Datenschutz bei der elektronischen Patientenakte – neue Gefahren für Patienten?

Für das Sat1 Frühstücksfernsehen durfte ich heute erklären, was die Umstellung auf die neue elektronische Patientenakte (ePA) bedeutet.

In der ePA sollen Gesundheitsdaten, Diagnosen, Behandlungen, Rezepte elektronisch, verschlüsselt und zentral gespeichert werden. Das halte ich für die Verbesserung der Datensicherheit und des Informationsaustauschs im Gesundheitswesen sinnvoller. Die Alternative ist doch Zettelwirtschaft und Versand sensibler Daten per E-Mail.

Der BDfI hält die ePA derzeit für rechtswidrig, da das Zugriffsrechtesystem nicht feingranular ausgestaltet ist und BSI-Vorgaben für Endgerätesicherheit nicht umgesetzt wurden. Wer will schon, dass sein Zahnarzt den Befund des Psychologen lesen kann?! Aber ist das wirklich das Problem?

Ich befürchte, dass Cyberkriminelle nicht nur die Server der ePA angreifen werden, sondern vor allem die Nutzer, z.B. Arztpraxen und Krankenhäuser. Ärzte werden verstärkt mit Ransomeware-Angriffen rechnen müssen. Mit perfiden Social Engineering-Tricks werden die Täter versuchen, bei den Patienten Passwörter zu erbeuten oder eine Datenfreigabe per Teamviewer zu erhalten, wie das derzeit bei der Microsoft-Anrufer-Masche grassiert.

Wer als Datendieb Zugriff auf besonders sensible Gesundheitsdaten erhält, kann nicht nur Identitätsdiebstahl begehen, z.B. um sich medizinische Leistungen oder Rezepte unter fremden Namen zu erschleichen. Auf diese Weise könnten leicht Medikamente erworben und auf dem Schwarzmarkt im Darknet verkauft werden. Sicherlich dürfte auch der Verkauf von umfangreichen Datensätzen an die Pharmawerbeindustrie einträglich sein.

Ich persönlich finde Digitalisierung im Gesundheitssektor gut und richtig. Vernetzung und schneller Informationsaustausch kann Leben retten, wenn z.B. Ärzte in der Notaufnahme über die elektronische Patientenakte sofort lebenswichtige Informationen über eine Vorerkrankung abrufen können. Datenschutz und Datensicherheit dürfen aber nicht auf der Strecke bleiben – hier sind nunmal leider die ePA-Nutzer gefragt.

Arztpraxen sollten daher nicht nur ihre eigene IT-Sicherheit überprüfen lassen. Vielmehr müssen sie ihre Patienten in leicht verständlicher Weise über die Veränderungen, Folgen und Gefahren informieren, damit niemand abgehängt wird. So kann der Kraftakt der Digitalisierung des Gesundheitswesens gelingen.

Mehr Informationen, wie man sich vor Identitätsdiebstahl oder Datenklau in der elektronischen Patientenakte schützen kann, finden Sie unter Datenklau-Hilfe.de.

/von

Cyberrisiken für Anwälte

Neue Gefahren für Anwälte

Cyberangriffe können Katastrophenfälle auslösen. Damit hat die Gemeinde Anhalt-Bitterfeld dieses Jahr Geschichte geschrieben. Anfang Juli 2021 hatten Kriminelle die Server des Landkreises mit Schadsoftware infiziert, viele Terabytes and Daten verschlüsselt und Dateien gestohlen. Knapp 1000 Verwaltungsmitarbeiter konnten nur noch mit Kugelschreiber, Telefon und Fax arbeiten.  Elterngelder und Unterhaltszuschüsse wurden nicht mehr ausgezahlt und die Kfz-Zulassungsstelle stand über Wochen still. Der Angriff betrifft 92 Personen auch persönlich. Es wurden personenbezogene Daten, u.a. Handynummern, Privatadressen, Bankdaten sowie Firmennamen früherer Arbeitgeber im Darknet veröffentlicht.

Für die Freigabe der verschlüsselten Daten fordern die Täter ein Lösegeld in bislang unbekannter Höhe, das von der Kommune laut Medienberichten abgelehnt worden ist. Betroffen waren alle drei Standorte der Verwaltung in Köthen, Bitterfeld und Zerbst, der Landkreis rief daraufhin den Katastrophenfall aus.

Mit Unterstützung der Bundeswehr wurde eine IT-Notinfrastruktur aufgebaut. Es wird Monate brauchen, bis die IT wieder vollständig hergestellt sein wird. Die Veröffentlichung der personenbezogenen Daten im Darknet lässt sich nicht mehr rückgängig machen. Es ist davon auszugehen, dass der Datenklau zu Identitätsmissbrauch, Begehung von Straftaten oder weiteren Cyberangriffen auf die Opfer führen wird.

Anwälte im Fadenkreuz von Cyberkriminellen

In den vergangenen Jahren ist die Zahl der Angriffe von Cyberkriminellen stark angestiegen. Nach einer Studie des Branchenverbandes Bitkom waren in den letzten Jahren 75% der deutschen Unternehmen mit 100-500 Mitarbeitern betroffen. Der Trend „Big Game Hunting“, also die Jagd nach großen Unternehmen, ist nach Informationen des BKA Lagebilds 2021 ungebrochen. Im Visier der Täter sind aber auch Selbstständige, Familienunternehmen, mittelständische Unternehmen und deren Anwaltskanzleien.

Rechtsanwälte sind sehr häufig noch nicht ausreichend gegen Cyberangriffe geschützt. Damit machen es Rechtsanwälte den Kriminellen besonders leicht, an die Geheimnisse zu gelangen, die beim Mandanten selbst gut geschützt wären. Bei vielen Anwälten fehlt oft das nötige Problembewusstsein. Anwälte vertrauen meist darauf, dass ihr Systemhaus sichere Lösungen installiert hat. Hier wird leider übersehen, dass Systemhäuser zwar durchaus state-of-the-art IT-Sicherheit berücksichtigen. Dies beschränkt sich aber in der Regel Windows-Updates, Serverfernüberwachung und Handel mit Antivirussoftware Lizenzen. Das alles greift leider viel zu kurz, was existenzgefährdende Folgen für Berufsgeheimnisträger haben kann. IT-Sicherheit ist Chefsache, auch und gerade in der Anwaltskanzlei.

Ein explosiver Trend: Ransomeware

Im Jahr 2017 wurde die Anwaltskanzlei DLA Piper von einer Ransomeware-Attacke getroffen. Ein Frühwarnsystem habe die Schadsoftware im System erkannt und alle Systeme heruntergefahren. Eine sechstägige Zwangspause für 9.000 Mitarbeiter weltweit und ein gewaltiger Reputationsschaden, nachdem die Kanzlei erst wenige Wochen vorher ein Whitepaper über Cyberrisks veröffentlicht hatte, waren die unmittelbaren Folgen. Dazu kommen Umsatzverluste und Kosten für die Instandsetzung der IT.

Ransomeware steht für Schadcode, der Computer derart verschlüsseln kann, dass ohne Eingabe des Schlüssels darauf gespeicherte Daten unbrauchbar werden. Selbst wenn das von den Tätern geforderte Lösegeld bezahlt wird, bleibt unklar, ob die Entschlüsselungstools der Täter funktionieren. In vielen Fällen lässt sich die IT nicht mehr ohne weiteres wiederherstellen.

Besonders heikel: Derartige Angriffe können wirklich jeden treffen. Bereits nach einem unvorsichtigen Mausklick in einer E-Mail, die vermeintlich vom Mandanten stammt, kann das Unglück seinen Lauf nehmen. Word-, Excel- oder ZIP-Anhänge können über die sog. Makro-Funktion zur Falle werden. Wer eine derart manipulierte Datei öffnet, erhält innerhalb der Office-Programme einen Hinweis, entweder das bekannte, gelb hinterlegte „Bearbeitung aktivieren“ oder einen Hinweis auf einen Link, der angeklickt werden soll. Auch E-Mails oder sogar SMS können Links mit Schadecode enthalten. Klickt man auf den Link, wird unbemerkt eine Seite geladen, die Schadcode auf den Computer oder das Smartphone herunterlädt.

Täter nutzen aber auch häufig Schwachstellen in Betriebssystemen oder Software aus. Im März 2021 wurde eine Sicherheitslücke in der Software „Microsoft Exchange Server“ gefunden, die leicht für Cyberangriffe ausgenutzt werden konnte. Microsoft stellte Updates bereit, die allerdings nur zögerlich heruntergeladen wurden. Sogar Rechtsanwaltskammern sahen sich verpflichtet, auf den dringenden Handlungsbedarf hinzuweisen, weil das Risiko vom BSI als sehr hoch eingestuft worden ist.

Ist ein System erst einmal aufgrund eines Ransomeware-Angriffs verschlüsselt, steht die Kanzlei sicher wochenlang still. Ein derartiger Vorfall zieht viele Fragen nach sich: Was ist zu tun? Kann das Systemhaus helfen? Wie können Beweise durch IT-Forensiker gesichert werden? Übernimmt die Cyberversicherung die Kosten. Müssen Mandanten, die Aufsichtsbehörde und vielleicht sogar die Rechtsanwaltskammer informiert werden? Haben Mandanten Schadenersatzansprüche?

Hohe Kosten für das Krisenmanagement, Wiederherstellung von Daten und Verhandlungen mit Erpressern, Lösegelder, mittelfristige Reputationsschäden und ggf. noch Bußgelder[1] von Datenschutzaufsichtsbehörden wegen mangelhafter Datensicherheit gehören zu den Folgen eines Cybervorfalls in einer Anwaltskanzlei.

 

Identitätsdiebstahl und CEO-Betrug

Haben Sie gewusst, dass eine Identität leicht für Straftaten missbraucht werden kann, wenn man Vor- und Nachname und Geburtsdatum eine Person kennt?! Dank „Zahlung auf Rechnung“ ist Computerbetrug und Datenklau sehr leicht geworden. Nicht nur die Opfer haben hier das Nachsehen – wer als Gläubiger die falsche Person verklagt, unterliegt am Ende vor Gericht und hat nichts außer Kosten.

Gestohlene Identitäten eignen sich aber auch hervorragend für perfide Phishing- oder Social-Engineering-Attacken. Unter dem Namen von ehemaligen Angestellten können leicht E-Maills mit gefährlichen Links oder Virendateien im Anhang verschickt, Informationen ausgespäht oder sogar die Änderung von Kontodaten für Gehälter veranlasst werden.

Unter fremden Namen lässt sich viel Schaden anrichten. Man stelle sich vor, dass ein Mandant plötzlich per XING oder LinkedIn eine Datei oder Information anfordert, ohne dass verifiziert wird, ob diese Anfrage tatsächlich vom Mandanten selbst stammt. Denn Fake-Konten können innerhalb weniger Minuten registriert werden. Vielfach werden E-Mail-Postfächer oder Social-Media-Konten von Cyberkriminellen gestohlen, indem geleakte Passwörter genutzt werden. In Zweifelsfällen, insbesondere wenn ein Mandant eine ungewöhnliche Anfrage stellt, einen neuen Kommunikationskanal wählt oder eine Auskunft gemäß Art. 15 DSGVO über die ihn betreffenden Daten verlangt, muss ein Rechtsanwalt die Identität des Anfragenden prüfen. Dies lässt sich z.B. per Telefon oder über eine kurze Nachricht über einen dritten, bekannten und bewährten Kommunikationsweg klären.

In einem uns bekannten Fall führte eine Phishing E-Mail zu einem Millionen-Schaden, weil eine Buchhalterin Zahlungen an ein Täter-Konto veranlasste, im Glauben, der Geschäftsführer habe ihr geschrieben. Diese Taten, die CEO-Betrug oder -Scam genannt werden, sind nur durch ausreichend geschultes Personal und effektivem IT-Sicherheits- und Datenschutzmanagement vermeidbar.

Wie agieren die Täter im Darknet

Das Darknet ist geschlossenes, verschlüsseltes Netzwerk innerhalb des Internets, das nur mit dem sog. Tor-Browser genutzt werden kann. Internetseiten aus dem Tor-Netzwerk haben die Domain .onion und sich über normale WWW-Browser, z.B. Firefox oder Chrome, nicht aufrufbar. Es erscheint eine Fehlermeldung. Google und andere Suchmaschinen funktionieren im Tor-Netzwerk nicht. Zwar sind Internetseiten durchaus miteinander verlinkt. Viele Seiten sind aber überhaupt nicht frei oder öffentlich abrufbar, sondern nur über Foren, Kontakte oder andere Hintertüren auffindbar. In den „dunklen Ecken“ des Tor-Netzwerks finden sich Marktplätze für illegale Waren und Dienstleistungen aller Art.

Bereits Einsteigerkenntnisse und ein Bitcoin-Wallet reichen aus, um bezahlte Hacker für Cybercrime-as-a-Service zu buchen, z.B. ein Passwort knacken oder eine DDOS-Attacke auf ein Unternehmen starten. Gefälschte Personalausweise und Reisepässe können hier leicht bestellt und per Post zugesandt werden. In Foren oder Marktplätzen werden auch geleakte Datensätze von Opfern von Datenklau zum Kauf angeboten. Diese Daten können aus medial bekannten Ransomeware-Angriffen stammen oder aber aus Datenpannen wie im Impfzentrum Essen, wo personenbezogene Daten und Gesundheitsdaten von 13.000 Bürgern verloren gegangen sind.

Wenn personenbezogene Daten durch einen Cyberangriff, Datenklau oder eine Datenpanne ins Internet gelangen, werden zunächst in der Regel zum Kauf angeboten. Sobald die Daten von einigen Hackergruppen missbraucht wurden, sind sie nicht mehr viel wert.

Wie Sie sich schützen können, erfahren auf der Internetseite Datenklau-Hilfe.de.

Fazit

Als Rechtsanwälte ist es unsere Pflicht, fremde Geheimnisse zu schützen – auch und gerade vor Cyberkriminellen. Wir unterstützen Anwaltskanzleien dabei, Risiken zu bewerten und sich gegen Cybercrime technisch, organisatorisch und rechtlich abzusichern. Bei Fragen zu unseren Beratungsleistungen für Rechtsanwälte, Patentanwälte und Notare sprechen Sie uns gerne an. Auch für Kolleginnen und Kollegen gilt: eine telefonische Ersteinschätzung ist immer unverbindlich und kostenlos. 😉

Autor:

Dr. Marc Maisch, Rechtsanwalt und Fachanwalt für IT-Recht

/von

Was müssen Selbstverleger im Internet beachten?

,

Bitte stellen Sie sich kurz vor. Was ist als Anwalt Ihr Fachgebiet?

Ich bin als Rechtsanwalt in der Kanzlei MAISCH MANGOLD SCHWARTZ in München tätig und im IT-Recht spezialisiert. Zu meinem Fachgebiet gehören alle Rechtsfragen, die mit dem Internet, Apps, Software oder Werbung zu tun haben.

Ich erstelle Verträge und AGB für Social-Media-Agenturen, Influencer, Blogger und Medienschaffende, berate Unternehmen bei der Umsetzung der Datenschutz-Grundverordnung und werde für Opfer von Internetkriminalität aktiv, um sie gegen unberechtigte Forderungen zu schützen. Daneben berate ich den Deutschen Skiverband e.V. im Bereich des Internetrechts mit Bezügen zum Sportrecht. Als betrieblicher externer Datenschutzbeauftragter unterstütze ich Unternehmen und Verbände bei der Einhaltung der DSGVO, v.a. im Marketingbereich.

Leidenschaftlich gerne halte ich Vorträge über Internetrecht und Cybercrime, vor allem im Rahmen der Expertenrunde Blackstone432 (www.blackstone432.de), die von dem IT-Profi und Interpol-Agenten Herrn Cem Karakaya und seinen Mitstreitern der Münchner Kripo geleitet wird.

Viele Selbstverleger starten anfangs mit einer einfachen Webseite ohne Impressum oder Datenschutzerklärung. Einige denken, dass es keinen Unterschied macht, weil sie erst anfangen und nur ein Buch geschrieben haben. Welche rechtlichen Punkte müssen die Selbstverleger beachten?

Wer sich im Internet geschäftsmäßig präsentiert und damit Teledienste anbietet, ist gem. § 5 Telemediengesetz (TMG) dazu verpflichtet, bestimmte Informationen über sich anzugeben.

Als Selbstverleger startet man seine Website nicht nur aus privaten Interessen, sondern auch um mit dem Vertrieb von Medien Geld zu verdienen. Daher unterliegen auch Selbstverleger der Impressumspflicht. Im Impressum muss eine zustellungsfähige Adresse stehen – ein Postfach reicht nicht aus.

Wer diesen Pflichten nicht nachkommt, muss damit rechnen, dass ihn ein Mitbewerber oder eine Wettbewerbszentrale abmahnt. Besondere Vorsicht sollte man walten lassen, wenn man im Internet AGB veröffentlicht, z.B. um seine Dienstleistungen als Blogger oder Journalist zu bewerben. Verbraucherzentralen mahnen diese oft (kostenpflichtig) ab.

Bezüglich der Datenschutzerklärung gilt dasselbe. Es ist kaum möglich eine Website zu betreiben, ohne dabei personenbezogene Daten zu verarbeiten.

Die Erhebung der IP-Adresse ist schon allein aus technischen Gründen notwendig. Man kann darüber streiten, ob eine IP-Adresse ein „personenbezogenes Datum“ ist, das nach der Definition des Gesetzes einer identifizierten oder identifizierbaren Person zugeordnet werden kann. Der Europäische Gerichtshof hält IP-Adressen für personenbezogene Daten (Az. C 582/14).

Sobald eine Erhebung personenbezogener Daten stattfindet, muss der Verantwortliche der Webseite (also in diesem Fall der Selbstverleger) Nutzer informieren, wie er deren Daten verarbeitet. Am einfachsten ist das in der Datenschutzerklärung der Website. Ich rate meinen Mandanten immer, dort auch die Pflichtinformationen anzugeben, die ihre Facebook-Fanseiten, Instagram- oder Twitterseiten betreffen. Daneben sollen sie noch die Datenverarbeitung angeben, wie sie mit potentiellen Neukunden, Interessenten und anderen in Kontakt treten.

Fehler im Umgang mit der Datenschutzerklärung können jederzeit bei Aufsichtsbehörden angezeigt und von diesen mit einem Bußgeld geahndet werden. Derzeit sind Aufsichtsbehörden stark überlastet, sodass es sein kann, dass die Ermittlungen erst später in Gang kommen.

Manche Selbstverleger haben auf ihren Webseiten Newsletter eingebaut. Brauchen diese immer Double-Opt-In und warum?

Wenn Nutzer einen Newsletter bestellen, müssen sie eine E-Mail-Adresse eingeben. Aus der Sicht des Webseitenbetreibers liegt eine „Erhebung“ von personenbezogenen Daten vor.

E-Mail-Adressen sind meist personenbezogen, weil sie in der Regel aus Namen aufgebaut sind. Webseitenbetreiber sind als datenschutzrechtlich Verantwortliche verpflichtet, die Einhaltung der Vorschriften der Datenschutzgrundverordnung nachweisen zu können.

Jede Datenverarbeitung muss rechtlich gerechtfertigt werden. Dazu gibt es bestimmte Rechtsgrundlagen, z.B. einen Vertrag oder eine gesetzliche Pflicht.

Werbemaßnahmen wie Newsletter lassen sich meist nicht mit einem Vertrag oder einem berechtigten Werbeinteresse des Verantwortlichen in Verbindung bringen. Daher bleibt ihm nur, auf die schwächste Rechtsgrundlage für Datenverarbeitung zurückzugreifen: die Einwilligung.

Mit Single-Opt-In kann der Webseitenbetreiber den Nutzer fragen, ob er dessen E-Mail-Adresse verwenden darf, um ihm den Newsletter oder weitere Werbung zuzuschicken.

Der Nutzer sollte auch bestätigen, dass er die Datenschutzerklärung gelesen hat, die ihn über die Art der Datenverarbeitung informiert. Das ist reine Formalität, die aber in Art. 5 Abs. 2 DSGVO vom Webseitenbetreiber verlangt wird. Datenschutzrechtlich wäre man nun aus dem Schneider.

Aber: Der Double-Opt-in, also die Überprüfung der Tatsache, dass der Berechtigte seine eigene E-Mail-Adresse eingetragen hat und nicht die eines Fremden, ist aus wettbewerbsrechtlichem Grund  wichtig.

Gemäß § 7 Abs. 3 des Gesetzes gegen den unlauteren Wettbewerb (UWG) werden (Werbe-)E-Mails an Verbraucher als unzumutbare Belästigung = SPAM angesehen; wenn nicht bereits Kundenkontakt bestand und weitere Voraussetzungen erfüllt sind, die auf Newsletter-Besteller eines Selbstverlegers in der Regel nicht (nachweisbar) zutreffen.

Wer sich hier Fehler erlaubt, setzt sich der Gefahr von (massenhaften) Abmahnungen durch Mitbewerber und Wettbewerbszentralen aus, vor denen ich nur eindringlich warnen kann.

Wie verhält es sich bei Social Media-Seiten? Welche Punkte sind rechtlich zu beachten?

Auch bei Social-Media-Seiten ist man zu einem Impressum verpflichtet, weil man auch diese Seite geschäftsmäßig betreibt.

Der EuGH hat entschieden, dass der Betreiber einer Facebook-Fanpage Mitverantwortlicher bzgl. der dort stattfindenden Verarbeitung personenbezogener Daten ist (Rs. C-216/10). Daher muss der Betreiber eine Datenschutzerklärung bereitstellen. Rein rechtlich gesehen lassen sich Facebook-Fanpages derzeit nicht legal betreiben, worauf die deutschen Aufsichtsbehörden geschlossen immer wieder hinweisen. Was heißt das nun für den Selbstverleger? Wer jedes Risiko vermeiden will, sollte sich gegen eine Facebook-Fanpage entscheiden. Wer bereit ist, mit einem gewissen rechtlichen Risiko zu leben (dazu zählt offenbar auch die bayerische Staatsregierung: https://www.facebook.com/bayern/ ), der kann getrost seine Fanpage behalten. Als Münchner habe ich es der Staatsregierung gleich getan und halte an meiner Fanpage (vorerst) fest 😉

Es ist davon auszugehen, dass Facebook früher oder später sich den Forderungen der Aufsichtsbehörden annähern wird, wenn es um die Fanpage-Betreiber ernst werden sollte. Denn die Fanpage-Betreiber sind diejenigen, die mit Promotions Geld in die Werbekasse bringen.

Wer auf seinem eigenen, ausschließlich beruflich genutzten Instagram- oder Facebook-Konto Werbung für sein eigenes Buch macht, muss das nicht als Werbung kennzeichnen. Wer aber auf Social-Media-Kanälen Werbung für Dritte macht, sei es offen oder als Schleichwerbung (Influencer Marketing), muss sich mit den Anforderungen des Werberechts auseinandersetzen. Ansonsten ist ab einer gewissen, gerichtlich nicht eindeutig entschiedenen Anzahl an Followern das Risiko sehr hoch, kostenpflichtig abgemahnt zu werden. Öffentlichkeitswirksame Prozesse, wie z.B. jener um die Bloggerin Cathy Hummels, zeigen, wie schwierig die Rechtslage ist (https://www.lto.de/recht/nachrichten/n/lg-muenchen-i-4hko14312-18-cathy-hummels-instagram-werbung-kennzeichnungspflicht-gewerblich/ ). Es ist nur noch eine Frage der Zeit, bis die Rechtsfragen des Influencer Marketings dem BGH zur höchstrichterlichen Entscheidung vorgelegt werden – dieser wird dann hoffentlich, wie zuletzt das LG München (Urt. v. 29.04.2019, Az. 4 HK O 14312/18) von einem modernen, informierten Verbraucher ausgehen, der in der Lage ist, zu erkennen, dass Influencer mit tausenden Followern bezahlte Werbeträger sind, sodass nicht jeder einzelne Post als Werbung gekennzeichnet werden muss. Man wird sehen – ich bin gespannt. Bis dahin muss man vorsichtig sein oder sich beraten lassen.

Daneben sollte darauf geachtet werden, was auf der jeweiligen Plattform erlaubt ist und was nicht.

Auf Social Media hat sich durchgesetzt, auf die Startseite der Webseite oder bei Instagram auf den Anbieter Linktree zu verlinken. Rechtlich müsste das Impressum mit einem Klick erreichbar sein. Was sagen Sie dazu?

Der Bundesgerichtshof hat mit Urteil vom 20.07.2006 (Az. I ZR 228/03) entschieden, dass einer unmittelbaren Erreichbarkeit nicht entgegenspricht, wenn das Impressum erst durch mehrere Klicks von der Startseite aus zugänglich ist. Es sollte genügen, wenn die Erreichbarkeit im Sinne §5 Abs. 1 TMG über zwei Links gewährleistet ist. Was bei Linktree der Fall wäre.

Es sollte aber darauf geachtet werden, dass dem Nutzer deutlich wird, dass er auf diesem Weg das Impressum aufrufen kann. Da Linktree jedoch ein amerikanischer Anbieter ist, sollte in der Datenschutzerklärung darauf hingewiesen werden, dass Betroffene durch das Anklicken des Links auf eine Seite geleitet wird, die auf einem amerikanischen Server gehostet wird.

Was passiert, wenn die Social Media-Seiten rechtlich nicht richtig erstellt sind?

Verstöße gegen das TMG, die DSGVO oder das UWG können genauso abgemahnt und sanktioniert werden, als wäre es die eigene Website.

In welchen Fällen kommt es zu Abmahnungen?

Verstößt man gegen oben genannte Vorschriften, können alle diese Verstöße abgemahnt werden.

Typisch hierfür sind vor allem gänzlich fehlende Angaben, also ein fehlendes Impressum oder eine fehlende oder unrichtige Datenschutzerklärung. Auch die fehlende werbliche Kennzeichnung rückt immer mehr in den Fokus von Verbraucherverbänden und wird dementsprechend vermehrt abgemahnt.

Wenn ein neues Buch herauskommt oder ein altes wiederbelebt wird, organisieren viele Selbstverleger auf Social Media-Seiten Gewinnspiele. Dabei gibt es das Buch und andere Dinge (Postkarten, Lebensmittel, Gutscheine,…) als Gewinn. Was ist zu beachten?

Das kommt darauf an – sorry für die Juristenantwort.

Es kommt auf die Zielgruppe, die Plattform, die Gewinnerermittlung und andere Punkte an. In der Regel sollte ein Gewinnspiel nicht ohne vorherige Prüfung der Plattform-AGB und nicht ohne Gewinnspiel-AGB erfolgen.

In den Gewinnspiel-AGB sollte geregelt sein, wer der Veranstalter ist, wie lange der Aktionszeitraum geht und wer in welchem Alter teilnahmeberechtigt ist. Meist werden Freunde und Familienangehörige von der Teilnahme ausgeschlossen.

Weiters sollte normiert sein, wie die Teilnahme erfolgt: Beispielsweise durch ein Posting bei Facebook und welche Rechtsfolgen das hat: „Mit seinem Posting bestätigt der Teilnehmer, dass er mit diesen Teilnahmebedingungen einverstanden ist und die Datenschutzinformationen in § 10 zur Kenntnis genommen hat. Die Teilnahme ist unentgeltlich. Diese Teilnahmebedingungen und die Preise der Gewinne können jederzeit abgerufen werden unter: www.mms-law.de“.

Außerdem sollte die Gewinnermittlung und -bekanntgabe erklärt werden. Mit einem Änderungsvorbehalt, Klauseln zur Haftungsbeschränkung, dem Ausschluss des Rechtsweges, Angaben zum Wert der Preise und Datenschutzinformationen sichert man sich ab. Diese Gewinnspiel-AGB können auf der Facebook-Seite mit einem Hinweis im Anfangsposting und einem Link auf die Website, wo sie als PDF abrufbar sind, eingeführt werden.

Facebook sieht in seinen Gemeinschaftsrichtlinien vor, was erlaubt und was verboten ist. Wer hier einen Fehler macht, riskiert für Monate die Sperrung des Accounts. Es muss darauf hingewiesen werden, dass das Gewinnspiel in keiner Verbindung zu Facebook steht und in keiner Weise von Facebook gesponsert, unterstützt oder organisiert wird.

Einige Selbstverleger haben ihren Verlag im Ausland registriert, verkaufen aber auf dem deutschen Markt. Welche Pflichten fallen hier an?

Wer Verbraucher anspricht, die ihren Wohnsitz oder Aufenthalt in der EU haben, unterliegt dem europäischen Datenschutzrecht. Ganz gleich von welchem Standort aus verlegt wird.

Wer auf Deutsch wirbt, kann auch dem deutschen Werberecht unterfallen, wie zuletzt eine österreichische Influencerin erfahren musste.

Hier müsste im Einzelnen geprüft werden, um welches Land es geht, wie was vertrieben wird und welche steuerrechtlichen Regeln zu beachten sind.

Was passiert, wenn die Selbstverleger ihre Bücher nicht nach den rechtlichen Vorgaben gestalten?

Rechtliche Verstöße können abgemahnt und sanktioniert werden. Die Palette der rechtlichen Ansprüche sind vielfältig: Unterlassung oder Schadenersatz bei Verstößen gegen Urheber- oder Markenrecht.

Es kommt ganz darauf an, welche Rechtsverletzungen im Einzelfall vorliegen.

Manche Selbstverleger schreiben ihre Bücher nicht selbst, sondern geben den Text an einen Ghostwriter ab. Was ist in einer solchen Konstellation für beide Seiten zu beachten? Wie verhält es sich mit den Urheberrechten? Sind noch sonstige Rechte wichtig?

In diesem Fall ist der Ghostwriter der Schöpfer seines Werkes und somit Urheber. Als Urheber stehen ihm Urheberpersönlichkeitsrechte zu, die nicht abdingbar sind.

Ein Ghostwriter-Vertrag ist grundsätzlich zulässig, weil der Urheber selbst bestimmen kann, ob er als Urheber nach Außen in Erscheinung treten will oder nicht (§ 13 UrhG). Dadurch wird aber der Auftraggeber des Werks wegen des Schöpferprinzips trotzdem nicht selbst zum Urheber.

Gibt sich der Auftraggeber als Urheber aus, täuscht er möglicherweise den Käufer über eine verkehrswesentliche Eigenschaft des Werks und riskiert wettbewerbsrechtliche Folgen.

Natürlich kann es auch mit dem Ghostwriter Schwierigkeiten geben.

Dreh- und Angelpunkt ist ein gut verhandelter Full-Buy-Out-Vertrag, in dem alle Verwertungsrechte exklusiv an den Auftraggeber übertragen werden.

Aber Vorsicht: Nach zehn Jahren darf der Ghostwriter gem. § 40a UrhG das Werk anderweitig verwerten. Etwa einem anderen Auftraggeber verkaufen. Hier könnte sich also das Ghostwriting offenbaren.

Selbstverleger erstellen zum Teil ihre Buchcover selbst. Hier raten einige Anbieter dazu, sich Fotos von Fotodatenbanken zu holen. Wie sehen Sie diese Situation?

Fotos sind in der Regel urheberrechtlich geschützt, wenn sie über das rein Alltägliche hinausgehen (sogenannte Schöpfungshöhe). Um diese rechtlich sicher zu verwenden, müssen die entsprechenden Vorschriften beachtet werden, weil bei einer mangelhaften Urhebernennung Abmahnungen drohen. Bei jedem Foto muss zunächst nachgeforscht werden, wer der tatsächliche Rechteinhaber ist, welche Rechte an dem Werk erworben werden können und was erlaubt ist (etwa Bearbeitungen oder Verwendung für redaktionelle Zwecke).

Fotodatenbanken erleichtern die Auswahl von Fotos, schützen aber nicht davor, dass Dritte Fotos unrechtmäßig hochladen. Die meisten Fotodatenbanken wie z.B. iStock schließen die Haftung vertraglich in solchen Fällen aus. iStock-Nutzungsverträge laufen beispielsweise nach kanadischem oder US-Recht.

Wer auf Nummer sicher gehen will, lässt sich Bilder von einem Auftragsfotografen machen oder überzeugt sich von der Rechtmäßigkeit des Uploads, indem er den Urheber kontaktiert.

/von

Hassnachrichten: EuGH verbessert den Schutz von Persönlichkeitsrechten

Facebook muss nicht nur Hasskommentare löschen, sondern auch gleichlautende und (!) ähnliche Kommentare suchen und weltweit löschen, wenn der Betroffene einen Inhalt als rechtswidrig gemeldet hat.

HIntergrund ist ein Fall am Obersten Gerichtshof Österreichs, der Anfang 2018 dem EuGH vorgelegt hatte. Darin ging es um Beleidigungen gegen die frühere Parteichefin der österreichischen Grünen, Eva Glawischnig-Piesczek. Facebook-Nutzer bezeichneten sie u.a. als „korrupten Trampel“ und „miese Volksverräterin“. Neben einer Unterlassungsverfügung gegen diese Hasskommentare, hatte die Politikerin auch die Löschung wortgleicher und sinngleicher Beleidigungen gefordert. Ob dies mit der EU-Richtlinie über den elektronischen Geschäftsverkehr vereinbar ist, hat der EuGH heute bejaht, AZ: C-18/18.

Dank dieses Urteils eröffnen sich neue Möglichkeiten, um Opfer von Hassnachrichten effektiver zu schützen.

Wenn Sie Fragen zur Löschung von Hassnachrichten haben, sprechen Sie uns gerne an:

Tel.: 089 265675 – Dr. Marc Maisch

/von

Was ist Identitätsdiebstahl?

,

Von „Alexa“, dem Sprachassistenten, der alle Gespräche mithört, über neue Bewegungsprofile durch E-Scooter und zum Smart Home: Alle Lebensbereiche werden vollständig digitalisiert. Nichts geht mehr ohne die Verarbeitung von personenbezogenen Daten, um sich zu identifizieren oder zu bezahlen. Doch es gibt Schattenseiten: Identitätsmissbrauch. Neue Zahlen belegen, dass Verbraucher immer häufiger vom Missbrauch ihrer personenbezogenen Daten zur Begehung von Straftaten bedroht sind. Vielfach werden Identitäten für Betrugs- und Geldwäschedelikte, aber auch zur Erpressung (auch mit Privatfotos, sog. „Sextortion“) oder zum Cyber-Mobbing verwendet.

Bereits im Jahr 2016 ermittelte die Unternehmensberatung PwC, dass jeder dritte Deutsche schon einmal von einem Identitätsdiebstahl betroffen gewesen ist. Warenkreditbetrug sei die häufigste Masche. Mehr als ein Viertel der Geschädigten habe Rechnungen für Einkäufe erhalten, die sie nie getätigt haben. Von Konto-Abbuchungen, die nicht zuzuordnen waren, berichten mehr als 20 Prozent. Knapp 30 Prozent der Opfer haben durch diesen Identitätsdiebstahl einen finanziellen Schaden von durchschnittlich 1.366 Euro erlitten.[1]

Im Jahr 2017 wurden bereits 49% der deutschen Nutzer Opfer von Internetkriminalität, wie der bitkom Digitalverband erhoben hat.[2] „Rund jeder Fünfte gibt an, dass Zugangsdaten zu Online-Diensten wie Sozialen Netzwerken oder Online-Shops gestohlen (19 Prozent) oder persönliche Daten illegal genutzt (18 Prozent) wurden. Rund jeder Sechste (16 Prozent) ist beim Online-Shopping oder Online-Banking betrogen worden.“

Nach einer FORSA-Umfrage aus dem Jahr 2018 mit 2.040 Teilnehmern, gaben 12 Prozent der Befragten an, bereits Opfer von Identitätsmissbrauch gewesen zu sein. 10 Prozent der Befragten sei ein finanzieller Schaden durch Identitätsmissbrauch entstanden und 30% Prozent teilten mit, jemanden zu kennen, dessen Daten für Identitätsmissbrauch verwendet wurden.

Opfer von Identitätsmissbrauch werden meist kalt erwischt. Wer rechnet schon jeden Tag damit, dass ein Unbekannte im eigenen Namen im Internet auf Shopping-Tour gehen, Facebook-Konten hacken, um den eigenen Freunden gefährliche Links zu schicken oder in das Online-Bankkonto einbrechen? Nicht nur haben Opfer meist mit gravierenden rechtlichen und finanziellen Folgen zu kämpfen, z.B. Abwehr von unberechtigten Forderungen, die Wiederherstellung der Bonität oder technische Prävention weitere Schadensfälle. Die Opfer leiden meist unter der traumatischen Erfahrung, die Kontrolle darüber verloren zu haben, wer was über sie weiss und warum. Das Grundvertrauen in die Sicherheit der (mittlerweile lebensnotwendigen) Datenverarbeitung ist zudem nachhaltig erschüttert.

[1] PwC, https://www.pwc.de/de/handel-und-konsumguter/assets/cyber-security-identitaetsdiebstahl-2016.pdf

[2] Repräsentativen Befragung von 1.017 Internetnutzern ab 14 Jahren im Auftrag des Digitalverbands Bitkom, https://www.bitkom.org/Presse/Presseinformation/Cybercrime-Jeder-zweite-Internetnutzer-wurde-Opfer.html

/von

5 Gründe warum Fanpages nicht gelöscht werden müssen

Am 05.06.2018 hat der EuGH entschieden, dass Nutzer, die bei Facebook eine Fanpage betreiben, für diese datenschutzrechtlich eine Mitverantwortung tragen. In großer Panik haben viele Unternehmen ihre Fanpages gelöscht – das halte ich für überstürzt, denn:

  1. Wer einen Account oder Fanpage zu ausschließlich privaten und familären Zwecken nutzt, ist von der Datenschutz-Grundverordnung (DSGVO) nicht betroffen.
  2. Die Vorabentscheidung des EuGH klärt nur, wie weit der Begriff der „verantwortlichen Stelle“ auszulegen ist. Unmittelbare Auswirkung auf die Haftung von Fanpage-Betreibern hat das nicht.
  3. Der dem Verfahren zugrunde liegende Sachverhalt ist veraltet – längst hat Facebook Erläuterungen zur Datenverarbeitung mit Cookies in seiner Datenschutzrichtlinie nachgebessert. Über das Seitenimpressum der Page kann zudem eine externe Datenrichtline eingepflegt werden.
  4. Die Datenschutz-Grundverordnung sieht das Konstrukt der „Gemeinsamen Verantwortung“ gem. Art. 26 DSGVO vor. Facebook könnte auf die Nutzer im Geltungsbereich der DSGVO zugehen und die gemeinsame Verantwortung regeln, sodass klar ist, wer welche Pflichten hat und wie sich die Haftung für mögliche Datenschutzverstöße durch Facebook auf Fanpage-Betreiber auswirkt.
  5. Abzuwarten bleibt auch die endgültige Entscheidung des Bundesverwaltungsgerichts – erst diese unmittelbare Rechtswirkung für deutsche Fanpage-Betreiber haben.

Mehr dazu in meiner Urteilsanmerkung in der Legal Tribune Online vom 6.6.2018: 

https://www.lto.de/recht/hintergruende/h/eugh-c21016-facebook-fanpages-datenschutz-verantwortlichkeit/ 

/von

EuGH: Fanpage-Betreiber sind gemeinsam mit Facebook verantwortliche Stellen

Das Gericht begründet seine lange erwartete Entscheidung damit, dass Facebook Cookies setzt, um die Insights zu generieren. Diese Insights enthalten demografische Angaben und Informationen über die Interessen der Nutzer. Fanpage-Betreiber verwenden diese Informationen, um ihre Fanpages zielgruppengerecht anzupassen und Werbeschaltungen (Promotions) zu optimieren; daher seien sie gemeinsam mit Facebook für die Zwecke und Mittel der Datenverarbeitung verantwortlich. 

„Nach Auffassung des Unabhängigen Landeszentrums für Datenschutz wiesen nämlich weder die Wirtschaftsakademie noch Facebook die Besucher der Fanpage darauf hin, dass Facebook mittels Cookies sie betreffende personenbezogene Daten erhebt und diese Daten danach verarbeitet (…).

Sodann befindet der Gerichtshof, dass ein Betreiber wie die Wirtschaftsakademie als in der Union gemeinsam mit Facebook Ireland für die fragliche Datenverarbeitung verantwortlich anzusehen ist.

Ein solcher Betreiber ist nämlich durch die von ihm vorgenommene Parametrierung (u. a. entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten) an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt. Der Gerichtshof weist insoweit darauf hin, dass der Fanpage-Betreiber insbesondere demografische Daten über seine Zielgruppe – und damit die Verarbeitung dieser Daten – verlangen kann (u. a. Tendenzen in den Bereichen Alter, Geschlecht, Beziehungsstatus und berufliche Situation), Informationen über den Lebensstil und die Interessen seiner Zielgruppe (einschließlich Informationen über die Käufe und das Online-Kaufverhalten der Besucher seiner Seite sowie über die Kategorien von Waren oder Dienstleistungen, die sie am meisten interessieren) und geografische Daten, die ihn darüber informieren, wo spezielle Werbeaktionen durchzuführen oder Veranstaltungen zu organisieren sind und ihm ganz allgemein ermöglichen, sein Informationsangebot so zielgerichtet wie möglich zu gestalten.“ (PM EuGH)

Was bedeutet das für die Praxis?

Das Risiko, dass eine Datenschutzaufsichtsbehörde oder ein Abmahn-Anwalt gegen fehlende oder unzureichende Datenschutz-Informationen auf FB-Fanpages vorgehen werden, ist deutlich gestiegen. Gleichwohl informiert Facebook mittlerweile relativ umfangreich darüber, wie Cookies gesetzt bzw. personenbezogene Daten verarbeitet werden. Welche Anpassungen bei der Fanpage vorgenommen werden müssen, um diese legal zu betreiben, sollte daher genau geprüft und die Risiken abgewogen werden. Fanpage-Betreiber unterliegen nunmehr den Anforderungen der DSGVO.  Fanpage-Betreiber können im Seitenimpressum unter „Datenrichtlinie“ Datenschutz-Informationen gem. Art. 13 DSGVO darüber aufnehmen, wie personenbezogene Daten gemeinsam mit Facebook verarbeitet werden. Insbesondere Gewinnspiele und die hier erwähnten Insights sollten angesprochen werden.

 

/von

Seminar zur DSGVO

Es gibt viele Infos über die DSGVO – wer aber versucht, die Musterformulare in der Praxis umzusetzen, verliert schnell die Nerven. In diesem Seminar erkläre ich Schritt für Schritt, wie man Datenschutz in der Kanzlei tatsächlich umsetzt und anwendet. Anmeldung und weitere Informationen über Facebook:

/von

WhatsApp & Datenschutz in der Apotheke

„Jetzt über WhatsApp bestellen“ – Apotheken, die unbedarft und ohne ausdrückliche Einwilligung WhatsApp einsetzen, um von ihren Kunden Arzneimittelbestellungen entgegen zunehmen, handeln rechtswidrig. Nach Auffassung des Bayerischen Landesamtes für den Datenschutz erfüllen Apotheken dabei nicht ohne weiteres die Anforderungen an die technischen und organisatorischen Maßnahmen für Daten mit hohem Schutzbedarf. Das Bedürfnis der Apotheken als Verantwortliche ihren Kunden eine weit verbreitete und einfach anwendbare Kommunikationsmöglichkeit zu Verfügung zu stellen, erkennt das Landesamt jedoch an, wenn dies von Kunden ausdrücklich gewünscht und nachgefragt wird.

 

Aus diesem Grund könne WhatsApp aus der Sicht des Landesamtes beanstandungsfrei eingesetzt werden, wenn der Verantwortliche den Nutzer hinreichend auf die gegenwärtigen Datenschutzbedenken hinweise, eine informierte transparente Einwilligung einhole und dem Kunden parallel ein anderer sicherer Kommunikationsweg ohne Medienbruch angeboten werde, damit sich der Kunde frei für oder gegen eine WhatsApp-Kommunikation entscheiden könne. Weitere Hinweise zur Geltendmachung von Betroffenenrechten können die Erklärung abrunden.

Mit der Anwendbarkeit der Datenschutz-Grundverordnung ab dem 25. Mai wird es auch für Apotheken ernst: Gesundheitsdaten sind als „besondere Kategorie“ gem. Art. 9 DSGVO strengen Anforderungen an die Einwilligung und die Zweckbindung ausgesetzt. Neben der Pflicht zur Gewährleistung der Sicherheit der Datenverarbeitung (Art. 32 DSGVO) wird hier künftig das Erfordernis einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) zu beachten sein. Zur Vermeidung von Haftungsfällen nach Art. 82 DSGVO und Bußgeldverfahren ist eine frühzeitige Befassung mit dieser Problematik und eine datenschutzrechtlich zulässige Umsetzung anzuraten.

Mehr dazu: „Bedenken first – WhatsApp second Die digitale Arzneimittelvorbestellung sollte wohlüberlegt sein“, erschienen in der Januar-Ausgabe 2018 der Deutschen Apotheker Zeitung (DAZ): 

https://www.deutsche-apotheker-zeitung.de/daz-az/2018/daz-1-2018/bedenken-first-whatsapp-second  

Bildquelle: freestocks.org on Unsplash.

 

 

 

 

 

/von

Neu: Grundlagen des Datenschutzrechts für Verwaltungsbehörden in Bayern

„Das kann ich Ihnen nicht sagen, … wegen Datenschutz!“ ist ein Satz, den man kennt: Was ist das eigentlich dieser Datenschutz? Das jetzt von Herrn Regierungsrat Alexander Seidl und mir verfasste Werk richtet sich an Einsteiger in das Rechtsgebiet, Verwaltungsanwärter und -schüler sowie für behördliche Datenschutzbeauftragte konzipiert. Weiterlesen

/von