Die Corona-Pandemie hat auch die Konferenzkultur ganz schön verändert. Wollte man noch Anfang des Jahres eine Videokonferenz durchführen, scheiterte diese nicht schon selten daran, dass der „Videoraum“ mit einem anderen Meeting belegt war oder sich die Teilnehmer schlicht nicht mit der Technik auskannten. Heute jedoch, wo Corona die Leute geradezu zu Hause anbindet, werden fast wie selbstverständlich Videokonferenzen spontan organisiert und vom Homeoffice aus durchgeführt. 

Für sehr viele Menschen ist diese Art der Zusammenarbeit so neu, dass es immer wieder zu komischen Ereignissen kommt, so z. B. wenn einem nicht unbedingt bewußt ist, dass gerade die WebCam aktiv ist und man von allen Teilnehmern gesehen wird. Besonders lustige Szenen sind nicht davor gewappnet, u. U. auch viral zu gehen – so zB der Unbekleidete in einer Konferenz von gut 20 Leuten. Datenschutzrechtlich natürlich ein SuperGAU!

Damit Ihnen und Ihren Kolleginnen und Kollegen dies nicht passiert,  dafür soll dieser kleine Knigge dienen, der für alle Videokonferenzen gleichermaßen gilt und gerne geteilt werden darf. Selbstverständlich stehen datenschutzrechtliche Aspekte hier im Vordergrund. Denn es geht um Ihre Daten!

Wir starten gleich mit einem richtigen Powertipp:

1. Vermeiden Sie Videokonferenzen!

Jede Videokonferenz weniger ist ein Mehr an Datenschutz. Je weniger Videokonferenzen geführt werden, desto geringer ist das Risiko, dass Ihre Daten in irgend einer Art und Weise missbraucht werden könnten. 

Telefonieren Sie stattdessen. So, wie Sie nicht unbedingt auf originäre Funktionen einer Videokonferenz, wie das Screensharing, angewiesen sind, setzen Sie lieber eine Telefonkonferenz auf. Diese ist nicht nur datenschutzfreundlicher als alle Videokonferenzentools zusammen, sondern auch meist stabiler und einfacher im Handling.

Hinterfragen Sie also Einladungen zu einer Videokonferenz dahingehend, ob man diese nicht auch mit einer klassischen Telefonkonferenz durchführen könne. 

2. Wählen Sie den richtigen Anbieter für Videoconferencing – und bitte keine Diversifizierung der Tools!

Die Videokonferenz ist per se eine recht komplexe technische Angelegenheit. Das erklärt in aller Regel auch die enormen Kosten, die die Einrichtung den Unternehmen gekostet hat, die sich ein solches System angeschafft haben. Diese Systeme sind meist selbst gehostet und erfüllen in aller Regel die Anforderungen für IT-Sicherheit und den übrigen Standards des Unternehmens. Wenn man schon einen solchen „Benz“ in der Garage stehen hat, sollte man auch diese – soweit als möglich – auch zu nutzen. Denn alles andere – insbesondere die „Quick & Dirty“-Lösungen können schon mal schnell nach hinten losgehen. 

Soweit das Unternehmen kein eigenes System hostet, sollte man andere Standards nutzen, die sowieso schon in den Unternehmen lizenziert sind, wie z. B. — sehr häufig – Microsoft Teams. Gerade weil viele Mitarbeiter noch nicht wirklich in den diversen Videokonferenz-Tools geübt sind, sollte sich das Unternehmen auf möglichst einen Standard festlegen, der dann ausnahmslos von den Mitarbeitern genutzt werden sollte.

3. Klären Sie die Teilnehmer und Teilnehmerinnen über die Verarbeitungsprozesse auf!

Artt. 12 ff DGSVO gibt dem Organisator/Verantwortlichen quasi schon per Gesetz auf, die Teilnehmerinnen und Teilnehmer über die Verarbeitungsprozesse der Videokonferenz aufzuklären und zu informieren. Doch auch ohne rechtliche Vorschrift gebietet es die Höflichkeit, die Teilnehmer und Teilnehmerinnen darüber aufzuklären, was für Daten man selbst sammelt und was für Daten die Plattform / die Software für die Videokonferenz abgreift, und zu welchem Zweck etc.

Das kann sinnvollerweise ein Textbaustein sein, der einer Einladung zu einer Videokonferenz beiliegt und entweder vollständig informiert oder zumindest auf die allgemeinen Datenschutzhinweise des Unternehmens verweist. Dabei ist das eigene Unternehmen gemeint und nicht der Plattformbetreiber! Der Plattformbetreiber ist maximal ein Unterbeauftragter aus Sicht des Unternehmens.

5. Beachte interne Regelungen der IT-Sicherheit!

Sehr häufig geben die IT-Abteilungen des eigenen Unternehmens Einstellungshinweise aus, die man tunlichst beachten sollte. Nur so ist einigermaßen gewährleistet, dass man das Tool für die Videokonferenz nach den Unternehmensstandard einsetzt und unnötige Risiken vermeidet. 

6. Aufzeichnungen nur mit Einwilligung aller Teilnehmerinnen und Teilnehmern.

Plant man eine Aufzeichnung der Konferenz, so reicht es nicht aus, wenn die meisten Teilnehmer dem zustimmen. Es müssen schon alle Teilnehmer ihre Einwilligung erteilen. Nur dann ist rechtlich auch eine Aufzeichnung erlaubt. Am Besten ist, dass man sich diese Einwilligung vielleicht sich schon vorab – vielleicht mit der Einladungsmail – von den Teilnehmern abholt. Denn dann hat man sie auch schon per E-Mail und kann dann auch später relativ leicht diese Einwilligung nachweisen. Wichtig dabei ist, dass auch hier die Teilnehmer und Teilnehmerinnen zumindest über die Punkte aufgeklärt (informiert) werden müssen, warum (zu welchem Zweck) man aufzeichnen möchte und wann die Aufzeichnung gelöscht wird bzw. wie lange die Aufzeichnung abrufbar bleibt. Achtung: Die Erteilung der Einwilligung muss immer freiwillig erfolgen. Die Konferenzen müssen stets so aufgesetzt werden, dass die Durchführung derselben nicht von der Aufzeichnung abhängt. 

Und vermeiden Sie einen Datenfriedhof in dem Sie alle Videokonferenzaufzeichnungen für die nächsten 20 Jahre aufbewahren! Für was? Meist genügt ein Protokoll über die Konferenz, so dass das Videomaterial selbst dann leicht gelöscht werden kann. 

7. Teilen Sie Programme und nicht Bildschirme!

So wie Sie ein Screensharing machen wollen, achten Sie darauf, dass Sie allein die Ansicht des Programms für die übrigen Teilnehmer freigeben, auf das es gerade ankommt. Es interessiert keinen, was sich sonst noch auf Ihrem Bildschirm befindet (welche Programme sonst noch in der Benutzung sind oder welchen Content man sonst noch so erkennt).

8. Achten Sie auf Ihren Hintergrund 

Sollten Sie die Webcam freigeben, damit auch andere Teilnehmer Sie sehen können, achten Sie darauf, was diese sonst noch so im Bildhintergrund sehen könnten. Sorgen Sie am besten für einen aufgeräumten Hintergrund. Kleiden Sie sich am besten so, wie Sie im Büro auch gekleidet wären. 

Manche Programme, wie Teams und Zoom erlauben es, den Hintergrund eines Webcam-Bildes leicht verschwommen darzustellen oder gar auszublenden. Machen Sie hiervon standardmäßig  Gebrauch! 

9. Verwenden Sie mechanische Kamerablenden!

Viele haben ein kleines Pflaster über die Webcam kleben, weil sie wissen, dass diese relativ leicht gehackt werden kann. Aber es geht auch smarter mit einfachen Plastikschieber, die auf die Linse des Laptops geklebt werden und mechanisch mit dem Finger bedient werden. Diese Schieber sind der ultimative Schutz davor, dass man aus Versehen für die übrigen Teilnehmer sichtbar wird. Man gibt also mit einem solchen Schieber bewußt das Bild für die anderen frei – unabhängig davon, ob das Videokonferenz-Tool die Kamera schon aktiviert hat oder nicht. Gerade für Teilnehmer, die noch nicht so sehr mit diesen Tools geübt sind, eine dringende Empfehlung! 

10. Keine Videokonferenz ohne Moderation

Schwieriger als eine persönliche Konferenz ist die Führung einer Onlinekonferenz. Unterschiedliche Latenzzeiten bei den Teilnehmern, verschiedene Zugänge (Firmennetzwerk, VPN etc.) oder technisches Equipment führen dazu, dass sich die Interventionsmöglichkeiten schon wesentlich unterscheiden. Um dennoch eine effektive Konferenz durchführen zu können, empfiehlt es sich, stets die Konferenzen durch einen – auch technisch versierten – Mitarbeiterin oder Mitarbeiter zu moderieren. Der Moderator steuert die Agenda und fängt Abschweifungen wieder ein. 

Ich hoffe, dass Ihnen dieser Knigge dabei hilft, Ihre Konferenzen auch in dieser Corona-Zeit effektiv zu gestalten. Ich würde mich freuen, wenn Sie in den Kommentaren Ihre Erfahrungen mit Videokonferenzen teilen. Gerne nehme ich auch auf Fragen Stellung.

Ihr Julius S. Schoor

Photo by Chris Montgomery on Unsplash

Kennen Sie diese Situation? Sie beschleicht ein ungutes Gefühl, Sie sind sich unsicher bei der Verarbeitung von Kundendaten oder haben einfach keine Lust, sich „wegen Datenschutz anzählen“ zu lassen…

Also beschließen Sie sich, einen Experten aufzusuchen, der sich mit dem Thema „Datenschutz“ auskennt. Vielleicht gehören Sie zu den Glücklichen, die einen Datenschutzbeauftragten in ihrem Unternehmen benannt haben. Dann haben Sie einen direkten Ansprechpartner. 

Aber unabhängig hiervon gilt es, die richtigen Fragen stellen zu können. Denn die Qualität der Antwort hängt immer noch von der Qualität der Frage ab. So bewahrheitet sich auch hier die alte Weisheit: Wichtiger als die richtige Antwort ist, die richtige Frage zu stellen. Wer eine gute Frage stellen kann, darf auch eine gute Antwort erwarten. Denn – und das ist schließlich die Königsklasse – in einer guten Frage steckt in aller Regel bereits die Antwort !

Doch wie stellen Sie nun die richtigen Fragen zu Ihrem Datenschutz-Thema?

Hier finden Sie drei wertvolle Hinweise, wie Sie Ihre Fragen an den Experten für Datenschutz bzw. an ihren Datenschutzbeauftragten am besten formulieren.

1. Was konkret haben Sie vor? Beschreiben Sie Ihr Vorhaben! 

Je genauer Sie formulieren können, desto konkreter wird die Antwort ausfallen. Entscheidend ist auch das „Warum“, also der Zweck des beabsichtigten Vorhabens. Der Datenschutz kennt vor allem ein Prinzip: Je weniger Daten erhoben, produziert oder sonst wie verarbeitet werden, desto besser für den Datenschutz. Das heißt, wenn Sie keinen Grund für Ihr Vorhaben nennen, warum Sie das oder jenes jetzt vorhaben, so wird die Antwort Ihres Datenschutzexperten, dem vorbenannten Prinzip folgend, restriktiv oder schwammig ausfallen. 

Stellen Sie sich folgende Situation vor: „Soll ich mit dem Auto in die Stadt fahren oder besser den Bus nehmen?“ Dann wird Ihr Umweltberater tendenziell eher den Bus empfehlen. Die Frage muss also konkretisiert lauten: „Ich habe einen ziemlich wichtigen Termin in der Stadt. Und ich bin schon spät dran. Würde ich den Bus nehmen, käme ich etwa 15 Minuten zu spät an. Mit dem Auto bin ich 15 Minuten früher da. Außerdem habe ich noch einen Schrank transportieren. Ist es in Ordnung, wenn ich das Auto nehme?“ Bei dieser Frage kann Ihr Umweltberater nun ganz anders abwägen und Ihnen dann die für Sie passende Antwort formulieren. 

2. Betten Sie Ihre Frage in einem Kontext ein!

Der Kontext kann für die richtige Antwort entscheidend sein. 

Es macht z.B. einen grundlegenden Unterschied, wenn Sie einen Software-Rollout in der Nacht, am Wochenende oder während der Arbeitszeit planen; ob Sie den Software-Rollout in einem datenschutzverarbeitenden Betrieb mit einer sehr hohen Sensibilität und Risiko für personenbezogenen Daten durchführen oder bei einem eher güterproduzierendem Betrieb.

3. Fragen hinsichtlich diverser Tools, wie Bots, Plug-Ins oder Software-Programme, immer offen stellen!

Bei, einer Frage, wie: „Ist dieses spezielleTool datenschutzkonform?“ handelt es sich um eine geschlossene Frage. Man kann eine solche Frage schwer beantworten, meist nur mit „Ja“ oder „Nein“; oder Sie ernten ein nichtssagendes „Kommt drauf an“, also die Lieblingsantwort von Rechtsanwälten. Das ist so, als ob Sie fragen würden, ob ein bestimmtes Auto konform mit der Straßenverkehrsordnung (StVO) ist? Ja, es kommt ganz darauf an, wie es konfiguriert ist. Man könnte sogar die These in den Raum stellen, das dass man jedes Auto StVO-konform konfigurieren bzw. anpassen kann. Viel sinnvoller als die Frage nach dem „OB“, ist die Frage nach dem: „WIE“. Also, „Wie muss das Tool, welches ich gerne einsetzen möchte, konfiguriert sein, damit es datenschutzrechtskonform genutzt werden kann?“

Mit dieser kurzen Anleitung wissen Sie zukünftig, wie Sie am besten Fragen zum Datenschutz stellen, damit Sie befriedigende Antworten von Ihrem Experten erhalten. 

Haben Sie auch schon Erfahrungen mit Ihren Fragen gemacht? Zögern Sie nicht, Ihre Erfahrungen in den Kommentaren mit anderen Lesern zu teilen!

Happy Datenschutz

Haben Hacker  Zugriff auf eine solch umfangreiche Datenbank erlangt, so kennen sie nicht nur Ihre persönliche E-Mail-Adresse, sondern besitzen damit meist das für das entsprechende Kundenkonto notwendige Passwort und haben vollen Zugriff auf alle weiteren Daten, die sich in Ihrem Kundenkonto befinden.

Höchste Zeit also, dass Sie selbst prüfen, ob eines Ihrer Kundenkontos in der letzten Zeit gehackt wurde. Hier erfahren Sie, wie Sie mit ein paar Klicks schnell prüfen können, ob Sie selbst in der Vergangenheit Opfer eines Datenhacks geworden sind: 

Der einfachste Weg Ihre E-Mail-Adresse auf einen Datenleck zu prüfen ist über „Firefox Monitor“, ein Dienst von Mozilla, dem Pionier des OpenWebs und zudem eine gemeinnützige Stiftung, das sich u.a. auch den Datenschutz im Internet zur Aufgabe gemacht hat.

Achtung: Zur Nutzung dieser Funktion benötigen Sie kein Konto bei Firefox! Ein Konto ist erst dann nötig, wenn Firefox Monitor auch zukünftig regelmäßig neue Datenhacks in Hinblick auf Ihre E-Mail-Adresse prüfen und Sie automatisch informieren soll.

A. Prüfung Ihrer persönlichen E-Mail-Adresse auf aktuelle Datenlecks

Und so prüfen Sie, ob Ihre eigene E-Mail-Adresse aktuell betroffen ist:

1. Öffnen Sie in Ihren Browser – es muss nicht der Firefox-Browser sein – folgende Adresse: monitor.firefox.com
2. Geben Sie in dem weißen Feld Ihre E-Mail-Adresse ein, die Sie überprüfen lassen wollen.
3. Klicken Sie auf den darunter liegenden Button „Auf Datenlecks überprüfen“.

Anschließend werden sämtliche Datenlecks seit 2007 dahingehend überprüft, ob Ihre persönliche E-Mail-Adresse mit diesem Hack kompromittiert wurde. 

Sollte die E-Mail-Adresse in keinem dieser Datenlecks auftauchen, so erhalten Sie ein Prüfergebnis „Diese E-Mail-Adresse ist in 0 bekannt gewordenen Datenlecks aufgetaucht.“ Dann dürfen Sie sich freuen

Andernfalls erscheint statt der „0“ die Anzahl der entsprechenden Datenlecks, in der Ihre E-Mail-Adresse erscheint. Sollten Sie eine recht alte Adresse bei sehr vielen Diensten verwenden, so ist die Wahrscheinlichkeit entsprechend hoch, dass diese durch eines der zahlreichen Datenlecks kompromittiert wurde.

Soweit Ihre Adresse betroffen ist, führt Firefox die Quelle auf, welcher Dienst in der Vergangenheit erfolgreich gehackt wurde, und damit Ihre personenbezogenen Daten in die Hände unberechtigter Dritte gelangt sind. 

Sollte Ihre letzte Passwortänderung bereits länger zurückliegen, als der Hack, so sollten Sie bei dem entsprechenden Dienst dringend Ihr Passwort ändern! Solange Unberechtigte beispielsweise Zugriff auf Ihr E-Mail-Konto nehmen können, können diese nicht nur Ihre persönlichen E-Mails lesen und analysieren, sie können auch beliebig viele E-Mails über Ihr Postfach versenden,die so aussehen , als ob diese direkt von Ihnen versendet wurden!

B. Automatische Überwachung Ihrer E-Mail-Adresse auch in der Zukunft 

Wollen Sie Ihre E-Mail-Adresse auch in Zukunft überwachen lassen, so bietet Firefox Monitor auch diesen komfortablen Service an – vollautomatisiert, so dass Sie sich um nichts mehr kümmern müssen. 

Sollte aufgrund eines zukünftigen Datenhackings Ihre E-Mail-Adresse erstmals oder ein weiteres Mal in Mitleidenschaft gezogen werden, so würden Sie in einem solchen Fall von Firefox umgehend benachrichtigt werden. Für die Nutzung des Services ist es jedoch erforderlich, dass Sie sich ein Konto bei Firefox anlegen, damit Firefox z.B. die Möglichkeit hat, Sie bei einem Hacking-Treffer umgehend informieren zu können!

Doch Firefox setzt noch eines drauf, in dem es Ihnen anbietet, nicht nur eine E-Mail-Adresse aktiv zu überwachen, sondern auch alle weiteren E-Mail-Adressen, die Sie im Internet verwenden!

Mit Firefox Monitor ist Mozilla ein weiteres, wirklich gutes Produkt gelungen, welches den eigenen Datenschutz auf eine ziemlich smarte Weise unterstützt!

Schreiben Sie gerne Ihre Erfahrungen mit Firefox Monitor in den Kommentaren. Haben Sie persönliche Erfahrungen mit ähnlichen Diensten gemacht? Wie gehen Sie mit einem positiven Treffer um?

Ihr
Julius S. Schoor

#Selbstdatenschutz

Ausgangspunkt

Das gute alte Bargeld kommt allmählich aus der Mode. Schweden brüstet sich als Vorzeige-Land beim bargeldlosen Bezahlen. Im ganzen Königreich verweigert längst eine wachsende Zahl von Geschäften und Restaurants die Annahme von Scheinen und Münzen. Verbraucher zahlen zunehmend mit Kreditkarten oder gar ihrem Mobiltelefon.
In Deutschland ist ein ähnlicher „Trend“ zu beobachten – wenn auch in abgeschwächter Form. Besonders kleine Geschäfte und Restaurants bieten jedoch hierzulande oftmals keine Kartenzahlung oder mobiles Bezahlen an. Aber die Akzeptanz und das Interesse bei Händlern und Kunden wächst.

Informationen zu Apple Pay

Die bei Apple Pay zum Einsatz kommende Near Field Communication (NFC)-Technik ist auch nicht mehr neu. NFC steht hier für den kabellosen Datenaustausch zwischen zwei Geräten: dem iPhone/iPad/Apple Watch… und dem Kassenterminal. Viele EC- und Kreditkarten nutzen diese Technologie bereits – mit all seinen Vor- und Nachteilen.
Aber was ist denn nun eigentlich der Mehrwert/die Innovation von Apple Pay? Der Dienst soll eine bequeme, sichere und vertrauliche Methode zur Bezahlung mit der Apple Watch, dem iPhone, iPad und Mac bieten. Ähnlich wie bei PayPal, soll man mit Apple Pay auch direkt in der App „Nachrichten“ Geld an Freunde und Verwandte senden oder von diesen empfangen können.

Partner von Apple Pay

Welche Banken im Detail ihre Konten und Karten für den Zahlungsdienst freischalten steht ebenfalls noch nicht fest. Mit dabei sind allerdings „große Player“ wie die Hypovereinsbank und die Deutsche Bank. Daneben ist Apple Pay mit den drei großen Kreditunternehmen American Express, Visa und Mastercard kompatibel. Kreditkarten von Amazon sollen wohl aber nicht unterstützt werden. Bei den Händlern ist die bisherige Liste der Teilnehmenden schon länger – u.a. sind Aldi, Lidl, Netto, Real, Kaufland, H&M, S. Oliver, Esprit, Aral, Shell, Saturn, Media Markt, Burger King, McDonald’s, Starbucks und Vapiano bereits mit von der Partie.

Vorteile von Apple Pay

Apple Pay fungiert nicht als eigenes Konto oder Kreditkarte – vielmehr werden bestehende Kreditkarten oder Bankkonten in Apple Pay hinterlegt. Die Konto- und Kreditkartennummer wird allerdings nicht direkt zur Identifikation herangezogen. Stattdessen wird eine interne Gerätekontonummer seitens Apple für den Bezahlvorgang verwendet und an das Kassenterminal übertragen. Dadurch können Händler die privaten Karten-/Konto-Informationen nicht zurückverfolgen. Die Kreditkartendaten sind dadurch grundsätzlich besser geschützt. Die Authentifikation wird bei Apple Pay mit einem Fingerabdruck oder der sog. Face-ID (Gesichtserkennung) auf dem iPhone realisiert.
Ein weiterer großer Vorteil: Apple Pay ist komfortabel und einfach. Eine volle Geldbörse, eine PIN, die man sich schlecht merken kann und zickige Chipkartenleser gehören damit der Vergangenheit an. Einfach nur das iPhone oder die Apple Watch an das Kassenterminal halten, bestätigen, fertig.

Nachteile

Die Zahl der qualifizierten Apple-Geräte, die zur Nutzung von Apple Pay freigeschaltet sind, ist überschaubar. Es können nur neuere Apple-Geräte genutzt werden. Diese Einschränkung trifft ebenfalls auf die genannten Bank- und Handelspartner zu. Mithin kann (bislang) nur von einer „Insellösung“ gesprochen werden.
Daneben teilt Apple Pay das Schicksal jeder App: Neue Updates der Software können Bugs und Fehler mit sich bringen. In der Folge kann der Bezahlungsvorgang nicht durchgeführt werden. In Ländern, in den Apple Pay bereits nutzbar ist, gab es bereits Zwischenfälle auf Seiten des Lesegerätes, wodurch dort – schlussendlich – nicht mit Apple Pay bezahlt werden konnte.

Fazit

Aus der Perspektive des Datenschutzes, ist die Authentifizierung mit dem Fingerabdruck oder einer Gesichtserkennung (Face-ID) prinzipiell als sicherer einzustufen, als auf eine PIN zurückzugreifen. Positiv ist auch, dass Apple nur mittelbar die persönlichen Karten- und Kontoinformationen verwendet, indem an den Händler die Geräte-ID des Apple Pay-Geräts und nicht die Kartennummer übertragen wird.
Problematisch ist allerdings, dass es sich bei jedem dieser Zahlungsdienstleister – wie auch bei dem Konkurrenten Google Pay – um Drittanbieter handelt. Sie stellen also diesen Anbietern Ihre sensiblen Kontodaten zur Verfügung. Dabei setzen Sie sich grundsätzlich immer der steigenden Gefahr im Bezug auf Cyberkriminalität aus.
Gewiss, Sie brauchen, wenn Sie Apple Pay nutzen, keine physische Kreditkarte mehr (die Ihnen gestohlen werden und auf diese Weise missbraucht werden könnte), aber auch die erhöhte Sicherheit von Apple-Geräten ist nicht „unhackbar“.
Daher empfehle ich Ihnen – wenn Apple Pay in Deutschland zur Verfügung steht, sofern Sie ein qualifiziertes Apple Produkt und auch eine teilnehmende Kreditkarte besitzen – möglichst wenige Konten/Karten zu hinterlegen und deren Abbuchungen regelmäßig zu kontrollieren. Überdies sollten Sie sich bei Ihrer Bank über die Haftungsbedingungen im Missbrauchsfalle informieren.

Besitzen Sie ein kompatibles Apple-Gerät?
Zahlen Sie bereits mit mobilen Bezahlungsmethoden?
Ich bin auf Ihre Erfahrungen gespannt.
Lassen Sie uns diskutieren und kommentieren Sie diesen Beitrag!
__
Titelbild (CCO Public Domain)
__

Was ist überhaupt eine Datenschutz-Folgenabschätzung?

Die Datenschutz-Folgenabschätzung soll laut Art. 35 DSGVO eine umfassende Risikobewertung von Datenverarbeitungsvorgängen ermöglichen. Sie ist ein spezielles Instrument zur Beschreibung, Bewertung und Eindämmung von Risiken (Risikomanagement). Ihr Ziel besteht darin, Verstöße gegen die DSGVO zu vermeiden; es handelt sich also um ein präventives Werkzeug.
Völlig neu ist eine solche Folgenabschätzung jedoch nicht. Sie ersetzt die bisherige Vorabkontrolle nach § 4d Abs. 5 BDSG alter Fassung. Allerdings sind die beiden Regelungen nicht in allen Teilen deckungsgleich.
Gemein ist ihnen, dass es schon nach dem alten Bundesdatenschutzgesetz erforderlich war, in bestimmten Fällen eine sog. Vorabkontrolle durchzuführen, nämlich dann, wenn sich aus der automatisierten Verarbeitung personenbezogener Daten besondere Risiken für die Betroffenen ergaben.
Unterschiede ergeben sich aus den Formulierungen der Vorschriften. Die neue Regelung (Art. 35 DSGVO) setzt ein „hohes Risiko“ voraus, während das alte BDSG an „besondere Risiken“ anknüpfte. Wann genau ein „hohes Risiko“ für die Verarbeitung spezifischer Arten personenbezogener Daten sowie die Verarbeitung personenbezogener Daten zur Bewertung einer Person vorliegt, sollen die Anwendungsfälle in Absatz 3 des Art. 35 DSGVO sowie die Erwägungsgründe 89 bis 91 festlegen.

Wann genau ist überhaupt eine Datenschutz-Folgenabschätzung vorzunehmen?

In Art. 35 Abs. 1 DSGVO heißt es dazu:

„(…) eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge (hat)…“

Diese offene und auslegungsbedürftige Formulierung fächert den Anwendungsbereich wesentlich breiter auf, als es im Vergleich zum BDSG und der damaligen Vorabkontrolle noch der Fall war. Aufgrund dessen räumt er den Aufsichtsbehörden diesbezüglich einen Ermessensspielraum ein.
Die Landesdatenschutzbeauftragten müssen nun im Rahmen ihres jeweiligen Zuständigkeitsbereichs eine Liste der Verarbeitungsvorgänge erstellen und veröffentlichen, für die eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO durchzuführen ist. Diese Listen werden (u.a.) als „schwarze Listen“ bezeichnet.
Um es einmal plastischer zu machen: Die Verarbeitung von umfangreichen Daten über strafrechtliche Verurteilungen und Straftaten erfüllt anerkanntermaßen die Anforderungen an ein „hohes Risiko“ und erfordert folglich eine zuvor durchzuführende Datenschutz-Folgenabschätzung.
Daneben enthält Art. 35 Abs. 5 DSGVO eine Ermächtigung der Aufsichtsbehörden, eine Liste mit Arten von Datenverarbeitungsvorgängen zusammenzustellen und zu veröffentlichen, bei denen explizit keine Datenschutz-Folgenabschätzungen durchgeführt werden müssen. Diese Listen werden (u.a.) als „weiße Listen“ tituliert.

Was muss bei der Durchführung einer Datenschutz-Folgenabschätzung beachtet werden?

In Art. 35 Abs. 7 DSGVO werden die Mindestanforderungen für den Inhalt einer Datenschutz-Folgenabschätzung definiert. Enthalten sein müssen demnach:

• Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge sowie der Zweck der Verarbeitung, gegebenenfalls einschließlich der von dem für die Verarbeitung Verantwortlichen verfolgten berechtigten Interessen. (Art. 6 DSGVO)
• Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck.
• Eine Bewertung der Risiken der Rechte und Freiheiten der betroffenen Personen.
• Die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht werden soll, dass die Bestimmungen dieser Verordnung eingehalten werden, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen werden soll.

Im Ergebnis ist eine mehrstufige Prüfung nötig; eine sog. Schwellenwertanalyse. Kommen Sie nach der Durchführung der Datenschutz-Folgenabschätzung für einen bestimmten Verarbeitungsvorgang zu dem Ergebnis, dass tatsächlich ein „hohes Risiko“ besteht, müssen Sie sich fragen: „Lässt sich dieses eindämmen?“ – Bei verbleibend hohem Risiko ist eine Konsultation der Aufsichtsbehörde vor Aufnahme der Datenverarbeitung (Art. 36 Abs. 1 DSGVO) vorzunehmen. Abschließend ist das Ergebnis zwingend zu dokumentieren. (Art. 5 Abs. 2 DSGVO)

Fazit

Die Position eines internen oder externen Datenschutzbeauftragten (der stets in Datenschutz-Folgenabschätzungen eingebunden sein muss; Art. 35 Abs. 2 DSGVO) ist und bleibt höchst anspruchsvoll. Dies gilt nicht nur bezogen auf die vielen neuen und teils weit gefassten Vorschriften, sondern ebenfalls auf die unterschiedlichen Einschätzungen der verschiedenen Bundesländer. Damit Sie nicht den Überblick verlieren, habe ich Ihnen eine anschauliche Tabelle erstellt. Mit dieser haben Sie einen Vergleich der Listen, die bereits veröffentlicht wurden. Es ist wirklich ein tolles Werk entstanden, anhand dessen Sie direkt die Unterschiede der einzelnen Auffassungen der Landesdatenschutzbehörden erkennen können.

Viel Spaß damit.

Sind neue Listen zwischenzeitlich ergänzt worden?
Lass Sie es mich wissen und kommentieren Sie diesen Beitrag!
Besten Dank.

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Seit dem 25. Mai 2018 gilt SIE nun. Dabei wurde die Datenschutz-Grundverordnung schon vor zwei Jahren verabschiedet. Bis zum 25. Mai 2018 galt (für diesen Zeitraum) eine Übergangszeit. In dieser Zeit schwammen die neuen und europaweit einheitlichen Datenschutzregelungen unter der Wasseroberfläche. In den letzten Monaten begann es langsam zu brodeln; bis wenige Tage vor dem 25. Mai das „Datenschutz-Drama“ seine Peripetie zu erreichen schien. Obwohl der europäische Gesetzgeber genügend Zeit für eine vernünftige Umsetzung festlegte, haben viele (kleine und mittlere) Unternehmen, geschäftliche Einzelpersonen und Internetseitenbetreiber das Thema und die Zeit zum Handeln verschlafen. Daneben wurde und wird nicht immer rechtlich korrekt und mit der nötigen Objektivität über die Datenschutz-Grundverordnung berichtet. Zu häufig las ich Artikel, in denen gleich im zweiten Satz auf die drohende Abmahnwelle und/oder auf Artikel 83 Abs. 5 DSGVO hingewiesen wurde. Diese Norm regelt die neue Obergrenze von Bußgeldern, die bei Verstößen verhängt werden können:

„Bei Verstößen gegen die folgenden Bestimmungen werden (…) Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist“.

Das halte ich für reine Panikmache und wenig zielführend.

Die DSGVO schützt nicht nur Daten.

Zugegeben: Die DSGVO ist lang und nicht vollkommen. Das sind wohl wenige Regelungswerke. Vor allem ist sie an einigen Stellen weit und auf den ersten Blick unpräzise formuliert. Bei einem genaueren Blick braucht es gerade diesen (Gestaltungs-)Spielraum. Prozesse, in denen Daten erhoben, verarbeitet und gespeichert werden, sind ungemein vielfältig – es soll folglich nicht jeder Einzelfall, sondern der rechtliche Rahmen definiert werden.
Schaut man dann etwas genauer in dieses „Datenschutz-Dings“, dann werden sehr viele Vorteile für den Bürger sichtbar; so heißt es beispielsweise in Artikel 12 Abs. 1 Satz 1:

„Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen (…) die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.“

Diese Vorschrift will sagen: Auch ohne ein Studium der Informatik oder Rechtswissenschaft sollen z.B. Internetseitenbetreiber in einer klaren und einfachen Sprache erklären, was auf deren Webseiten mit persönlichen Daten geschieht. Das ist nicht bloßer Datenschutz; das ist Verbraucherschutz.

Nutzen Sie Ihre Rechte!

Während die DSGVO bei den technischen Vorgängen zur Datenverarbeitung offener gestaltet ist, sind die Artikel zu den Rechten, die Sie als Betroffene haben, erfrischend klar (Artikel 12 bis 23 DSGVO). Diese Rechte sollten Sie kennen und wahrnehmen:
Jeder von Ihnen hat das Recht auf

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung („Recht auf Vergessenwerden“) nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung (Sperrung) nach Art. 18 DSGVO,
• Widerspruch nach Art. 21 DSGVO sowie
• Datenübertragbarkeit aus Art. 20 DSGVO.

Abschließende Tipps

Zäumen Sie nicht das Pferd von hinten auf: Gedanken über ein hypothetisches Bußgeld helfen nicht weiter, wenn Ihnen gar nicht klar ist, ob Sie überhaupt an der Verarbeitung von personenbezogenen Daten beteiligt sind und damit der Anwendungsbereich der DSGVO überhaupt eröffnet ist.
Ferner ist es nicht hilfreich, wenn Sie Datenschutzerklärungen ungelesen akzeptieren oder Verträge unterschreiben (z.B. einen sog. Auftragsverarbeitungsvertrag – kurz „AVV“) ohne den Inhalt zu kennen und zu verstehen; denn leider hielten/halten sich nicht alle an das Erfordernis aus Artikel 12 DSGVO: „in klarer und einfachen Sprache“ zu formulieren.
Abschließend rate ich dringend davon ab, einfach „irgendwelche“ Muster zu übernehmen oder Datenschutzerklärungen von anderen Homepages blind zu kopieren. Erstens ist (bei weitem) nicht jedes Muster, welches Sie im Netz finden, gut und (rechtlich) einwandfrei. Zweitens kann das Kopieren von Datenschutzerklärungen einen Verstoß gegen das Urhebergesetz darstellen; im Ergebnis riskieren Sie dann ein Bußgeld wegen eines Urheberrechtsverstoßes, um einem Bußgeld der Datenschutzbehörde zu entgehen. Das wäre nicht besonders smart.

Fazit

Begreifen Sie die Flut an E-Mails als eine Art „Reinigung“ oder „Inventur“. Ich sah auf diese Weise, welche Unternehmen meine E-Mail-Adresse und meinen Namen gespeichert hatten. Das waren nicht wenige. An viele konnte ich mich gar nicht erinnern. Im Grundsatz der DSGVO bleibt alles verboten, was nicht ausdrücklich erlaubt ist. Daher forderten die Unternehmen Sie nun teilweise erneut auf, dass Sie in die Datenverarbeitung und Speicherung Ihrer personenbezogenen Daten einwilligen. Sie haben jetzt die Möglichkeit noch einmal kritisch zu prüfen, ob Sie Ihre Daten an dieses oder jenes Unternehmen geben möchten oder eben nicht. Das ist doch wunderbar. Wie nervig wäre es gewesen, wenn Sie die ganzen Firmen hätten anschreiben und um Auskunft bzw. Löschung bitten müssen? An viele hätten auch Sie sich nicht erinnert, oder?

Das Wort des Jahres 2018 lautet daher: DSGVO.
Aber Vorsicht.
Das sind Alternative Fakten (Unwort des Jahres 2017).

Wie stehen Sie zur DSGVO?
Wieviele E-Mails haben Sie bekommen mit dem Betreff: „Auch wir aktualisieren unsere Datenschutz….“?
Ich bin gespannt, was Sie in die Kommentare schreiben!

__

Titelbild (CCO Public Domain)

__

Ausgangspunkt

Bei dieser Betrugsmasche erhalten Sie bei Facebook eine an Sie namentlich adressierte Nachricht von einem Ihrer Freunde mit Emoticons sowie einem angeblichen Link zu einem YouTube-Video. Durch die namentliche Ansprache und die spärlichen Informationen sollen Sie neugierig auf das ominöse Video gemacht und damit zum Anklicken des Links verleitet werden.

So sehen die gefährlichen Nachrichten und der Link aus.

Wer seiner Neugier nachgibt, beim vertrauten Facebook-Freund nichts Böses ahnt und auf den Link klickt, kann laut der Polizei Niedersachsen in eine Falle tappen. Nutzer werden – sofern sie den Link auf dem Smartphone aktivieren – beispielsweise auf eine gefälschte Facebook-Login-Seite geleitet, die als Fälschung jedoch kaum bis gar nicht erkennbar ist. Auf dieser (gefälschten) Facebook-Seite werden Sie erneut um Eingabe Ihre Zugangsdaten – also E-Mail-Adresse und Passwort gebeten. Diese Daten werden anschließend per Phishing erbeutet – das heißt sie werden an Kriminelle weitergeleitet.
Wer den Link von seinem Computer aus anklickt, landet auf der YouTube-Startseite oder einer gefälschten Seite, die möglicherweise Malware auf dem PC einschleusen könnte.
Betroffene werden von den Betrügern meist auch gleich selbst als Nachrichten-Versender missbraucht, ohne es zu merken. In ihrem Namen werden wiederum die Nachrichten mit dem präparierten YouTube-Video an die gesamte Freundesliste versendet.
Wenn Sie eine solche Messenger-Nachricht erhalten haben, sollten Sie keinesfalls den Link anklicken, sondern die Mitteilung umgehend löschen.
Haben Sie doch auf den Link geklickt? Ändern Sie sofort Ihre Zugangsdaten. Sollten Sie Ihr „Facebook-Passwort“ auch an anderer Stelle verwenden, so ändern Sie es auch dort entsprechend.

Maßnahmen, um sich vor derartigen Angriffen besser zu schützen

Diese linke Masche ist leider nicht neu und wiederholt sich schneeballartig. Sie schauen unterwegs und nicht besonders aufmerksam auf Ihre Nachrichten, klicken auf den Link und schon ist es zu spät. Das geht schnell. Deswegen sollten Sie Ihr Facebook-Konto besser vor solchen Angriffen schützen. Verwenden Sie dafür die sog. Zwei-Faktor-Authentifizierung. Bei diesem Verfahren muss – neben dem Benutzernamen und Passwort – noch ein weiterer Faktor (darum Zwei-Faktor) hinzukommen, damit Sie sich anmelden können.

Facebook bietet hierfür zwei unterschiedliche Verfahren an.
Beim ersten authentifizieren Sie sich per Mobiltelefon. Bei jeder Anmeldung wird eine SMS mit einem Code versendet, der zusätzlich eingegeben werden muss. Dieses Verfahren nutzen die meisten Online-Banking-Seite ebenfalls.
Daneben können Sie auch auf bestimmte Authentifizierungsprogramme zurückgreifen, die auf dem Smartphone oder einen anderen Gerät – beispielsweise einem iPad – installiert werden müssen. Hier läuft das Verfahren ganz ähnlich: Auf der App (oder dem Drittgerät) wird beim Anmeldeversuch ein Code angezeigt, der bei der Facebook-Anmeldung zusätzlich eingegeben wird. Erst jetzt funktioniert Ihr Login.

Fazit

Auch über ein halbes Jahr nach dem Bekanntwerden funktioniert dieser Angriff auf unsere Facebook-Zugangsdaten. Leider.
Mit diesen fünf Tipps können Sie sich zukünftig besser schützen:

1. Bleiben Sie stets skeptisch!
2. Klicken Sie nicht auf Links, von denen Sie nicht wissen, wohin Sie führen!
3. Geben Sie niemals Ihre Zugangsdaten nach einer oben beschriebenen Weiterleitung ein!
4. Aktivieren Sie die Zwei-Faktor-Authentifizierung in Ihrem Account!
5. Verwenden Sie eine Firewall, einen aktuellen Virenscanner und führen Sie stets alle Updates des jeweiligen Betriebssystems durch!

Haben Sie ebenfalls eine manipulierte Nachricht erhalten?

Ich bin auf Ihre Erfahrungen gespannt.

Schreiben Sie mir gern einen Kommentar!

__

Titelbild (CCO Public Domain)

__

Glaubwürdig?

Ausgangssituation

Das soziale Netzwerk ist bekannt, jedoch nicht gerade für einen Schutz der persönlichen Daten seiner Mitglieder. Dies unterstreicht der jüngste Skandal. „Daten sind das neue Gold“ – das muss sich auch Cambridge Analytica gedacht haben, als sie sich unberechtigt Zugriff auf die persönlichen Daten von Millionen Facebook-Konten verschafften. Angesichts der Einwohnerwahl innerhalb der EU (etwa 512 Millionen) erscheint die Betroffenheit von „nur“ 2,7 Millionen Personen erst einmal nicht besonders groß. Allerdings besitzt nicht jeder EU-Bürger einen Facebook-Account, sodass sich die Zahlen damit nach oben relativieren. In Deutschland gelten 300.000 Konten als „betroffen“.

Lange Zeit wurden die vielschichtigen Chancen von digitalen Medien hervorgehoben. In den letzten Jahren setzt sich glücklicherweise immer mehr Bewusstsein für die Schwächen und den Schutz unserer Daten durch; auch beim (europäischen) Gesetzgeber und der EU-Kommission.

Bundesjustizministerin Katarina Barley findet erfrischend klare Worte:

„Facebook muss für den Skandal Verantwortung übernehmen. Die Frage, was mit den Daten von 30 Millionen deutschen Nutzerinnen und Nutzern passiert, ist eine zentrale Frage des Verbraucherschutzes. Das europäische Facebook-Management muss zu diesem Skandal umfassend gegenüber der Bundesregierung Stellung beziehen. Dafür werde ich Vertreterinnen und Vertreter des Unternehmens in das Bundesjustizministerium laden. Es ist nicht hinnehmbar, dass Nutzer in Sozialen Netzwerken gegen ihren Willen ausgeleuchtet werden, um sie ganz gezielt mit Wahlwerbung oder Hass gegen den politischen Gegner zu bombardieren. Solche Wahlkampfmethoden sind eine Gefahr für die Demokratie. Hier müssen klare Regeln gelten.Europa hat beim Datenschutz ein sehr viel strengeres Recht als die USA. Die Selbstbestimmung des Einzelnen über seine Daten hat hier einen hohen Wert. Als Grundrecht, als Verbraucherrecht. Entscheidend ist die Einwilligung der Nutzerinnen und Nutzer. Die kann immer nur wirksam sein, wenn die Betroffenen genau wissen, was mit ihren Daten passiert. Das künftige europäische Datenschutzrecht, das ab Mai 2018 gilt, sieht bei Verstößen empfindliche Sanktionen bis zu 4 Prozent des weltweiten Jahresumsatzes vor.“

Die Ministerin verweist auf die ab 25.05.2018 geltende „Datenschutzgrundverordnung“ (DSGVO), die das Datenschutzrecht europaweit vereinheitlicht. Wichtige Neuerungen sind u.a. die Sanktionen bei einem Verstoß gegen das europäische Datenschutzrecht; insbesondere die erheblich höheren Obergrenzen der Bußgelder bei einem Verstoß (bis zu 20.000.000 Euro oder 4 Prozent des weltweiten Jahresumsatzes des Vorjahres); Art. 83 DSGVO. Ein solches Bußgeld würde auch Facebook empfindlich treffen.

Reaktion seitens Facebook 

Erst das große Schweigen im Walde. Irgendwann wurde der Druck für Zuckerberg zu groß. Er wandte sich an die Presse, entschuldigte sich und kündigte mehr Transparenz im Bereich Datenschutz an. Eine Maßnahme des Unternehmens betrifft die Werbeeinblendungen zu politischen Themen/Parteien. Diese sollen zukünftig klar (als solche) erkennbar sein oder ausweisen, wer sie finanziert. Damit reagiert der Konzern auf Vorwürfe, wonach die illegal weitergegebenen Daten für personalisierte Wahlwerbung missbraucht wurden seien. 

Daneben blendet Facebook nun Informationen zum Thema Datenschutz ein – siehe Screenshots.

Ich bitte Sie daher: 

Nehmen Sie sich zwei Minuten Zeit (länger dauert es nicht) und lesen Sie sich diese Angaben aufmerksam durch. Klicken Sie nicht (gewohnheitsmäßig) auf „Akzeptieren und fortfahren“. Durch diese Einstellungen können Sie beispielsweise prüfen, ob in Ihrem Profil Ihre Interessen und religiöse oder politische Ansichten gespeichert sind. Ebenfalls können Sie abstellen, dass Facebook Sie automatisch auf Fotos und in Videos erkennt. 

Fazit 

Der große Hype um Facebook – zumindest in der jüngeren Generation – scheint verflogen. Es existieren mittlerweile genügend andere soziale Plattformen. Twitter, Instagram, Snapchat… Deswegen trifft dieser (erneute) Datenskandal das Unternehmen besonders. Viele Nutzer haben kein Verständnis mehr für einen derartig schlechten Umgang mit ihren persönlichen Daten. Auch viele Politiker nehmen sich dem Thema an. Zum Schluss nochmal Katarina Barley:

„Es ist an der Zeit für eine deutliche Reaktion der europäischen Staaten. Für Soziale Netzwerke braucht es klare Regeln. Wir werden überprüfen, ob die Möglichkeiten der neuen europäischen Datenschutzverordnung ausreichen. Wir müssen klare Anforderungen an die Betreiber Sozialer Netzwerke auf europäischer Ebene gesetzlich festschreiben.“

Bis dahin prüfen Sie bitte, was Sie selbst unternehmen können, um Ihre Daten gegenüber Facebook (besser) zu schützen. Einige in meinem Freundes- und Bekanntenkreis, die schon vorher auch auf anderen Plattformen angemeldet waren, löschten ihr Profil bei Facebook komplett. Das ist eine Möglichkeit. Sicher ist sie für viele Nutzer zu radikal. Außerdem ist unklar, was „löschen“ bei Facebook konkret heißt und ob unsere Daten nicht bereits illegal weitergeben wurden. Wenn Sie Ihren Account weiterhin benutzen möchten, dann überprüfen Sie äußerst kritisch die Datenschutzeinstellungen. 

Besser als nix.

Wie sehen Sie den Datenskandal bei Facebook?

Haben Sie noch weitere Tipps zur Verbesserung der Datensicherheit bei den Datenschutzeinstellungen entdeckt?

Ich bin auf Ihre Erfahrungen gespannt. 

Schreiben Sie mir gern einen Kommentar!

__

Titelbild (CCO Public Domain)

__

I. Problemaufriss

Das Bürgerliche Gesetzbuch (BGB) ist Verbrauchern grundsätzlich zugeneigt. Viele Vorschriften schützen den Konsumenten und versuchen, das Ungleichgewicht zwischen Ihnen und übermächtigen Weltkonzernen auszugleichen. Trotz dessen sollten Sie bei der Kündigung von Verträgen einige Faustregeln beachten, um sich Ärger, Zeit und Geld zu ersparen.

II. Vertragslaufzeiten; Kündigungsfristen und Vertragsverlängerungen

Ein klassischer Beispielsfall: Sie schließen einen Mobilfunkvertrag ab. Dieser läuft gewöhnlich für mindestens zwei Jahre – 24 Monate (dies ist auch die gesetzliche Höchstdauer; § 309 Nr. 9a BGB). Die Allgemeinen Geschäftsbedingungen (AGB) sehen üblicherweise vor, dass sich der Vertrag um ein weiteres Jahr verlängert (ebenfalls der maximale Zeitraum; § 309 Nr. 9b), falls er nicht drei Monate vor Vertragsende gekündigt wird (§ 309 Nr. 9c). Hier liegen häufig die Probleme. Sie treten in den unterschiedlichsten Schattierungen auf. Dazu zählt jedoch nicht der Fall, dass der Verbraucher schlicht vergisst zu kündigen. Anwälte und Verbraucherzentralen werden regelmäßig eingeschaltet, wenn der Kunde rechtzeitig – also mindestens drei Monate vor dem Ende des Vertrages – ein entsprechendes Kündigungsschreiben auf den Weg brachte, sich aber anschließend (auf der Seite des Unternehmens) nichts rührt. Totenstille. Im Ergbnis verstreicht die Kündigungsfrist, der Vertragspartner hat (oder behauptet es) keine Kündigung bekommen. Der Vertrag wird für mindestens 12 weitere Monate verlängert. Das ist ärgerlich, aber vermeidbar, wenn Sie die folgenden vier Faustregeln beachten:

1. Kündigen Sie immer rechtzeitig – also deutlich vor dem letztmöglichen Kündigungszeitpunkt. Ich empfehle Ihnen, sich die Frist einen Monat früher zu notieren. Dadurch gewinnen Sie Zeit, um nochmals Kontakt mit dem Unternehmen aufnehmen und sich in Ruhe zu erkundigen, ob die Kündigung ordnungsgemäß angekommen ist. Notfalls können Sie erneut kündigen, wenn Ihre Erklärung (noch) nicht beim Adressaten ankam.
2. Formulieren Sie das Kündigungsschreiben möglichst präzise. Benennen Sie den Vertragstypen (beispielsweise „Mobilfunkvertrag“) und die jeweilige Kundennummer, sodass die Kündigung Ihrem Vertrag zugeordnet werden kann.
   
   Vorsicht: Einige Firmen splitten Verträge (künstlich) auf – so wird beispielsweise ein DSL-Vertrag, über den auch telefoniert und ferngeschaut wird, machmal auf mehrere unterschiedliche Kundennummern aufgeteilt. Nehmen Sie in Ihrer Kündigung lediglich auf eine dieser Nummern Bezug, kann es passieren, dass der Anbieter diesen Vertragsbestandteil wunschgemäß kündigt – die anderen Teile aber wieder um 12 Monate verlängert. Dagegen hilft Ihnen die Formulierung „…hiermit kündige ich sämtliche Verträge bei Ihnen…“. Sie merken schon: Der Teufel steckt im Detail. 
3. Schicken Sie die Kündigung an den richtigen Adressaten und auf dem richtigen (Versand-) Weg. Grundsätzlich ist eine Kündigung – rechtlich gesprochen – eine Willenserklärung. Damit diese wirksam wird, muss sie der anderen Vertragspartei zugegangen sein – d.h. es muss die faktische Möglichkeit bestehen, dass der andere Vertragspartner Ihre Kündigung zur Kenntnis nehmen kann. Ganz klassisch wäre der Brief. Problematisch ist, dass zwischen Ihnen und dem Unternehmen, dem Sie kündigen wollen, nun ein weiteres Unternehmen steht: Die Deutsche Post AG. Ob der Brief ankommt oder nicht. Sie wissen es nicht. Eine andere Möglichkeit wäre ein teures Einschreiben. Dann haben Sie einen Beleg, dass Sie an einem bestimmten Datum an das Unternehmen etwas verschickt haben. Dies ist jedoch kein Nachweis über den Inhalt Ihrer (Kündigung-) Erklärung. Ich empfehle Ihnen daher die Kündigung per Fax. Meistens findet man im „Impressum“ die Faxnummer des Unternehmens. Die alte Technik bewährt sich hartnäckig, da sie einen entscheidenden Vorteil bietet: Der Versand dauert nur wenige Sekunden. Anschließend erhalten Sie einen Sendebericht, der die erste Seite Ihres Faxes (also Ihre vollständige Kündigungserklärung) wiedergibt. Dieser Faxbericht ist ein (starkes) Indiz für die Zustellung. Nach meiner Erfahrung klappte die Kündigung per Fax immer reibungslos.
4. Nutzen Sie die Kündigung, um ein erteiltes SEPA-Lastschriftmandat zu widerrufen, nervige Werbeanrufe zu verbieten und die Löschung Ihrer Daten nach dem Vertragsverhältnis zu fordern. Nicht selten entdecken Unternehmen nach der Kündigung ihr Interesse an Ihnen als wertvollen Bestandskunde. Es folgen nervige Anrufe mit (teilweise windigen) „Rückholangeboten“. Wenn Sie ein solches Angebot nicht wünschen, dann formulieren Sie:

„Darüber hinaus widerspreche ich gemäß § 28 Abs. 4 BDSG der Nutzung und Übermittlung meiner Daten für Zwecke der Werbung. Streichen Sie alle verbraucherrelevanten Daten umgehend aus Ihrer Adresskartei und unterlassen Sie unerlaubte Telefonwerbung. Ich weise an dieser Stelle darauf hin, dass Telefonmarketing gemäß § 7 des Gesetzes gegen den unlauteren Wettbewerb (UWG) unzulässig ist und eine unzumutbare Belästigung darstellt. Telefonmarketing gegenüber Verbrauchern ist ohne deren Einwilligung verboten.“

Ferner sollten Sie ein möglicherweise erteiltes SEPA-Lastschriftmandat unbedingt widerrufen, um Abbuchungen von Ihrem Konto nach Vertragsende zu vermeiden. Schlussendlich rate ich Ihnen, das sog. „Recht auf Vergessen“ in Anspruch zu nehmen – d.h. fordern Sie ausdrücklich die Löschung Ihrer persönlichen Daten zum Ende des Vertrages. Dadurch können Sie die Gefahr der (illegalen) Datenweitergabe reduzieren und dafür Sorge tragen, dass Sie nicht mehr von diesem Unternehmen kontaktiert werden.

III. Fazit

Verbraucherzentralen und Anwälte werden oft mit derartigen Fällen konfrontiert, weil es in rechtlicher wie tatsächlicher Hinsicht einiges zu beachten gilt, um wirksam zu kündigen. Wenn Sie die aufgezeigten Problemfälle zukünftig erkennen und mit den genannten Lösungsansätzen agieren, werden Sie es leichter haben, lästige Verträge zu kündigen.

Welche Erfahrungen haben Sie mit Kündigungen gemacht?

Ich bin sehr gespannt. Kommentieren Sie einfach diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Das Zauberwort heißt: Recht auf Vergessen.

Problemaufriss

Wir verbreiten unsere Daten sehr schnell im Internet. Dies geschieht beispielsweise bei jeder Onlinebestellung. Nicht selten fordern die Internethändler unser Einverständnis, um regelmäßig per Newsletter über neue Angebote zu informieren. Oft ist das entsprechende Kästchen schon vorausgewählt, sodass diese Option erst mühsam abgewählt werden müsste. In der Folge trudelt nach der erfolgreichen Bestellung häufig Werbung ins Haus – sowohl per E-Mail, wie auch klassisch per Post. „Des einen Freud, des anderen Leid“ könnte man sagen, denn nicht jeder möchte nach seinem Onlinegeschäft weiterhin über „Top-Angebote“ informiert werden (weil er oder sie z. B. das Kästchen mit der Einwilligung der Datennutzung schlicht übersehen hat).

Lösungsansätze

Im Hinblick auf Werbung per E-Mail (Newsletter) ist ein Lösungsansatz vielen bekannt: Jeder (seriöse) Newsletter muss einen Link mit der Abschrift „abmelden“ oder „unsubscribe“ enthalten. Auf diese Weise können Sie dem zukünftigen Versand verhindern. Sollte der Newsletter (meist am Ende) keine entsprechende Abmeldeoption vorhalten, sind die gesetzlichen Verpflichtungen des § 7 Abs. 2 Nr. 4 UWG nicht eingehalten – ein starkes Indiz für eine illegale Form der Werbung, was aber ein Thema für sich ist. Soweit – so bekannt.

Es gibt aber eine weitere Möglichkeit, die das Problem gewissermaßen an der Wurzel packt: Das Bundesdatenschutzgesetz und die zukünftig geltende Datenschutz-Grundverordnung (DS-GVO) gewähren uns ein sog. „Recht auf Vergessen“. Was sich in ersten Moment seltsam anhört, ist letztlich nur konsequent. Klar, wir können uns überall anmelden, unsere persönlichen Daten hinterlassen und unsere Einwilligung zur Nutzung dieser Daten geben, ABER wir können ebenso unser Einverständnis widerrufen und zur Löschung der gespeicherten Daten auffordern.

Recht auf Vergessen – die Rechtsgrundlage

Eine gesetzliche Grundlage hierfür findet sich in Art. 17 Abs. 1 lit. a) DS-GVO sowie im dazugehörigen Erwägungsgrund 65. Dort heißt es: „(…) Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht mehr verarbeitet werden, wenn die personenbezogenen Daten hinsichtlich der Zwecke, für die sie erhoben wurden, nicht mehr benötigt werden, wenn die betroffenen Personen ihre Einwilligung in die Verarbeitung widerrufen oder Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten eingelegt haben oder wenn die Verarbeitung ihrer personenbezogenen Daten aus anderen Gründen gegen diese Verordnung verstößt (…)“.

Soweit also die gesetzliche Grundlage, aber wie können Sie diese für sich fruchtbar machen und was hat das Recht auf Vergessen mit nervigen Newslettern und der Werbepost im Briefkasten zutun? Kurzum: Wenn Sie der Nutzung Ihrer Daten widersprechen und die Löschung verlangen, dann müssen Unternehmen dem auch nachkommen. Für Zuwiderhandlungen sieht die in Kraft tretende DS-GVO empfindlichen Geldstrafen vor. Im Ergebnis werden Ihre persönlichen Daten – Ihr Name, Ihre E-Mail-Adresse sowie Anschrift,… – gelöscht. Damit kann von diesem Unternehmen an Sie auch keine Werbung mehr geschickt werden. Dieses Vorgehen bringt einen weiteren Vorteil mit sich, denn je weniger Firmen Ihre personenbezogenen Daten speichern, desto geringer ist auch die Gefahr einer (illegalen) Datenweitergabe an Dritte oder des Datendiebstahls durch Hacker. Beachten sollten Sie jedoch, dass nach einer vollständigen Datenlöschung – beispielsweise bei einem Onlinestore – auch Ihre Bestelldaten gelöscht werden und es dann möglicherweise schwierig werden kann, wenn Sie innerhalb der Garantie Ihre Gewährleistungsrechte nutzen möchten.

Fazit

Wenn Sie sich immer noch nicht recht angesprochen fühlen sollten, dann durchforsten Sie doch mal bitte Ihr (Spam-) E-Mail-Postfach und beobachten Sie, wieviel Werbung in Ihrem Briefkasten an Sie adressiert landet und fragen Sie sich: „Möchte ich, dass diese Konzerne meine persönlichen Daten speichern und verwenden; interessiert mich diese Werbung?“ Sollten Sie diese Frage mit „nein“ beantworten, so stelle ich Ihnen folgenden Formulierungsvorschlag zur Verfügung, um Ihr Einverständnis zur Datennutzung zu widerrufen und zur Löschung aufzufordern.

Ein kleiner Tipp: Diese Aufforderung können Sie auch unkompliziert per E-Mail verschicken. Die E-Mail-Adresse der Unternehmen, mit denen diese am Rechtsverkehr teilnehmen, finden Sie meist auf der jeweiligen Internetseite unter „Impressum“. Sollten Sie trotz der Löschaufforderung mit weiteren E-Mails und Werbung per Post bombardiert werden, so können Sie sich an den zuständigen Landesdatenschutzbeauftragten wenden oder anwaltliche Hilfe in Anspruch nehmen.

Im Ergebnis kennen Sie jetzt eine gesetzliche Grundlage, wie Sie der Nutzung Ihrer persönlichen Daten widersprechen und die Löschung verlangen können. Lassen Sie sich also nicht nerven, sondern nutzen Sie die Möglichkeiten, die Ihnen das deutsche und europäische Datenschutzrecht gewährt.

Welche Newsletter nerven Sie am meisten? Haben Sie bereits Unternehmen angeschrieben und die Löschung Ihrer Daten verlangt? Ich bin auf Ihre Erfahrungen gespannt. Kommentieren Sie diesen Beitrag!

__

Titelbild (CCO Public Domain)

__