<

Monatsarchiv März 2021

Muster Luca App Informationspflichten Artikel 13 DSGVO

Stand 20.März 2022: Aus dem aktuellen Infektionsschutzgesetz, insbesondere §28a(1) 17, geht hervor, dass die Kontaktdaten nur für die „Dauer der Feststellung der epidemischen Lage von nationaler Tragweite….“ erfasst werden müssen.
Stand 20.März 2022 ist diese NICHT festgestellt, somit besteht KEINE PFLICHT MEHR Kontaktdaten zu erfassen. Als Rechtsgrundlage kommt die gesetzliche Pflicht nicht mehr infrage.

Sie könnten die Kontaktdaten aufgrund des Hausrechtes verlangen.
Doch das ist dann ein klassisches Gästebuch wie wir es schon vor Corona kannten, mit entsprechenden Informationspflichten.

https://www.dtnschtz.de/category/muster/
Die Luca APP ist NICHT MEHR für die Kontaktnachverfolgung geeignet, da die Gesundheitsämter die Daten von der Luca APP NICHT MEHR zur Kontaktnachverfolgung nutzen können.

Weiteres zur Luca APP mit Test und Tipps

Zu der Checkliste Kontaktdatenerfassung (Papier / Corona Warn APP)

Weitere Tipps zur Dokumentation der Kontaktnachverfolgung per Anwesenheitsliste sowie zur Terminvereinbarung „Click and meet“ unter Datenschutz Vorlagen Muster

Falls ich auch Ihnen geholfen habe, können Sie Ihren DANK gerne in Form einer Google Bewertung mitteilen.
(Für Google Konto Inhaber, also mindestens alle Android Nutzer).

Es schreibt Ihnen, Ihr persönlicher externer Datenschutzbeauftragter
Lorenz Macke (Hannover)

[tags]

2021.03.19 Videokonferenz Sicherheitslücke Warnung und Tipp


EDUDIP hat am 23.3.2021 8Uhr nachgebessert!!! Ein Update wurde veröffentlicht.
Meine Meldung
der Lücke hat zu einem Update bei EDUDIP geführt
Danke an die GDD Geschäftsstelle für die Unterstützung.

########################################### Alt ##################

Tipp:
Eine Webadresse die in einer Videokonferenz (EDUDIP) im Chat gepostete wurde NICHT unmitelbar anklicken!
Stattdessen:
Kopieren Sie die Webadresse aus dem Chat in den Browser.
Rufen Sie aus dem Browser die Webadresse auf!

Warum?
Mit gelang es mehrfach für jeweils eine Sekunde an einer EDUDIP Videokonferenz teilzunehmen, für die ich KEINE Berechtigung hatte!
Update 22.3.2021: Mir ist es gelungen an der Videokonferenz von EDUDIP teilzunehmen, vermutlich weil die Person (welche den Link im Chat angeklickt hatte) die Videokonferenz verlassen hat.

Was ist passiert?
In der Videokonferenz BEISPIEL https://room.edudip.com/webinar/12345/12345678 wurde im Chat meine Webadresse (www.Dtnschtz.de) geschrieben.
Ein Konferenzteilnehmer klickte auf die Webadresse im Chat, es wurde die Webadresse www.Dtnschtz.de aufgerufen.

Ich schaute mir zufällig gerade die Logfiles meiner Internetadresse (DtnSchtz.de) an die generell von meinem Provider angelegt werden.
In jeder ‚ordentlichen‘ Datenschutzerklärung findet sich ein Hinweis dazu
„Die Provider dieser Seiten erheben und speichern automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt.
Dies sind u.a. Referrer URL (von welcher Webseite kommt der Webseitenbesucher)
in diesem Falle also BEISPIEL https://room.edudip.com/webinar/12345/12345678?auth_key=DaTeNSCHuTZ2021

Ich gab diese Referrer URL Webadresse in meinem Browser ein und konnte den Inhalt der noch laufenden EDUDIP Videokonferenz sehen, inklusive Chat un der dort eingegebenen Webadresse (www.Dtnschtz.de).
Nach einer Sekunde kam jedoch der Hinweis
„Medienwiedergabe starten?“ , „Bitte bestätigen Sie den Empfang von Audio/Video“ „Wiedergabe starten“
-> Wiedergabe starten brachte mich nicht weiter. Also erneut die Adresse
https://room.edudip.com/webinar/12345/12345678?auth_key=DaTeNSCHuTZ2021 eingegeben und wieder für eine Sekunde den Inhalt der Konferenz gesehen.

Nicht schlimm?
Naja, ich konnte Motto, Klarnamen der Teilnehmer, den Chatinhalt sehen und unter Umständen die Präsentation.
Mit gelang es den Verantwortlichen für die Videokonferenz zu ermitteln und habe Ihn fairerweise unmittelbar auf den Umstand aufmerksam gemacht.

Datenpanne?
Es kommt sicherlich auf den zu prüfenden Einzelfall an, ob diese Verletzung des Schutzes personenbezogener Daten (Datenpanne) gemäß Artikel 33 DSGVO seitens des Verantwortlichen (Videokonferenz-Initiator) an die Aufsichtsbehörde gemeldet werden muss.
Eine Meldung setzt eine Kenntnisnahme voraus. Gibt es bei EDUDIP Log-Files die geprüft werden können?

Zoom:
Hier hat mein bescheidener Test ergeben, dass bei Aufrufe aus dem Zoom Chat der Chat-Raum NICHT nachvollziehbar ist, da dieser als „Direkter Zugriff“ gewertet wird. Trotzdem ist Vorsicht geboten!

Fazit und Handlungsempfehlung:
Weisen Sie die Teilnehmer von Videokonferenzen,
insbesonderen von EDIDUP Videokonferenzen, darauf hin mögliche
Webadressen NICHT direkt aus dem Chat aufzurufen.
Passen Sie Ihre Richtlinien / Vorgaben / Teilnahmebedingungen entsprechend an.
So vermeiden Sie, dass unberechtigte die nicht öffentliche Videokonferenzadresse erlangen.
So vermeiden Sie, dass unberechtigte die nicht öffentlichen Videokonferenzinhalte erlangen.

Update 22.03.2021:
EDUDIP ist über diese Lücke informiert und dabei diese zu schließen.

Mit positiven Absichten schreibt Ihnen Ihr persönlicher Risikooptimierer
Lorenz Macke (Hannover) externer Datenschutzbeauftragter


2021.03.18 Recht aus Auskunft und Erhalt einer Kopie (Qualifikation)

Teilnahme am Webinar mit Fortbildungsbescheinigung. Mit dem Thema Auskunfsersuchen habe ich mich sehr intensiv beschäftigt.
#dtnschtz #blog #speisekarte

2021.03.20 Teilnahme als Datenschutz Experte Update Deutschland

Gerne stelle ich mein Datenschutz Wissen den teilnehmenden Teams zur Verfügung.
Ob Einsamkeit, fehlende Digitalisierung oder soziale Ungleichheit: In der Corona-Pandemie hat jeder die großen Herausforderungen unserer Gesellschaft im Alltag erlebt. Wie schaffen wir es, gestärkt aus der Krise hervorzugehen, statt in die alte Normalität zurückzufallen? Es ist Zeit für ein Update.

Weitere Infos www.updatedeutschland.org

Es schreibt Euch der Risikominderer und persönlicher externer Datenschutzbeauftragter
Lorenz Macke (Hannover)


Click and Meet and Collect Tipps, Terminvereinbarung und Hinweise Muster

Click and Meet – Meet and Collect – Call and Meet – Date and Meet – Click and Sale … ach komm‘ vorbei!
Tipps für Kunden und Shop-Betreiber

Generell: Wenn Sie als Betrieb Daten erfassen wie z.B. Name, Pseudonym, Telefonnr, E-Mail müssen Sie gemäß DSGVO bestimmte Informationen bereitstellen.
Ein kostenfreies Muster für Click and Meet stelle ich hier bereit.
Das Muster enthält die erforderlichen Informationspflichten gemäß DSGVO.

Wenn die Datenerfassung nur per Papier stattfindet, ohne (spätere) elektronische Hilfsmittel, dann brauchen Meiner Meinung nach diese Informationen NICHT gegeben zu werden.
Wenn die Datenerfassung mit Hilfe von elektronischen Hilfsmitteln stattfindet
oder später die Daten mit, elektronischen Hilfsmitteln verarbeitet werden,
dann müssen diese Informationen gemäß DSGVO gegeben werden.

Für Kunden und Betriebe
+Die für die Terminreservierung erhobenen Daten dürfen NUR für die Terminvergabe genutzt werden.
+ Nach erreichen des Zwecks, als der Termin ist erreicht, sind die Daten zu löschen/ zu vernichten (z.B. Papierschredder) / unkenntlich zu machen.
+ Um die Daten behalten zu dürfen, d.h. für einen anderen Zweck, muss der Kunde aktiv zustimmen.

+Auf die Erfassung nicht notwendiger Daten ist zu verzichten
+Bei der Terminvergabe kann sogar auch ein Pseudonym verwendet werden wie z.B. Cora Rona. Dies ist auch bei der Tischreservierung empfohlen, wenn der Name des reservierenden auf dem Tisch sichtbar ist.

+ Falls Termine ‚öfter‘ nicht wahrgenommen werden, ist es ratsam Echtnamen bzw. Telnr zu erfassen für eine eventuelle Sperrliste.
+ Diese Daten zur Terminvereinbarung sind unabhängig und getrennt von der eventuellen Pflicht, die echten Kontaktdaten zu dokumentieren.

+ Wenn die Termine einige Tage im Voraus gebucht werden, sollte eine Absage des Termines möglich sein.

+Der Termin kann
-persönlich an dir Tür vereinbart werden
-per Telefon
-per E-Mail
-per Buchung über ihr EIGENES Terminsystem
-…

Hier ein Vertrag zur Auftragsverarbeitung abzuschließen sowie darauf zu achten, dass SIE als Laden/Geschäft die Möglichkeit haben die Daten zu löschen.
Der Kalender-Dienstleister darf die Daten NICHT für eigene Zwecke nutzen (sonst gemeinsame Verantwortlichekeit-viel Spaß dabei)!!!
Der Kalender-Dienstleister Sondern NUR Für die Terminvereinbarung. Löschfristen sind zu beachten. Es sind sowohl Ihre eigenen Datenschutzhinweise (Click and Meet) UND die Datenschutzhinweise des Kalender-Dienstleisters UND die Datenschutzhinweis der Kalender-Dienstleister Webseite zur Verfügung zu stellen.

Denken Sie an einen PlanB.

Tipp: Nutzen Sie ein Kalendertool bei dem SIE und nur SIE selber die Kontrolle (Datenhoheit) über die Daten haben!

es werden die Daten an Google weitergegben. Darauf ist 'eigentlich' hinzuweisen...
Tipp: Daten im Inland verarbeiten (nicht Google USA)

+Eine Kundenzufriedenheitsumfrage, eine Aufforderung zur Bewertung, die Aufnahme in den Newsletter.... erfordert der Einwilligung seitens des Kundens die den Anforderungen des Datenschutzes und dem UWG entspricht. Auch hierbei viel Spaß.
+Keine Einwilligung = Keine weitere Nutzung!
+Eine Kopplung an Bedingungen für gesetztliche geforderte Terminvereinbarung zusätzliche Daten anzugeben ist unzulässig!
+Eine Kopplung an Bedingungen für gesetztliche geforderte Terminvereinbarung die Daten weiter nutzen zu können ist unzulässig!
+Die erhobenen ohne aktive Zustimmung für andere Zwecke zu nutzen.

+Die Daten sind zu schützen, sodaß niemand unberechtigtes die Daten sehen, fotografieren, hören, kopieren oder beeinflussen kann.
... Kunden gehen davon aus, dass jeder Mitarbeiter seitens des Arbeitgebers gemäß DSGVO schriftlich zur Vertraulichkeit verpflichtet wurde.

NUR für die Terminvereinbarung (nicht zur Kontaktnachverfolgung)
Vom 22.03.2022 Version 03

Download der PDF Datei
Muster_Click _and_Meet_Infomationspflichten__Datenschutz.PDF (Ziel ’speichern unter‘ oder nach dem Anklicken in den Downloads nachschauen)
Muster_Click _and_Meet_Infomationspflichten__Datenschutz (Docx) zum direkten Download.
Version 02 vom 29.04.2021

Kostenfreie Muster / Vorlagen vom Datenschutzbeauftragten

Falls ich auch Ihnen geholfen habe, können Sie Ihren DANK gerne in Form einer Google Bewertung mitteilen.
(Für Google Konto Inhaber, also mindestens alle Android Nutzer).

Es schreibt Ihnen, Ihr persönlicher externer Datenschutzbeauftragter
Lorenz Macke (Hannover)

Gerne gebe ich Ihnen meine Datenschutz Erfahrungen und Tipps weiter.