Über dieses Kartenspiel

Das 25-stellige Zufallspasswort aus Buchstaben sei unsicher, weil Sonderzeichen fehlten, „Password123!“ sei dagegen supersicher, weil sowohl Groß- und Kleinbuchstaben, als auch Zahlen und Sonderzeichen enthalten seien? Beides ist Unsinn. Benutzer wählen Passwörter nicht zufällig, sondern verwenden Geburtsdaten und ähnliches. Solche Struktur muss berücksichtigt werden, z. B. mit Softwarebibliotheken wie „zxcvbn“.

Auf einigen Webseiten liest man es noch: „Mit der weiteren Benutzung unserer Webseite stimmen Sie der Verwendung von Cookies zu“. Dabei hat der Europäische Gerichtshof bereits 2019 auf Vorlage des Bundesgerichtshofs (Fall „Planet49“) geurteilt, dass die Zustimmung aktiv erteilt werden muss. Das Weiterbenutzen der Seite stellt folglich keine wirksame Einwilligung dar.

Ad-hoc-Implementierungen und vernachlässigte Sicherheitsmaßnahmen dokumentieren! Das sind „Sicherheitsschulden“. Solche Unzulänglichkeiten sind kein Grund zur Scham, sondern oft das Ergebnis begrenzter Ressourcen. Durch transparente Dokumentation lassen sich die daraus folgenden Risiken besser einschätzen – und bei Betrieb und Weiterentwicklung berücksichtigen.

„Ich habe die Datenschutzerklärung gelesen und stimme zu“ ist eine häufige Pflicht-Checkbox auf Webseiten. Das Bereitstellen von Datenschutzinformationen, meist „Datenschutzerklärung“ genannt, ist eine einseitige Pflicht der Verantwortlichen. Die Betroffenen müssen die Informationen weder lesen noch ihnen zustimmen. Eine Pflicht-Checkbox täuscht die Betroffenen und stellt damit einen Verstoß dar.

Bei Webauthn hinterlegt der Browser beim Anbieter einen öffentlichen Schlüssel. Bei der Authentifizierung signiert der Browser mit dem privaten Schlüssel den Hostnamen der Webseite zusammen mit einer Challenge des Anbieters. Die Signatur wird vom Anbieter mit dem öffentlichen Schlüssel verifiziert. Bei Phishing schlägt dies fehl, weil der Hostname der Phishing-Webseite ein anderer ist. Die Passkeys-Erweiterung erlaubt es mehrere Geräte zu verbinden.

Bei Verarbeitungen, die zur Vertragserfüllung erforderlich sind, bedarf es keiner Zustimmung – so ist etwa die Weitergabe der Adresse an ein Paketunternehmen zur Warenzustellung auf diese Rechtsgrundlage stützbar. Erforderlich ist hierfür jedoch nicht eine Weitergabe der E-Mail-Adresse. Sich beliebige Verarbeitungen in den Vertrag zu schreiben macht sie nicht erforderlich; es kommt auf die vertragscharakteristische Leistung an.

Ist die Verarbeitung personenbezogener Daten der Kern einer Dienstleistung, wie es regelmäßig etwa bei SaaS-Anwendungen der Fall ist, muss die Verantwortliche mit dem Dienstleister („Auftragsverarbeiter“) einen Auftragsverarbeitungsvertrag („AVV“) schließen. Die Verantwortliche bestimmt weiter die Zwecke; der Auftragsverarbeiter verfolgt keine eigenen Zwecke – er ist nur ausführendes Organ.

Erfasst eine Verantwortliche personenbezogene Daten eines Betroffenen, so hat sie dafür vorab die Zwecke der Verarbeitung festzulegen und dem Betroffenen mitzuteilen. Spätere Verarbeitungen zu anderen Zwecken sind jedoch möglich, solange die neuen Zwecke mit dem ursprünglichen Erhebungszweck vereinbar sind. Dies ist insbesondere bei inhaltlicher Nähe zwischen Erhebungs- und neuen Zwecken denkbar.

Da durch die DSGVO innerhalb des europäischen Wirtschaftsraums (EWR) ein gleiches Datenschutzniveau herrscht, darf die Verantwortliche ohne weitere Maßnahmen Daten im gesamten EWR verarbeiten. Anders sieht es bei Übermittlungen in Drittländer aus – hier wird es häufig kompliziert. Plant die Verantwortliche solche Übermittlungen, sollte sie sich dazu beraten lassen.

Ad-hoc-Implementierungen und vernachlässigte Sicherheitsmaßnahmen dokumentieren! Das sind „Sicherheitsschulden“. Solche Unzulänglichkeiten sind kein Grund zur Scham, sondern oft das Ergebnis begrenzter Ressourcen. Durch transparente Dokumentation lassen sich die daraus folgenden Risiken besser einschätzen – und bei Betrieb und Weiterentwicklung berücksichtigen.