#45 - Sicherheit auf gut Glück

00:00:05: Herzlich willkommen bei Mein Datenschutztheater, dem Podcast von meine Berater und Folge forty-fünf.

00:00:25: Sicherheit auf

00:00:26: gut Glück!

00:00:28: Darf ich viel reden?

00:00:30: Sie hören den Host?

00:00:31: Genau.

00:00:32: Herzlich Willkommen, liebe Birgit und liebes Publikum, das uns heute zuhört.

00:00:37: bei der fünftvierzigsten Folge Heute das Thema eine Geldpose, die auf den ersten Blick sehr klein wirkt.

00:00:45: Aber eine ziemlich klare Botschaft transportiert.

00:00:49: Ja und nachdem Sie jetzt den Wörfe reden hören geht es heute ein bisschen um Technik.

00:00:53: Gott sei Dank!

00:00:53: Also

00:00:54: jetzt gerade nicht?

00:00:55: Nein.

00:00:55: Zuerst musst du mal erzählen was passiert ist... Jetzt

00:00:58: starten wir mal hinein.

00:01:00: worum geht's?

00:01:01: Wir sind im Norden angelangt.

00:01:03: Wir kommen nach Bohlen.

00:01:05: Dort wurde eine Steuerkanzlei gehackt.

00:01:08: Um ganz genau zu sein Nicht die ganze Kanzlei, sondern nur ein E-Mail Postfach eines Mitarbeiter dort oder einer Mitarbeiterin des Wiesmeid.

00:01:17: Und da waren verschiedenste Daten natürlich drauf von Klienten und von Kindern, von Mitarbeitenden usw.

00:01:25: Dieser Fall wurde zuerst einmal ganz brav gemeldet von der Kanzlei.

00:01:31: Dann war er lustigerweise behauptet jahrelang ist es eh nichts passiert.

00:01:36: Die Behörde hat das dann einmal nicht so locker genommen und zuerst haben wir ein Brustgeld im zweistelligen Millionen-Euro-Bereich verhängt.

00:01:48: Das ist aber dann deutlich kleiner geworden, im Laufe der Zeit.

00:01:51: Und wie die Behörde überhaupt auf diesen Betrag kommt?

00:01:54: Wie man denn reduziert

00:01:56: usw.,

00:01:57: das werden wir heute aufklären!

00:02:00: Ich glaube, das stimmt nicht.

00:02:01: Doch, stimmt.

00:02:05: Die Grundlage für die Strafbemessung mit einem zweistelligen Millionenbetrag festgelegt, aber nicht verhängt sondern davon dann abgeleitet.

00:02:12: Ja genau.

00:02:12: Aber liebe Damen und Herren, Sie kennen mir, ihr musst immer ein bisschen Kugs heißen und deshalb ja... Es kommt immer auf die Details an in der Juristerei?

00:02:20: Meistens ja!

00:02:22: Im Zentrum unseres heutigen Falles steht eine kleine polnische Kanzlei, die hauptsächlich Buchhaltung- und Steuerberatung macht und der Name ist unerheblich, das sogar subseutonomisiert.

00:02:34: Aber solche Kanzleien verarbeiten grundsätzlich einmal sehr viele sensibile Daten.

00:02:39: Von den eigenen Klienten, von den Mitarbeitenden und von deren Kindern... Warum?

00:02:44: Weil sie natürlich in der Sozialversicherung gemeldet werden müssen.

00:02:48: Ja und Anfang zwanzig, einundzwanzig.

00:02:50: Darf ich unterbrechen?

00:02:51: Ja!

00:02:52: Da stellt sich jetzt die Frage sind das wirklich sensible Datenmörfe?

00:02:55: Richtig!

00:02:57: Wir sind schon so hinein gegeben dieses Wort Aber die Sozialversicherungsnummer könnte natürlich sensibel sein, außer man verwendet es nur im Arbeitsverhältnis.

00:03:06: Genau.

00:03:06: Ja aber in dem Fall so wie heute wenn wir bei uns ausgelagert hat Lohnverrechnung verarbeitete der Steuerberater oder die Steuerberaterin auch an Haufen Daten und möglicherweise auch sensible Wiederkrankungsstandsbestätigung?

00:03:21: Wie gesagt ein Zugang zu einem E-Mail-Bossfach ist dann durch wahrscheinlich ein Hacking passiert Und auf diesem Postfach haben sich wie natürlich in allen anderen sehr viele Daten von Mitarbeitern befunden, aber auch von Klienten.

00:03:37: Diese wurden natürlich A offengelegt und B wurde das E-Mail-Postfach dann für einen Spam versandt, missbraucht.

00:03:48: Ja darf ich sagen welche Daten da drin waren?

00:03:51: Bitte!

00:03:53: Name in Adressen, Bankkunden, Steuerformulare, Ausweisnummer und ganz besonders Heikle.

00:03:58: Die polnische Sozialversicherungsnummer die heißt PESL das finde ich besonders lustig.

00:04:03: Praktisch der gesamte Datenschatz dieser Kanzlei und ja die Sozialversicherungsnummer ist in Pol natürlich genauso heikel wie bei uns weil mit der Kombiname und Sozialversichrungsnur öffnet das Tür- und Tor bei jeder Behörde bei sonstigen Auskunftsstellen und deshalb muss man auf die natürlich auch besonders gut aufpassen.

00:04:25: Und all solche Daten befanden sich in diesem gehäkten E-Mailekant?

00:04:30: Genau, das war im Jahr sogar im Jänner, im Jahr ganz früh, im Jahr-Zwenzig und der Behörde hat ein bisschen gebraucht um das Verfahren zu öffnen, nämlich bis Dezember zwanzig.

00:04:43: Das ist sehr spannend!

00:04:44: Ja, durchaus sehr spannend Ja.

00:04:46: Die Kanzlei hat ja vorbildlich gehandelt und diesen Data-Bridge gemeldet, damit kam das Ganze mal ins Bauern.

00:04:52: Data- Bridge ist gemeldete worden und im Dezember zwanzig, dreihundzwanzig wie gesagt fast drei Jahre später wurde einmal also die Mühlen meilen auch dort langsam nicht nur bei uns wurden.

00:05:04: dann wurde vom von der Behörde aus einmal eine Entscheidung gefällt aber Falsch nicht gefällt, sondern überlegt.

00:05:12: Gefällt wurde sie nämlich erst im Jahr zwanzig sechsundzwanziger.

00:05:14: Wobei das stimmt schon, was du gesagt hast?

00:05:16: Die Behörde hat eine Entscheidung gefehlt ein amtsträgliches Untersuchungsverfahren einzuleiten.

00:05:20: Genau.

00:05:21: Also

00:05:21: die erste Entscheidung, die gefallen ist.

00:05:22: Richtig

00:05:23: auch der Finale.

00:05:24: Die fehlte

00:05:24: wurde.

00:05:24: Der Finale

00:05:25: war dann eben zwanzigssechsundzwzig.

00:05:27: also das ist wirklich kein Sprint gewesen so wie einen Dauerlauf und hat sich über viele Jahre hinweg gezogen.

00:05:35: Ja, und was wir in dieser Folge auch wieder einmal ein bisschen auflösen wollen ist dieses Na ja dann möcht ich halt gescheitern näht weil dann hat mich die Behörde nicht am Kicker.

00:05:44: Das ist natürlich nicht das Argument mit dem man da die DSGFO einfach umgehen sollte sondern es hängt davon ab wie man meldet und natürlich auch was man vorher nachher umsetzt.

00:05:57: und um das geht's im Großen und Ganzen heute.

00:06:00: Also insgesamt über die Sicherheitsstrategie.

00:06:04: Ein zentraler Punkt, den wir heute beleuchten werden.

00:06:06: Aber schauen wir uns einmal die Beweise da genauer an!

00:06:09: Die ganze Leier hat zuerst gesagt ihr IT-Spezialist habt das alles geprüft und hat keine Unregelmäßigkeiten gefunden.

00:06:16: Interessant der Hosting Anbieter hat dann gesagt Das Postfach wurde aber automatisch wegen Spamverdachs gesperrt.

00:06:24: Das klingt total harmlos oder?

00:06:25: Es klingt

00:06:25: völlig harmlos.

00:06:26: Ja also es ist ja eigentlich eh nichts

00:06:28: passiert.

00:06:29: Und da frage ich mich warum haben sie überhaupt die Datenbande gemeldet?

00:06:32: wenn's mal nicht ist eh nix passiert.

00:06:34: Also wahrscheinlich hat es dann im Jahr zwanzig, dreieinzwanzig auch die Behörde dann so gesehen und deswegen auch die Untersuchung dann eingeleitet.

00:06:43: Ja wir können davon ausgehen dass die Meldung ja eigenartig war und ich glaube es gab da eine Nachmeldung wo dann sowas drinnen gestanden ist.

00:06:50: wie in eigentliche Szenis passiert?

00:06:52: Wie haben uns gelehrt?

00:06:54: Ja genau!

00:06:55: Wir hätten gar nicht möten müssen.

00:06:56: Genau, löst das was.

00:06:58: Und damit hat die Behöde wahrscheinlich ein bisschen... den Eindruck gehabt.

00:07:04: Da passt was nicht.

00:07:05: Ja, da kann irgendwas nicht passen und die Freunde schauen wir uns jetzt genauer an.

00:07:09: Genau zusätzlich hat man festgestellt dass der Mitarbeiter von TEM dieses Bems weggegangen sind zur fraglichen Zeit gar nicht eingeloggt war noch dazu ein Konto das sowieso sehr selten gebraucht worden ist.

00:07:23: also insgesamt hat es zum zu seltsamen Gesamtsituation wahrscheinlich auch noch den Ausschlag gegeben dass die Behörde nicht ins Haus gekommen ist, aber das sich genau angesehen hat.

00:07:36: Die eigentliche Frage zu der wir jetzt kommen, die folgende, nämlich oder das Problem – ich nenne es wirklich Problemen normalerweise mit meiner Herausforderung – dort war es ein Problem.

00:07:47: Die TSGFO, die schon seit Jahrzehnte und achtzehn existiert hat, hat dort offensichtlich insofern niemandem gejuckt weil es gab keine Risikoanalyse in diesem Thema und das war etwas was ganz am Ende dann der Datenschutzbehörde leicht sauer aufgestoßen ist.

00:08:02: Ja und das finde ich ja so spannend auch für unsere Beratungspraxis, weil... Dass man jetzt so große Risikoanalysen in Unternehmen macht, welchem Risiko sind wir ausgesetzt?

00:08:15: Welche Datenverarbeitungen haben wir?

00:08:16: Wie risikoreich sind wir?

00:08:18: Das findet man nicht so abendfühlend überall.

00:08:21: Manchen machen einen Datenschutzfolgenabschätzung um ein Risiko für eine spezielle sensible Verarbeitung festzustellen aber dass man sich das Thema Risiko anschaut eher nicht.

00:08:32: Aber wie wir auch immer sagen, in der Datenschutz als Teil der Informationssicherheit muss auch Teil des firmenmäßig durchgeführten Risikomanagement sein.

00:08:42: Genau.

00:08:42: Und da könnt ihr uns dazu zu überlegen welche Daten haben und was kennt mit dem passieren?

00:08:46: Ja nicht nur dass es keine Risikoanalyser gibt, das wird nach den Sicherheitsmaßnahmen nicht auf Wirksamkeit überprüft.

00:08:54: Auch ein Punkt der dann sauer aufgestoßen ist Der Hosting-Anbieter hätte das zu ermachen sollen.

00:09:02: Das ist so quasi wegdelegiert worden aus dem Unternehmen, aber was der zum Beispiel nicht tun kann, ist irgendwas organisatorisch zu überprüfen.

00:09:09: wie beispielsweise haben Schulungen stattgefunden, hat es andere Verfahren gegeben die irgendwo im Unternehmen eingeführt worden sind.

00:09:17: Das alles ist natürlich nicht delegierbar.

00:09:21: und weil die technische Seite vom Hoster zwar getestet wurde, war sonst nichts?

00:09:26: Ja, sind wir auch heute hier!

00:09:28: Genau.

00:09:29: Also das heißt, fehlen die Risikomanagement vielleicht sogar risikobewusst sein?

00:09:34: Fehlen die technische unorganisatorische Maßnahmen und kein Test ob die wenigen Maßnahmen dies geben hat irgendeiner Belastung standhalten könnten.

00:09:43: Und wenn man das nicht glaubt kann ich den Leitlinien zum Verantwortlichen und den Auftrittsverarbeiter nachlesen.

00:09:50: Hast du das gemacht?

00:09:51: Nein, ich habe es nur aufgeschrieben.

00:09:52: Das muss... Dass man noch

00:09:53: lesen kann?

00:09:54: Okay, ich bin

00:09:55: beruhigt!

00:09:55: Weil da sind die Pflichtenes-Dienstleisters drinnen und das Verantwortlichen

00:09:58: usw.,

00:09:59: da kann man das nachlesen vor allem, dass das eben getrennte Pflichten sind, die man niemals austauschen kann.

00:10:06: Die Klogik ist die Sache.

00:10:07: Ja

00:10:08: genau, das kann der Verantwortliche nicht im Auftragsverarbeit umhängen.

00:10:13: Du musst jetzt, du musst immer nicht drum kümmern.

00:10:16: Das geht sich nicht aus.

00:10:17: Haben Sie aber gemacht?

00:10:19: So ist es.

00:10:20: Wie geht's

00:10:20: weiter?!

00:10:21: Das ist die große Frage.

00:10:23: Ich frage mich das, auch unsere Zuhörerinnen und Zuhäurer fragen sich das?

00:10:26: Wie geht es weiter mit dem?

00:10:27: Es gab noch einen weiteren Schwachpunkt der insgesamt aufgebobt ist.

00:10:31: Die Kanzlei hat gemeint, wir haben hier ein Verhaltenskodex für Steuerberater und der ist super!

00:10:38: Den haben wir ja genommen

00:10:39: Und dann haben wir umgesetzt und damit ist alles gut.

00:10:41: Ja, das haben sie nicht einmal gesagt glaube ich, sondern wir haben einen.

00:10:45: Das war mehr oder weniger so ein Papier, das irgendwo als Brauchendokument herumgekugelt ist, hat aber überhaupt nichts mit dem Datenschutz also mit der TSGV und einem dort anerkannten Codex zu tun und dementsprechend war die Gültigkeit rein Null!

00:11:00: Ich

00:11:01: hebe die Hand.

00:11:02: Immer siehst du, der Klugscheiß nicht süß nix!

00:11:04: Ein Branche-Standard kann nur dann ins Treffen geführt werden wenn er von der lokalen Datenschutzbehörde genehmigt wurde.

00:11:11: und die Steuerberater in Poln haben so einen Branchenstandard nicht.

00:11:14: Das kann sein, dass die Steuerberatung – wie heißt das?

00:11:17: Die Kammer der Wirtschafts- treuhänden und Steuerberaterbranchenstandards natürlich herausgibt oder drinnen steht, Versatziehe wo es durchzieht

00:11:24: usw.,

00:11:25: dass sowas gibt's auch in Österreich mit der Unterscheidung wer ist verantwortlicher, wer ist Auftragsverarbeiter.

00:11:30: Das heißt aber nicht, dass das dann von der Datenschutzbehörde akkreditiert ist, man müsste sich ja dann auch auditieren lassen.

00:11:38: Also so etwas gibt es in Polen nicht.

00:11:41: und nur zu sagen naja da gibts eh einen Codex und den haben wir irgendwann einmal ausdruckt.

00:11:45: vielleicht haben sie das gesagt?

00:11:46: Das hat ihnen jetzt nicht wirklich weiter geholfen.

00:11:48: Ja vielleicht unserer Dokumentation beigelegt

00:11:51: abgelegt.

00:11:53: So wie du die Leitlinien

00:11:55: im Rundordner abgelegt.

00:11:56: genau jedenfalls haben wir verschiedene Dinge nicht bestraft wurden, sondern einfach einmal da waren.

00:12:04: Ja!

00:12:04: Interessant ist, dass das Ganze nicht kumuliert wurde, sondern dass alle diese Versäumnisse in einem einzigen Verfahren behandelt wurden und quasi nach dem Schwersten dieser drei Pflichtverstöße dann geandet worden sind.

00:12:20: Also

00:12:21: sie wurden kumultiert?

00:12:22: Sie wurden nicht getrennt voneinander

00:12:23: bestraft?!

00:12:25: Sie wurde die Höhe nicht kumuliert.

00:12:28: Es wurden alle drei Dinge gemeinsam behandelt in einem Verfahren.

00:12:32: Ja, also kumultiert!

00:12:34: Also wenn du das Juristisch

00:12:35: als kumulliert

00:12:36: nimmst...

00:12:36: Wir können ja dann nachher nachschauen was das heißt?

00:12:38: Für mich heißt das kumuldiert aber es macht nichts.

00:12:41: Also es ist nicht so wie sonst oft dass man sagt drei Verstöße, drei Strafen und dann gibt's eine Gesamtzume sondern sie haben halt eine einzige Strafe verhängt.

00:12:51: Sie haben alle drei

00:12:52: Beachtet und dann eine Strafe

00:12:54: verhängt.

00:12:55: Und nach dem Schwersten, den der Strafmaß gesetzt wird?

00:12:59: Ja!

00:13:00: Ich erspare die ganzen Artikel, nachdem das bestraft worden ist.

00:13:04: Man kann aber sagen es hat drei Gründe gegeben.

00:13:07: Das erste war mal diese sogenannte Machtasymmetrie ein schönes Wort, jetzt haben wir wieder ein neues Wort gefunden.

00:13:13: also die betroffenen Personen, die heute insgesamt involviert waren, Klienten, Mitarbeiterinnen und Kinder, die hatten gar keine Wahl dass ihre Daten verarbeitet worden sind, weil es natürlich da einen gesetzlichen Grund gibt.

00:13:26: Und dann Auftrag?

00:13:27: Und Auftrag diese Daten ist besondere die Päselnummer sehr schön von der sozialen Versicherung zu verarbeiten und da konnte auch niemand sagen gelöscht meine Daten oder dürfen sie nicht weitergeben, verarbeiten

00:13:41: usw.,

00:13:41: das geht einfach nicht.

00:13:43: also es war der erste entscheidende Punkt.

00:13:46: Der zweite war der Umfang.

00:13:49: Dort wurden ja nicht zwei oder drei Daten von Personen erhoben, sondern sehr, sehr viele.

00:13:54: Und der dritte Punkt war die Dauer.

00:13:56: Also von den zwanzig achtzehn weg eigentlich vom zwanzigssechzehn, aber da reiten wir jetzt nicht auf den zwei Jahren herum.

00:14:03: Aber bis zum zwanziger und zwanzige hat es sehr lange gedauert dass dieser Verstoß nämlich das Nicht-Risikoabschätzen gedauern hat.

00:14:13: Ja, aber ich spoilere Sie haben ja dann was sehr Positives gemacht, nämlich diese Kanzlei und das ganze Befass untersucht wurden.

00:14:21: Das finde ich an diesem Fall auch so spannend.

00:14:24: Genau!

00:14:24: Das löse ich jetzt nicht auf.

00:14:25: Ja bitte.

00:14:26: Also erst war man im tendenziellen Busgeldrahmen, den wir schon vorhin gesagt haben eben in hoher Millionenhöhe bis zu einem Jahr oder vier Prozent, weil die Behörde gemeint hat der Verstoffsvermittelschwer und hat einen Ausgangsbetrag für sicher mal von zwei Millionen Euro eingesetzt.

00:14:46: Da es sich aber um ein kleines Unternehmen handelt, ist das relativ rasch einmal da sehr stark beschnitten worden.

00:14:53: Ja genau!

00:14:53: Das

00:14:53: kaltiert auch in Schnelles

00:14:56: Wort.

00:14:56: Und drittens – und das ist der entscheidende Punkt, den du vorher angesprochen hast – nachdem dieser Vorfall passiert ist war die Kanzlei wirklich willig und nachgebessert in allen Belangen.

00:15:07: Es gab eine Risikoanalyse, es gab neue Richtlinien, Schulungen ein unabhängiges Audit

00:15:13: usw.,

00:15:14: und dadurch ist das noch einmal reduziert worden.

00:15:16: Und am Ende war der Betrag glaube ich elftausend Zlote.

00:15:20: So wer jetzt zlote nicht auswendig umrechnen kann, das waren knapp unter drei tausend Euro also auch am Ende einen Prozent von dem was theoretisch möglich gewesen wäre.

00:15:33: Man kann sagen, sie sind mit einem blauen Auge davongehoben.

00:15:37: Ja und was daran ja eben so interessant ist?

00:15:40: Die melken den Verstoß dann machen seine Nachmeldung und noch eine Stellungnahme wo die Behörde sich eigentlich schreiben uns die einen ganzen schönen Blödsinn.

00:15:48: Da merken sie aber, es ist nämlich vorselber in dieser Kanzlei.

00:15:52: Na eigentlich müsste man was tun!

00:15:54: Machen diese ganzen Maßnahmen selber.

00:15:56: und nachdem Sie alle Maßnahmen schon umgesetzt haben ja dann ist die Behörde am vihrenden Abendschimmel eingeritten und hat dann geschaut wo sie überhaupt los und hat eben festgestellt für einen gewissen Zeitraum waren das sehr... Unrechtskonform unterwegs haben dann viel nachgebessert und obwohl sie, weil sie vor der Nachbesserung nicht rechtskonform unterwegs waren hat es die Strafe gegeben, die aufgrund der Nachbestrungen reduziert wurde.

00:16:23: Genau!

00:16:23: Und wie man oft meint oder wie wir vorher schon überlegt haben diese Selbstmeldung ist nicht positiv belohnt worden, weil das ist ja verpflichtend.

00:16:34: Da

00:16:35: braucht man nicht diskutieren so – ihr wart's brav, ihr habt es gemeldet, deswegen passiert euch nichts -, sondern belohnd ist das Worten was darüber dann hinausgegangen ist nämlich dass sich die Kanzlei am Ende neu aufgestellt hat diese ganzen Sicherheitsmaßnahmen eingeführt hat und deswegen mittlerweile offensichtlich ganz gut sicherstechnisch dasteht und auch im Risikopereich einiges gemacht hat.

00:16:59: Ja, dafür sind Sie dann belohnt worden mit einer kürzeren Strafe?

00:17:02: Genau!

00:17:04: Weiß du mehr für was ich auch ganz besonders interessant finde und das ist ein Argument immer wieder.

00:17:09: Wir haben immer wieder so Diskussionen mit unseren Kunden, die sagen ja das war jetzt vielleicht ein Heckerangriff, ein Fishing-Angriff der erfolgreich war aber wir wissen gar nicht ob Daten abgegriffen wurden gestohlen wurden...

00:17:20: Nicht nur dass in manchen Fällen kommt sogar raus Das ist

00:17:23: nicht

00:17:24: gestohlen worden.

00:17:24: Ja,

00:17:24: genau!

00:17:25: Wir können es entweder belastbar nicht feststellen weil's technisch nicht geht oder oder oder.

00:17:30: in diesem Zusammenhang hat aber die Polnische Datenschutzbehörde die übrigens zu den strengsten in Europa gehört und eine ganz außergewöhnliche Berechtigung aus dem Gesetz heraushat.

00:17:40: wer für du warst das sicher?

00:17:41: Ja sie dürfen sofort überall einreiten.

00:17:44: Wer wir reiten heizfuhr.

00:17:46: Sie dürfen den Schimmel sattern und Hausdurchsuchungen machen.

00:17:52: Und damit ist die einzige ... ohne Vorankündigung, ja?

00:17:55: Die einzige Datenschutzbehörde Europas, die dieses Recht hat.

00:17:58: also alle anderen Behörden müssen sich vorher ankündigen.

00:18:02: Ja!

00:18:02: Also das heißt was hat die Behörde da gesagt?

00:18:05: es ist völlig wurscht

00:18:07: ob Daten abgegriffen wurden.

00:18:09: in dem Fall hat es ausgereicht dass es zum Spam versand benutzt wurde dieses Konto

00:18:15: Und deshalb kann ich einmal sagen, irgendwelche Daten von Menschen die dort betroffen waren, die verarbeitet wurden, waren betroffen.

00:18:23: Sondern es hat völlig ausgereicht dieses E-Mail Account missbeutlich für ein Spamversand zu versenden.

00:18:29: Zu verwenden?

00:18:31: Richtig!

00:18:33: Zum

00:18:33: Versenden zu verwenden.

00:18:36: Ja, dann kommen wir zum Fazit.

00:18:37: Ich glaube da können wir heute wieder ein paar schöne Punkte mitnehmen aus dieser Folge für unsere lieben Hörerinnen und Hörern.

00:18:43: Ja eine fehlende Risikoanalyse ist selbst dann ein eigenständiger DSGVO Verstoß wenn am Ende gar kein Schaden entstanden ist.

00:18:52: das Risiko besteht unabhängig davon ob er sich realisiert oder ob es sich realiziert.

00:18:59: Die Pflicht zum regelmäßigen Testen messen und bewerten der Sicherheitsmaßnahmen ist eigenständig und lässt sich nicht durch einen Verweis auf den IT-Dienstleist oder das Hostingunternehmen erfüllen.

00:19:13: Verantwortliche und Auftragsverarbeiter haben getrennte Sichergenzende, aber nicht austauschbare Pflichten zur Sicherheit der Verarbeitung einzuhalten – und ein selbsterstelltes Branchendokument ist kein Verhaltenscodex!

00:19:29: Im Sinne des Artikelvierzig-DSGVO, solange es nicht das berühmte Formel der Genehmigungsverfahren durchlaufen ist.

00:19:37: Ja und ich habe auch noch drei schöne Fazitpunkte vor mir.

00:19:41: Mein Fazitpunkt, Punkt eins – die Höhe der Geldbusse hängt natürlich stark vom wirtschaftlichen Unternehmensgröße ab.

00:19:52: Das heißt im Pflichtverstoß kann beim kleinen Unternehmen wesentlich günstiger ausfallen wie bei einem Grosskonzern.

00:19:59: Dann freiwillige und eigenständige Nachbesserungen wirken sich immer milder aus.

00:20:05: Hier haben wir gesehen, fünfzig Prozent ist das Ganze dann hinuntergegangen.

00:20:09: also die Strafhöhe wurde halbiert.

00:20:13: Ja und eine eigene gesetzliche Meldepflicht bei einer Datenschutzverletzung wirkt jetzt nicht wirklich mildern aus weil ja diese Erfüllung ohnehin verpflichtend ist.

00:20:25: als letzten Punkt unseres heutigen Fatsitz des heutigen Falls Genau

00:20:29: Und damit bleibt uns nichts mehr anderes zu sagen als hören Sie wieder rein, wenn es wieder heißt.