schützt vor Strafen und

Präsentation zum Thema: "schützt vor Strafen und"—  Präsentation transkript:

1 schützt vor Strafen und
IT-Sicherheit und Datenschutz schützt vor Strafen und hohen Geldbußen

2 Vorstellung Peter J. Müller
Freier Sachverständiger für Datenschutz und IT-Sicherheit Sachverständiger für IT-Fragen im VDA – Bereich Datenschutz Referent der IG Metall und des DGB im Bereich IT Herausgeber und Autor des Loseblattwerkes „Lexikon der Informationstechnologie“ Mitautor der Loseblattwerke „Handbuch der Telekommunikation“ „Neues Bundesdatenschutzgesetz“ „Netzwerksicherheit“

3 Grundsätzliches Basel II, Solveny II, etc……
alles Begriffe, die ohne vorweisbare Präventivschritte - gemäß bestehender Gesetzesvorgaben - richtig teuer werden können. Deshalb MÜSSEN die Auflagen von IT-Sicherheit und Datenschutz unbedingt erfüllt werden!!!

4 Grundsätzliches Basel II höhere Risiken bewirken höhere Zinsen
schlechtes Rating ► höhere Eigenmittelkosten erhöhte Kosten werden durch höhere Zinsen an den Kreditnehmer weitergegeben gutes Rating ► geringe Kosten ► niedrige Zinsen

5 Grundsätzliches Solvency II
Einfluss der EU auf Versicherungsunternehmen nimmt zu angemessene und verifizierbare Risikoorientierung Kapitalausstattung sowie Qualität des Risikomanagements werden mit einbezogen

6 unterschätztes Risiko
mehr als jedes zweite Unternehmen verbuchte im vergangenen Jahr Schäden bis zu EUR Sicherheitsverstöße führten u. a. zu Serverausfällen IT-Manager beziffern Schäden bis zu EUR 46 % der betroffenen Unternehmen zahlen für solche Fehler über EUR usw…

7 unterschätztes Risiko

8 Rechtslage Bestellung eines Datenschutzbeauftragten ist in § 4f BDSG geregelt. Bei Unterlassung kann dies zu Geldbußen von bis zu € geahndet werden. Geschäftsführung wird bei mangelhaften IT-Sicherheitsmanagement persönlich zur Verantwortung gezogen (gemäß KontraG).

9 Rechtslage Ein Datenschutzbeauftragter wird benötigt, wenn:
personenbezogene Daten automatisiert erhoben, erarbeitet oder genutzt werden (9 Beschäftigte) automatisierte Verarbeitungen vorgenommen werden, die einer Vorabkontrolle § 4d Abs.5 BDSG unterliegen personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung genutzt werden

10 Ihre Vorteile Reduzierung der Kosten bei Banken und Versicherungen
Keine Strafen aufgrund der Gesetzeslage Reduzierung der Aufmerksamkeit durch Abmahnvereine (UWG-Problematik) Wettbewerbsfähigkeit bleibt erhalten Vertrauen zu Kooperationsfirmen bleibt erhalten Sicherung der Arbeitsplätze Verbesserung des Zertifizierungsverfahrens z.B. TÜV ISO 9001

11 Gefahrenpotential Ständige Änderungen der Gesetze
Grundsatzurteile der Gerichte Fehlinformationen durch mangelhaft ausgebildete Personen (gefährliches Halbwissen)

12 Gefahrenpotential Nicht- oder Scheinbestellung eines DSB
(Bußgeld bis zu Euro / § 43 BDSG) Fahrlässiger Verstoß gegen § 43 BDSG (Bußgeld bis zu Euro)

13 Datensicherheitsmanagement
Jeder, der kein Datensicherheitsmanagement betreibt, handelt rechtswidrig! Jeder, der keine spezifisch ausgerichtete Logistik der Datensicherung bzw. Datensicherheit hat, gefährdet seine Existenzgrundlage!

14 Datensicherheitsmanagement Grundsatzfragen
Wer wird gefordert ? Unternehmensleitung / Management Aufsichtsrat Mitarbeiter Hardware / Software Lieferanten IT-Dienstleister etc.

15 Datensicherheitsmanagement Grundsatzfragen
Gibt es ein… Datensicherheitsmanagement-Organisations- Verpflichtungs-Gesetz ? Gesetz, in dem steht, dass der Verlust von Daten zu verhindern ist ?

16 Datensicherheitsmanagement Zuständigkeit
Vorstand Aufsichtsrat Geschäftsführung IT-Leitung Personalleitung Bereichsleitung etc…

17 Datensicherheitsmanagement Problemfelder
Der Sicherheitsstatus ändert sich regelmäßig durch Updates, Patches, Operating, etc… Unerlässlich ist daher… eine regelmäßige Überprüfung permanentes Back-Up regelmäßiges Audit

18 Datensicherheitsmanagement Rechtliches Umfeld
Welche Gesetzgebung kommt infrage? Grundgesetz / Verfassung (GG) Datenschutzgesetzgebung (BDSG) Strafrecht (StGB) Bürgerliches Gesetzbuch (BGB) Handelsgesetzbuch (HGB) Gesellschaftsrecht

19 Datensicherheitsmanagement Mögliche Konsequenzen
Verletzung der Informations-Technologie Beeinflussung von Kundenbeziehungen Liefer- und Leistungsverzögerungen Ausfall von -Systemen Internet Nutzung wird gestört etc… Wer trägt die Verantwortung ??? Wer haftet ???

20 Datensicherheitsmanagement Grundgesetz / Verfassung
Gültig im Umfeld öffentlichen Tätigwerdens Abwehrrechte Anspruchs- und Forderungstatbestände Anrecht auf „ordnungsgemäße Behandlung“ Gewerbefreiheit / unternehmerische Freiheit Keine störenden Beeinträchtigungen „Staatliche“ IT muss „störungsfrei“ sein

21 Datensicherheitsmanagement BGB
Verpflichtung zur ordnungsgemäßen Vertragserfüllung bei alltäglichen Geschäftsbeziehungen. Eingeschlossen: Pflicht zur korrekten Verarbeitung „richtiger Daten“ !!!

22 Datensicherheitsmanagement BGB - Vertragspflichten
Hauptpflichten Lieferung des Produkts Stellung des Service Lieferung „in Time“ pFV (positive Forderungsverletzung) Ergänzende Pflichten (z. B. Handeln wie ein ordentlicher Kaufmann Gewährleistung der Ordnungsmäßigkeit der IT

23 Datensicherheitsmanagement BGB - Vertragspflichten
Pflicht zur Vertragserfüllung liegt beim Lieferant Verletzung der Pflichten bedeutet ggf. Schadensersatzansprüche § 257 bestimmt über Aufbewahrung der Unterlagen Aufbewahrung auf Bild- oder Datenträgern ist zulässig (muss bildlich und inhaltlich mit Original übereinstimmen)

24 Datensicherheitsmanagement Abgabenordnung
Aufbewahrungspflicht Die sich aus der Rechnungslegung ergebenden und aufbewahrungspflichtigen Unterlagen, die mit Hilfe der Datenverarbeitung (EDV/IT) erstellt Wurden, sind für die Dauer von 10 Jahren maschinell auswertbar – aufzubewahren (§ 147 Abs. 2 AO)

25 Datensicherheitsmanagement KonTraG
mehr als 20 % der Unternehmen kennen dieses Gesetz gar nicht nur weniger als 40 % erachten dieses Gesetz für ihre Arbeit relevant Aber: Unwissenheit schützt vor Strafe nicht !

26 Datensicherheitsmanagement KonTraG
Verbesserung des Kontrollsystems nicht nur börsennotierter Aktiengesellschaften sondern alle Personengesellschaften incl. Vereine Frühzeitige Erkennung von Entwicklungen, die den Fortbestand des Unternehmens gefährden

27 Datensicherheitsmanagement Pflicht
nicht vorhandene Datensicherheits- Vorsorgemaßnahmen bedeuten ggf. beihilfeartige Tatbestände (z. B. § 13 StGB) Beihilfe durch Unterlassen als Garant

28 für Ihre Aufmerksamkeit
Vielen Dank für Ihre Aufmerksamkeit