Nutzer:innen zu verfolgen, sondern auch Persönlichkeitsprofile über die gesamte Internetnutzung zu erstellen und anzureichern.

Die rechtlichen Rahmenbedingungen für das Setzen und Auslesen von Informationen aus Endgeräten sind in der europäischen ePrivacy-Richtlinie geregelt. Mit dem TTDSG hat der Bundesgesetzgeber nach über einem Jahrzehnt Verzögerung nunmehr die Vorgaben der ePrivacy-Richtlinie in nationales Recht umgesetzt. Die anschließende Verarbeitung der so erhobenen personenbezogenen Daten richtet sich wiederum nach den Anforderungen der Datenschutz-Grundverordnung (DS-GVO). Wer Cookies und ähnliche Technologien verwendet, muss daher in der Regel beide Gesetze beachten.

Betreibende von Webseiten und anderen Telemedien benötigen grundsätzlich eine Einwilligung der Nutzer:innen, wenn sie Informationen auf dem Endgerät speichern oder darauf zugreifen wollen. Einer Einwilligung bedarf es ausnahmsweise nur dann nicht, wenn die Speicherung von und der Zugriff auf Informationen in den Endgeräten unbedingt erforderlich sind, damit ein von den Nutzenden ausdrücklich gewünschter Telemediendienst zur Verfügung gestellt werden kann. Das ist zum Beispiel der Fall bei einem Cookie, der dazu dient, Artikel eines Online-Shops in einem Warenkorb zu speichern.

Um Verantwortliche bei der Umsetzung der neuen Anforderungen behilflich zu sein, erarbeiten die deutschen Datenschutz-Aufsichtsbehörden derzeit eine Orientierungshilfe. Diese soll Anfang nächsten Jahres veröffentlicht werden.

Download TTDSG tritt in Kraft: Klare Regeln für Cookies und ähnliche Technologien als PDF

3G am Arbeitsplatz – Datensparsamkeit heißt das Gebot der Stunde!

/in /von

Pressemitteilung des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz

Seit dem 24.11.2021 gelten im Beschäftigungsverhältnis strengere Regeln zur Eindämmung der Corona-Pandemie. Durch eine Änderung des Infektionsschutzgesetzes (IfSG) ist der Zutritt zu einem Arbeitsplatz, bei dem physische Kontakte zu anderen Personen nicht ausgeschlossen werden können, nur noch dann zulässig, wenn Beschäftigte und Besucher den sog. 3G-Nachweis gegenüber dem Arbeitgeber erbringen (§ 28 b Abs. 1 IfSG). Das heißt, sie müssen entweder geimpft, genesen oder negativ getestet sein. Diese Änderung bringt für die meisten Arbeitsplätze im Land zahlreiche Änderungen mit sich: Denn der Arbeitgeber ist verpflichtet, die Nachweispflicht täglich zu überwachen und auch zu dokumentieren. Bei Verstößen drohen hohe Bußgelder.

Korrespondierend hierzu wurden die bisherigen Vorschriften zur Zulässigkeit einer Impfabfrage durch den Arbeitgeber erweitert. Es ist dem Arbeitgeber jetzt erlaubt, Informationen zum Impf-, Genesenen- bzw. Teststatus der Beschäftigten zu erfragen und diese Daten – einschließlich der Gültigkeitsdauer des Zertifikates – zu verarbeiten (§ 28b Abs. 3). Wenn der Arbeitgeber den Genesenen- oder Impfnachweis einmal kontrolliert und dokumentiert hat, können Beschäftigte mit gültigem Zertifikat aber von den täglichen Zugangskontrollen befreit werden.

Beschäftigte sind auch angesichts der neuen Regelungen nicht verpflichtet, dem Arbeitgeber Auskunft über den eigenen Impf- oder Genesungsstatus zu geben. Wer diese Frage nicht beantworten möchte, muss aber täglich einen Test vorlegen.

„Auch wenn Arbeitgeber auf der Basis des geänderten Infektionsschutzgesetzes nunmehr auch Gesundheitsdaten ihrer Beschäftigten verarbeiten dürfen, sind dabei datenschutzrechtliche Vorgaben zu beachten“, so Prof. Dr. Dieter Kugelmann, Landesbeauftragter für den Datenschutz und die Informationsfreiheit in einer ersten Einschätzung: „Die neuen Regelungen sind kein Freibrief, um sich ein umfassendes Bild über den Gesundheitszustand der Mitarbeitenden zu verschaffen! Ziel ist der Gesundheitsschutz, nicht das Ausforschen von Beschäftigten“. Der Grundsatz der Datenminimierung nach Art. 5 Datenschutz-Grundverordnung gelte weiterhin uneingeschränkt.

Arbeitgeber seien daher gehalten, die datensparsamste Nachweismethode zu wählen. Als Beispiel nannte Prof. Kugelmann die Nutzung der vom RKI herausgegebenen kostenlosen „CovPassCheck-App“ durch den Arbeitgeber (https://www.digitaler-impfnachweis-app.de/covpasscheck-app/ – idealerweise auf dem Dienst- bzw. Firmenhandy. Diese Methode sei gegenüber dem Anlegen umfangreicher Namenslisten mit Informationen zum Genesenenstatus oder zu zurückliegenden Impfterminen vorzugswürdig. Soweit Nachweis-Zertifikate oder QR-Codes elektronisch übermittelt werden sollen, sei eine ausreichende Vertraulichkeit der Daten sicherzustellen, z.B. durch eine geeignete Verschlüsselung.

„Insgesamt hätte ich mir eine Regelung gewünscht, bei der Arbeitgeber bei der Nachweisprüfung nur einen QR-Code einscannen und somit nicht erkennen können, welches der drei „G“ bei Beschäftigten vorliegt. Italien hat dies mit dem Green-Pass vorgemacht. Dadurch, dass die neuen Vorschriften auch die Nutzung der Impfdaten für das Hygienekonzept des Arbeitgebers erlauben, wird das Problem noch verschärft. Ich appelliere an die Arbeitgeberinnen und Arbeitgeber, umsichtig und sorgsam mit den Daten umzugehen“.

Weitere Hinweise unter :

https://www.digitaler-impfnachweis-app.de/faq#wann-brauche-ich-die-covpasscheck-app–

Landesbeauftragten für den Datenschutz Sachsen-Anhalt: Neues Infopaket „Homeoffice – aber sicher!“

/in /von

Die Wiedereinführung der Homeoffice-Pflicht im Rahmen der Pandemiebekämpfung stellt Betriebe und Behörden vor Herausforderungen. Dürfen Familienmitglieder Zugang zu den personenbezogenen Daten haben? Können die Daten auf der privaten Festplatte gespeichert werden? Darf ich meine Arbeit zu Hause ausdrucken? Dürfen Ausdrucke in den Hausmüll? Was ist bei einem Datenschutzvorfall zu tun? Arbeitgeber und Arbeitnehmer müssen wissen, was datenschutzrechtlich im Homeoffice erlaubt ist und was nicht.

Der Landesbeauftragte für den Datenschutz Sachsen-Anhalt weist deshalb auf das neue Infopaket „Homeoffice“ auf seiner Homepage hin. In diesem Infopaket finden sich u.a. Hinweise und eine Checkliste zur Umsetzung der datenschutzrechtlichen Anforderungen für das Arbeiten im Homeoffice. Ergänzt werden diese Hinweise durch Informationen des Bundeskriminalsamtes (BKA) und des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zur technischen Sicherheit, insbesondere zum Thema Cyberkriminalität, also der Angriffe auf Unternehmen und Behörden aus dem Internet.

„Die Einhaltung des Datenschutzes und technische Sicherheitsvorkehrungen sind Grundvoraussetzungen für die Arbeit im Homeoffice. Wer hier Fehler macht, gefährdet nicht nur die Daten seiner Kunden, Mitarbeiter oder Bürger, sondern auch die Arbeits- und Handlungsfähigkeit seines Unternehmens oder der Behörde“, sagte Albert Cohaus, der die Aufgaben und Befugnisse des Landesbeauftragten wahrnimmt. „Homeoffice ist aber auch eine Frage der Cybersicherheit. Eine steigende Zahl von Cyberangriffen legt immer wieder Behörden und Unternehmen lahm. Ungesicherte Zugänge aus dem Homeoffice steigern die Gefahr, dass ein solcher Anschlag auf die technische Infrastruktur erfolgreich ist und zur Schadensmaximierung führt,“ erklärte Albert Cohaus „Nutzen Sie unsere Hinweise und die Informationen der Sicherheitsbehörden, um datenschutzrechtliche Probleme zu vermeiden und den Gefahren aus dem Internet vorzubeugen. Schützen Sie sich, Ihre Technik und Ihre Daten, damit die Arbeit auch unter Pandemiebedingungen sicher weitergehen kann.“

Das Infopaket „Homeoffice“ finden Sie auf unsere Homepage unter
https://datenschutz.sachsen-anhalt.de/informationen/infopakete/infopaket-homeoffice/

Datenschutzaspekte bei WhatsApp

/in /von
WhatsApp gehört immer noch zu den beliebtesten Apps überhaupt. Die Messenger-App ermöglicht den Austausch von Nachrichten über das Internet ohne zusätzliche Übertragungskosten und über verschiedene Betriebssysteme hinweg. Es mehren sich jedoch auch die kritischen Stimmen gegenüber WhatsApp und Mutterkonzern Meta (ehemals „Facebook“). Zeit für einen Datenschutz-Check.

WhatsApp, der Gigant unter den Messengern

WhatsApp ist immer noch der Platzhirsch unter den Messengern, trotz aller Warnungen und datenschutzrechtlicher Probleme. Nach einer Statista-Untersuchung von 2020 nutzten 94% der Befragten WhatsApp, gefolgt vom Facebook Messenger mit 51%. Threema abgeschlagen mit 3% und Signal mit nur 2%. Die Zahlen machen eins deutlich, der Verzicht auf WhatsApp fällt noch immer schwer oder erfordert einiges an Überzeugungsarbeit im Freundes- und Bekanntenkreis.

Datenschutz-Problem: Adressbuchabfrage ohne Einwilligung

Durch das Urteil des AG Bad Hersfeld wurde 2017 allerhand Aufregung geschürt. Der Richter stellte damals fest, dass die Mutter es unterlassen hatte, ihr Kind bei der Handynutzung angemessen zu beaufsichtigen. Im Rahmen dieser Aufsicht hätte sie eine schriftliche Einwilligung von allen Personen in dem Adressbuch ihres Kindes vor der Weitergabe deren Daten an WhatsApp einholen müssen. Denn sonst bestünde die Gefahr, dass das Kind von den Betroffenen abgemahnt werde.
Zwar würde man meinen, dass Personen, die ihr Telefon ausschließlich privat nutzen, keine Einwilligungen von ihren Kontakten einholen müssen. Denn nach Art. 2 Abs. 2 lit. c) DSGVO (oder zum Zeitpunkt des Urteils § 27 Abs. 1 S. 2 BDSG a.F.) wird eine Datenverarbeitung für persönliche und familiäre Zwecke nicht vom datenschutzrechtlichen Regelwerk erfasst. Folglich sind sie in diesen Fällen nicht anwendbar und eine Haftung nach der DSGVO ist damit ausgeschlossen. Doch auch das Gericht bejaht das Greifen der Haushaltsausnahme und nahm damals eine deliktische Haftung nach §§ 823, 1004 BGB analog an, da das Kind mit der Nutzung von WhatsApp das Recht auf informationelle Selbstbestimmung aller betroffenen Kontaktpersonen verletze. Weitere Urteile oder Abmahnungen in diese Richtung folgten jedoch nicht.
Auf Firmenhandys lässt sich WhatsApp zurzeit aus Datenschutzsicht oftmals nicht konform einsetzen. Es wäre zunächst erforderlich, von allen Kontakten die Einwilligung zur Weitergabe der Telefonnummern an WhatsApp einzuholen. Umgehen lässt sich das Problem nur, wenn die WhatsApp-Anwendung in einer virtualisierten IT-Umgebung abgeschottet und isoliert betrieben wird. Daneben muss die Business App mit ihren seperaten Nutzungs- und Datenverarbeitungsbedingungen verwendet werden. Eine solche Lösung sah das UDZ Saarland im 28. Tätigkeitsbericht 2019 (S. 74 ff.) in einer Überprüfung von Kommunikationskanälen der Kommunen als zulässig an. Seit dieser Bewertung wurde das Privacy Shield vom EuGH gekippt und WhatsApp hat seine Datenverarbeitungsbedingungen für Business-Nutzer mehrfach angepasst, sodass diese Punkte vor einem Einsatz im Unternehmen erneut zu prüfen wären.
Bei gemischt genutzten Geräten sollten die dienstlichen Daten durch eine Containerlösung geschützt werden. Hierbei werden dienstliche Daten wie z.B. Kontakte in einer Container-App gespeichert, so dass Apps wie WhatsApp keinen Zugriff auf diese Daten haben. So ist auch bei Firmenhandys mit erlaubter Privatnutzung die Nutzung von WhatsApp mit dem Datenschutz vereinbar.

Kann man die Weitergabe der Telefonnummern an WhatsApp unterbinden?

Bei der Installation der App wird die Eingabe der eigenen Telefonnummer gefordert und um die Erlaubnis zur Adressbuchabfrage gebeten. Bei Zustimmung erstellt die Software eine Favoritenliste mit denjenigen Kontakten aus dem Adressbuch, die ebenfalls WhatsApp verwenden. Dass dabei Daten der Nutzer übertragen und verarbeitet werden, liegt auf der Hand.
Der Zugriff auf die Telefonnummern lässt sich sowohl bei iOS als auch bei Android im Betriebssystem direkt steuern und damit die Weitergabe an WhatsApp unterbinden. Das hat natürlich auch zur Folge, dass die Kontakte nicht mehr in WhatsApp angezeigt werden und so wäre der Nutzer gezwungen auf die Nachricht eines anderen zu warten, um einen Chat zu beginnen. Eine andere Möglichkeit ist die angesprochene Containerlösung.

Was macht WhatsApp mit den Telefonnummern?

WhatsApp nutzt die Telefonnummer als „Unique Identifier“ also als Datum, um das Gerät bzw. den Nutzer eindeutig zu identifizieren. Diese werden in erster Linie genutzt, um sie mit dem Adressbuch neuer Nutzer abzugleichen und denen dann Übereinstimmugen als Kontakte vorzuschlagen. Daneben werden bei der Adressbuchabfrage aber auch die Telefonnummern von Personen verarbeitet, die (noch) nicht bei WhatsApp registriert sind. Diese Telefonnummern werden in einem speziellen Verfahren gehasht, mit der Telefonnummer des registrierten Nutzers verknüpft und von WhatsApp gespeichert. Das passiert, um den registrierten Nutzern eine Benachrichtigung zu schicken, falls sich ein bisher nicht registrierter Kontakt später doch noch einen WhatsApp Account einrichtet.
Dieser Vorgang stellt aus Sicht des EDSA (S. 26 ff.) lediglich eine Pseudonymisierung und keine wie von WhatsApp behauptete Anonymisierung der Telefonnummern dar. Denn durch das eingesetzte Hashverfahren und die unglaublichen Datenmengen, die dem Konzern zur Verfügung stehen, sei das Risiko hoch, dass die Nicht-Nutzer von WhatsApp reidentifiziert werden könnten. An der Einschätzung ändere auch die Beteuerung von WhatsApp nichts, dass das Unternehmen daran kein Interesse hätte, da man ja schließlich aus eben diesem Desinteresse die Daten überhaupt erst „anonymisiert“ hätte.
Daneben hat WhatsApp, nach dem jüngsten Aufschrei der Öffentlichkeit über die neuen Nutzungsbedingungen im Februar 2021, den Austausch einiger Informationen mit dem Mutterkonzern Meta „präzisiert“, bzw. vorerst von diesem Abstand genommen. So heißt es aktuell im FAQ (Stand 16.11.2021):
„Derzeit teilt WhatsApp deine personenbezogenen Daten nicht mit Facebook, um deine Produkterlebnisse auf Facebook zu verbessern oder dir interessantere Facebook-Anzeigen zu zeigen.“
Es werden allerdings weiterhin Daten zu anderen sehr vagen Zwecken geteilt. So heißt es:
„WhatsApp arbeitet mit den anderen Facebook-Unternehmen zusammen und teilt Informationen mit ihnen, um von Leistungen in den Bereichen Infrastruktur, Technologie und Systeme profitieren zu können.“

Welche Daten sammelt WhatsApp sonst noch?

WhatsApp sammelt alle von den Nutzern selbst angegebenen Daten wie Anzeigename, Telefonnummer, Status und Profilbild. Nachrichten werden grundsätzlich nicht auf den WhatsApp-Servern gespeichert, es sei denn der andere Nutzer ist nicht erreichbar. In diesem Fall wird die Nachricht 30 Tage zwischengespeichert und anschließend automatisch gelöscht. Fotos werden laut WhatsApp nur zwischengespeichert und anschließend gelöscht. Um ständig auf dem aktuellen Stand zu bleiben, werden alle Kontakte aus dem Adressbuch ausgelesen und regelmäßig mit der WhatsApp-Datenbank abgeglichen.
WhatsApp bietet die Möglichkeit an, Chatverläufe auf Google Drive und/oder einem lokalen Backup zu sichern. Dabei entfällt logischerweise die WhatsApp Ende-zu-Ende-Verschlüsselung. Wählt man „die einfachste Möglichkeit, Daten auf ein neues Telefon zu übertragen“, liegen die Gespräche unverschlüsselt auf dem Server des amerikanischen Cloud-Anbieters.
WhatsApp ist aber auch an weiteren Daten interessiert. Oft geht es um Metadaten, also z.B. nicht um den Inhalt eines Telefonats über WhatsApp oder den Inhalt einer Nachricht, sondern wann eine Person wie oft und wie lange kontaktiert wurde. Aus diesen Informationen ergibt sich dann ein umfassendes Bild zu einer bestimmten Person und so lassen sich sehr gute Profile erstellen.

Datenschutzkritik am Datenaustausch zwischen WhatsApp und Facebook

Die beim Kauf von WhatsApp durch Facebook einst versprochene Unabhängigkeit des Messengers war schnell vergessen. WhatsApp wurde immer weiter in die Konzernstruktur von Facebook integriert und somit wurden auch mehr und mehr Daten zwischen den einzelnen Unternehmen ausgetauscht. Nach anfänglichen Erfolgen der deutschen Datenschutzaufsichtsbehörden dieser Entwicklung einen Riegel vorzuschieben, scheitert die Untersagung des Datenaustausch zwischen WhatsApp und Facebook seit Anwendbarkeit der DSGVO an der fehlenden Zuständigkeit der deutschen Behörden.
Die irische Behörde (DPC) ist nun die federführende Behörde für viele „Big-Tech-Unternehmen“ wie z.B. WhatsApp bzw. Meta. Nach dem sog. „One-Stop-Shop“-Verfahren gemäß Art. 56 DSGVO ist bei grenzüberschreitenden Sachverhalten die Behörde am Sitz der Hauptniederlassung federführend zuständig. Der Gedanke war, Unternehmen weniger Bürokratie und mehr Rechtssicherheit zu verschaffen, indem sie sich in Verfahren nicht mehr mit Aufsichtsbehörden in mehreren EU-Mitgliedstaaten und ihren Rechtsauffassungen auseinandersetzen müssen. Doch wenn die federführende Aufsichtsbehörde nicht tätig wird oder Verfahren nur schleppend bearbeitet, haben die übrigen europäischen Aufsichtsbehörden, in deren Hoheitsgebiet das Unternehmen auch tätig ist, kaum Möglichkeit das Verfahren in Gang zu bringen oder es zu beschleunigen.
Die weiterbestehende Kritik vieler Datenschutzexperten an WhatsApp ist, dass das Teilen der Daten über einen Nutzer mit Facebook weder transparent ist, noch der Nutzer darin freiwillig eingewilligt hat. Um den Dienst von WhatsApp nutzen, muss man die Nutzungsbedingungen annehmen – der Nutzer kann gerade nicht entscheiden, welche Daten er teilen möchte. Eine freiwillige und informierte Einwilligung sieht anders aus.

Zweithöchstes DSGVO-Bußgeld und weitere Verfahren gegen WhatsApp

Dieses Jahr wurde das zweithöchste Bußgeld in der Geschichte der DSGVO in Höhe von 225 Millionen Euro gegen WhatsApp verhängt. Bei dem Verfahren aus dem Jahre 2018 ging es vor allem um Verstöße gegen die Transparenzvorgaben aus Art. 12 bis 14 DSGVO. Daneben laufen gegen den Konzern bei der Aufsichtsbehörde in Irland noch 9 weitere Verfahren, wie aus dem Jahresbericht des DPC hervorgeht:
  • Zu einer Datenpanne im September 2018
  • Zu der Umsetzung des Auskunftsrechts und Recht auf Datenübertragbarkeit
  • Zu der Rechtmäßigkeit der in den Nutzungsbedingungen und Datenrichtlinie angegebenen Rechtsgrundlagen für die Datenverarbeitung
  • Zu der Rechtmäßigkeit der Rechtsgrundlage für maßgeschneiderte Werbung
  • Zu einer ganzen Reihe von seit dem 25.05.2018 gemeldeten Datenpannen
  • Zu der Speicherung von Passwörtern im Klartext auf internen Servern
  • Zu der Einhaltung der Vorschriften des internationalen Datentransfers nach Schrems II
Außerdem führt das Bundeskartellamt seit 2019 ein sehr spannendes Verfahren gegen Facebook. Das Bundeskartellamt (BKartA) hatte dem Konzern das Zusammenführen von Nutzerdaten aus seinen verschiedenen Diensten ohne Einwilligung der Nutzer untersagt. Gegen die Untersagung legte Facebook Beschwerde beim OLG Düsseldorf ein, welches zunächst eine Aussetzungsanordnung aussprach. Nachdem der BGH diese wiederum aufhob und den Vorwurf der missbräuchlichen Ausnutzung einer marktbeherrschenden Stellung durch Facebook vorläufig bestätigte, wähnte man einen Abschluss des Verfahrens nahe. Doch das OLG Düsseldorf hat den nun in der Hauptsache verhandelte Fall abermals unterbrochen, um dem EuGH Fragen zur Auslegung des Datenschutzrechts vorzulegen. Ein Ende des Rechtsstreits ist somit erneut in weite Ferne gerückt. Seit Ende 2020 läuft zudem eine verbraucherrechtliche Sektoruntersuchung des Bundeskartellamts zu Messenger-Diensten, bei der WhatsApp erneut im Fokus steht.

WhatsApp ist erfolgreich, trotz Datenschutz-Kritik

Es gibt viel Kritik an WhatsApp, doch der Gigant unter Messengern lässt nicht so leicht locker. Fraglich ist, ob WhatsApp sich in die Knie zwingen lässt und zukünftig eine „echte“ (freiwillige & informierte) Einwilligung seiner Nutzer für die Weitergabe von Daten an Meta einholen wird. Dies scheint nach aktuellem Stand eher unwahrscheinlich. Man wird weiter die Grenzen austesten und Verfahren verzögern. Solange kein entschlossenes Handeln der Regulierungsbehörden bei Bußgeldern oder andere Maßnahmen zu befürchten ist, wird der Konzern weitermachen wie gehabt.
Doch wie kann es sein, dass bei so viel Kritik die Nutzer bei WhatsApp bleiben? Schuld ist der Netzwerkeffekt. Da viele Nutzer bei WhatsApp sind, ist es für andere wiederrum attraktiv, über WhatsApp zu kommunizieren oder dort zu bleiben. Neue Anbieter haben es schwerer, doch ihr Markt wächst, denn das Bedürfnis nach mehr Privatsphäre und Datenschutz steigt. Es bleibt abzuwarten, wie sich diese neuen Anbieter verhalten werden und ob das Spiel um Daten nicht an anderer Stelle fortgesetzt wird.

TTDSG – Das neue Datenschutzgesetz in der Telekommunikation

/in /von

Der Schutz personenbezogener Daten in der Telekommunikation ist dabei ein besonders relevantes Thema – bei den Nutzern, aber auch bei den Unternehmen, welche die gesetzlichen Vorgaben einhalten müssen. Ein neues Gesetz soll für mehr Rechtssicherheit sorgen.

TKG, TMG, DS-GVO, ePrivacy-Richtlinie und bald auch noch eine ePrivacy-Verordnung – die vielfältige Rechtslage im Datenschutzrecht sorgt für Verunsicherung. Ab 01.12.2021 kommt innerhalb des deutschen Datenschutzrechts noch ein neues Gesetz hinzu: Das TTDSG (Gesetz über den Datenschutz und den Schutz der Privatsphäre der Telekommunikation und bei Telemedien). Ziel des Gesetzes ist es, insbesondere in der Zeit bis zur ePrivacy-Verordnung der EU für deutlich mehr Rechtssicherheit zu sorgen. Zusätzlich werden auch neue Bereiche, wie etwa die sogenannten „Personal Information Management Services“ (PIMS), gesetzlich erstmalig geregelt.

Das bereichsspezifische Datenschutzrecht für elektronische Kommunikation ist bislang durch die ePrivacy-Richtlinie geregelt, die in Deutschland im TKG, TMG und UWG umgesetzt wurde. Das TTDSG verfolgt die Absicht, die datenschutzrechtlichen Vorschriften des TKG und des TMG einheitlich in einem eigenständigen Gesetz zu regeln. Das heißt, nicht jede Regelung im TTDSG ist neu, sondern teilweise lediglich in dieses Gesetz überführt worden. Seit 2017 wartet die Wirtschaft auf die ePrivacy-VO. Mit dem TTDSG ist der nationale Gesetzgeber nun einen Zwischenschritt in Richtung eines neuen ePrivacy-Rechtes gegangen. Gerade im Bereich Cookies schafft die Regelung des § 25 TTDSG Rechtsklarheit, indem hier die ePrivacy-Richtlinie unmittelbar umgesetzt wurde und damit die Anforderungen an Cookies konkretisiert und stabilisiert werden. Nähere Information dazu erteilen wir gerne.

LfDI BW: Neue Handreichung zu Videokonferenzsystemen

/in /von
Videokonferenz als Online Dienst: Rahmenbedingungen und Empfehlungen Dokument als pdf mit Tabelle Zur tabellarischen Übersicht Dieses Papier soll Unternehmen, Behörden und Vereine bei der Auswahl geeigneter Videokonferenz-Dienste unterstützen. Es gibt einen auf das Wesentliche beschränkten Überblick über die rechtlichen und technischen Datenschutz-Anforderungen, beschreibt einige gängige Anbieter und stellt tabellarisch eine Übersicht an Eigenschaften der Softwares […]


Artikel anzeigen…

BSI: Lagebericht 2021 zur IT Sicherheit in Deutschland

/in /von

Das BSI am 21. Oktober seinen neuen Lagebericht 2021 vorgelegt, in dem das Bundesamt insgesamt eine kritische Bedrohungslage feststellt: Cyberangriffe führten zu schwerwiegenden IT-Ausfällen in Kommunen, Krankenhäusern und Unternehmen. Sie verursachten zum Teil erhebliche wirtschaftliche Schäden und bedrohten existenzgefährdend Produktionsprozesse, Dienstleistungsangebote und ihre Kundschaft. Der neue Lagebericht macht auch deutlich, dass die erfolgreiche Digitalisierung unseres Landes zunehmend gefährdet ist.

Als Konsequenz aus der Bedrohungslage fordert das BSI, der Informationssicherheit einen höheren Stellenwert beizumessen. Im Rahmen von Digitalisierungsprojekten sollte die Cyber-Sicherheit fest verankert werden sowie die gesamte Lieferkette umfassen.

Pressemitteilung des BSI zum Lagebericht: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2021/211021_Lagebericht.html

Bericht zur Lage der IT-Sicherheit in Deutschland 2021: https://www.bsi.bund.de/DE/Service-Navi/Publikationen/Lagebericht/lagebericht_node.html

LfDI BW: Datenschutzhinweise einfach und schnell erstellen

/in /von

Mit LfDI-Tool DS-GVO.clever erstellen kleine Unternehmen, Gewerbetreibende und Handwerksbetriebe schnell und einfach ihre Datenschutzhinweise

Korrekte Datenschutzerklärungen zu formulieren fällt insbesondere kleineren Unternehmen und Vereinen schwer, da sie nicht über die Ressourcen verfügen, externe Datenschutzbeauftragte einzuschalten oder mit der eigenen Rechtsabteilung tätig zu werden.

Das LfDI-Tool DS-GVO.clever hilft konkret, einfach und wirksam. Es war bislang vor allem eine Hilfestellung für Vereine; jetzt können auch kleine Unternehmen, Gewerbetreibende und Handwerksbetriebe das Tool nutzen und innerhalb kurzer Zeit ihre Datenschutzinformationen erstellen. Es geht dabei nicht nur um Datenverarbeitungen auf der Unternehmenswebseite, sondern unter anderem auch um die Verarbeitung von Kund*innen- und Beschäftigtendaten. Auch in der neuen Version finden sich wieder zahlreiche Info-Buttons und Hinweise auf weitere Hilfestellungen des LfDI, wie Erklärvideos oder Praxisratgeber.

Das Tool steht auf der Homepage des Landesbeauftragten bereit. LfDI Stefan Brink: „Die Datenschutz-Grundverordnung unterscheidet nicht zwischen Konzernen und Kleinbetrieben. Wir helfen kleineren Betrieben, damit sie sehr einfach funktionierende Datenschutzhinweise selbst erstellen können.“

Die Unternehmen sind und bleiben verantwortlich für ihre Datenverarbeitungen – mit „DS-GVO.clever“ können sie ihren Informationspflichten auf einfache Weise gerecht werden. Handwerksbetriebe und andere kleinere Unternehmen können sich gerne auch an den Landesbeauftragten wenden, wenn sie weitere Unterstützung benötigen.

Das Bildungszentrum BIDIB bietet zusätzlich online-Schulungen an, damit Interessierte sich mit „DS-GVO.clever“ vertraut machen können.
https://www.baden-wuerttemberg.datenschutz.de/offene-veranstaltungen/

DS-GVO.clever:
https://www.baden-wuerttemberg.datenschutz.de/ds-gvo.clever/