8. Physische Sicherheit9. Sicherheit von Informationssystemen; und10. Netzwerksicherheit.

Das Einführen einer minimalen Reihe von Sicherheitsmaßnah-men erfordert den Konsens und die Kooperation von verschiede-nen Interessenvertretern der Smart Grids. Eine Koordinationsini-tiative könnte ermöglichen, dass eine einheitliche und allgemein akzeptierte Herangehensweise bei Sicherheitsvorfällen in Smart Grids gewährleistet wird. Darüber hinaus würde eine einheitliche Herangehensweise zum Thema Internetsicherheit sowohl den Re-gulatoren als auch Interessenvertretern zugutekommen, indem sie die komplexe Umgebung von Smart Grids in Einklang bringt und einen Anreiz bietet, die Internetsicherheit zu verbessern. Dieser Be-richt kann die EU unterstützen durch:

das Angleichen der unterschiedlichen Level an Sicherheit und Stabilität der Anbieter auf dem Markt an ein konsistentes Min-destmaß nationaler Rahmenbedingungen;

das Bereitstellen von Anzeichen eines Mindestmaßes an Sicher-heit und Stabilität in den Mitgliedsstaaten in Bezug auf die Smart Grids;

das Sicherstellen eines Mindestmaßes an Anforderungen an Smart Grids in den Mitgliedsstaaten, wodurch die Einhaltungs- und Betriebskosten reduziert werden;

das Legen eines Grundsteins für ein Mindestmaß an Rahmenbe-dingungen überprüfbarer Kontrolle in Europa;

das Generieren von Bereitschaft, Wiederherstellbarkeit, Rück-laufmaßnahmen und gegenseitiger Hilfe der Betreiber wäh-rend einer Krise;

das Beitragen, um ein angemessenes Level an Transparenz im in-ternen Markt zu erreichen.

Der Geschäftsführende Direktor der ENISA, Professor Udo Helmb-recht, sagt; “Um die ehrgeizigen EU2020 Ziele zu erreichen: 20% er-neuerbare Energie, eine Reduktion von CO2 Emissionen um 20% und eine Zunahme von Energieeffizienz um 20%, ist es wesent-lich, dass das Bereitstellen von Smart Grids für verteilte Energie-erzeugung in zukünftigen Stromnetzen auf sichere Art und Weise erfolgt. Beide innovativen technischen Lösungen sind notwendig, zusammen mit neuen regulierenden und ökonomischen Systemen der EU. Wir hoffen, Smart Grids in der bevorstehenden Internet-Si-cherheitsstrategie der EU zu sehen.”

Den vollständigen Bericht finden Sie hier: https://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-infrastructure-and-services/smart-grids-and-smart-metering/appropriate-security-mea-sures-for-smart-grids/

Schaar zum Beschäftigtendatenschutzgesetz: „Kein großer Wurf“

Der Bundesbeauftragte für den Datenschutz und die Informations-freiheit Peter Schaar hält den von den Koalitionsparteien im Janu-ar 2013 vorgelegten Entwurf zum Beschäftigtendatenschutz nicht für ausreichend. Zudem bedauert er es, dass die meisten Anregun-gen der Konferenz der Datenschutzbeauftragten des Bundes und der Länder aus ihrer Entschließung vom 16./17. März 20111 nicht be-rücksichtigt wurden.

1 DuD Heft 5 (2011), S. 356

Peter Schaar: „Der von der Bundesregierung 2011 beschlossene Entwurf enthielt viele Schwachstellen. Die nunmehr vorgeschla-genen Änderungen sind ambivalent. Sie bringen Verbesserungen, überwiegend aber Verschlechterungen für den Datenschutz der Beschäftigten:“

„Es ist erfreulich, dass es beim Verbot der heimlichen Videoüber-wachung bleiben soll und dass nunmehr bei der offenen Video-überwachung die Daten nicht für die allgemeine Leistungs- und Verhaltenskontrolle genutzt werden dürfen. Allerdings wird es auch nach dem Koalitionsentwurf gegenüber dem heutigen Recht zu deutlichen Erweiterungen der offenen Videoüberwa-chung im Arbeitsverhältnis kommen.“

„Die im Regierungsentwurf vorgesehene Eingrenzung der Datenerhebung im Bewerbungsverfahren wird gelockert. So dürfen öffentlich zugängliche Daten über Bewerber generell genutzt werden, auch wenn sie aus sozialen Netzwerken stam-men. Die im Regierungsentwurf enthaltene Vorgabe, Eignungs-tests grundsätzlich nach wissenschaftlich anerkannten Metho-den durchzuführen, soll entfallen.“

„Nicht akzeptabel ist auch, dass es auch im aktuellen Entwurf dem Arbeitgeber gestattet sein soll, nicht allgemein zugängli-che Beschäftigtendaten bei Dritten zu erheben, wenn der Be-schäftigte eingewilligt hat. Im Regelfall ist davon auszugehen, dass im Bewerbungsverfahren und im Beschäftigungsverhältnis derartige Zustimmungen nicht wirklich freiwillig sind. Diese Re-gelung bleibt hinter der von der Europäischen Kommission vor-geschlagenen Datenschutz-Grundverordnung zurück, die in sol-chen Fällen eine Einwilligungslösung ausschließt.“

„Schon der Regierungsentwurf enthielt weitgehende Befugnisse für den Arbeitgeber, die telefonische Kommunikation von Call-Center-Mitarbeitern mitzuhören, aufzuzeichnen und zu nutzen. Die dort vorgesehene zeitliche Eingrenzung und die darauf be-zogene Pflicht, den Mitarbeiter darüber vorab zu informieren, sollen nach dem Willen der Regierungsfraktionen nun entfallen. Damit wird für die Mitarbeiterinnen und Mitarbeiter ein nicht hinnehmbarer Überwachungsdruck erzeugt.“

Der Bundesdatenschutzbeauftragte bedauert es, dass in dem Ent-wurf weiterhin wichtige für den Arbeitnehmerdatenschutz bedeut-same Regelungen fehlen, etwa zur automatisierten Personalakten-führung, zur privaten Nutzung von Telekommunikationsdiensten oder zum Beweisverwertungsverbot bei unzulässiger Datenerhe-bung und -verwendung. Zudem hält er es für ein schlechtes Sig-nal, dass der Entwurf an verschiedenen Punkten hinter der von der Europäischen Kommission vorgeschlagenen Datenschutz-Grund-verordnung zurück bleibt.

Schließlich weist der Bundesdatenschutzbeauftragte darauf hin, dass die vorgeschlagenen Änderungen zur Auftragsdatenverarbei-tung in Drittstaaten weit über den Beschäftigtendatenschutz hin-aus bedeutsam sind, etwa für die Nutzung von Cloud-Diensten. Derartige Änderungen dürfen nicht ohne gründliche Analyse und Diskussion im Eilverfahren beschlossen werden.

Europäische Datenschutzreform: BfDI begrüßt Änderungsvorschläge aus dem Europäischen Parlament

Der Bundesbeauftragte für den Datenschutz und die Informations-freiheit Peter Schaar sieht in der vom Berichterstatter des Innenaus-

DuD • Datenschutz und Datensicherheit 3 | 2013 191

DUD REPORT

schusses des Europäischen Parlaments, Jan Philipp Albrecht, vor-gelegten Stellungnahme zur Europäischen Datenschutzgrundver-ordnung2 ein wichtiges Signal für ein hohes europaweites Daten-schutzniveau.

Peter Schaar: „Die vorgeschlagenen Änderungen würden den Entwurf der Europäischen Kommission zur Reform des europäi-schen Datenschutzrechts noch deutlich verbessern. So sollen die Zusammenführung personenbezogener Daten aus unterschiedli-chen Quellen (Profilbildung) weiter eingeschränkt und die Rechte der Betroffenen gestärkt werden. Das Widerspruchsrecht der Be-troffenen soll voraussetzungslos und damit unabhängig von be-sonderen persönlichen Gründen gelten. Positiv sehe ich es auch, dass die unabhängige Stellung der Datenschutzbehörden und ihre Möglichkeiten zum koordinierten Vorgehen gegen Datenschutz-verletzungen verbessert werden sollen. “

„Ich hoffe, dass das Europäische Parlament den Vorschlägen zu-stimmt. Von der Bundesregierung erwarte ich, dass sie im Rat die dringend notwendigen Verbesserungen des europäischen Daten-schutzrechts aktiv voranbringt“.

Die Änderungsvorschläge des Berichterstatters dienen dem In-nenausschuss des Europäischen Parlaments zur Vorbereitung sei-ner Stellungnahme. Diese wiederum dient regelmäßig als Entschei-dungsgrundlage für das Plenum des Europäischen Parlaments. Die Datenschutzreform bedarf der Zustimmung des Europäischen Par-laments und des Rats der Regierungen der EU-Mitgliedstaaten.

LfD Sachsen: Zur aufsichtsbehördlichen Tätigkeit gegenüber Unternehmen der Unister-Unternehmensgruppe

Aufgrund anhaltender Presseanfragen gab der Sächsische Daten-schutzbeauftragte am 09.01.2013 die nachstehende Mitteilung he-raus:

1. Datenschutzrechtliche Auskünfte

Seit dem Sommer 2012 bemüht sich der Sächsische Datenschutz-beauftragte im Rahmen seiner Zuständigkeit als Datenschutzauf-sichtsbehörde um eine Tiefenprüfung der Datenverarbeitung in-nerhalb der Unister-Unternehmensgruppe. Diese Tiefenprüfung kann derzeit nicht fortgesetzt werden, da Unister sich weigert, die zuletzt mit Heranziehungsbescheiden vom 14. August 2012 zwangsweise erbetenen Auskünfte zu erteilen, da sich das Unter-nehmen teils dem Grunde nach, teils dem Umfang nach, nicht da-zu verpflichtet sieht. Mit Beschlüssen vom 3. und 11. Dezember 2012 hat das Verwaltungsgericht Leipzig im einstweiligen Rechts-schutzverfahren Unisters Pflicht zur Auskunft bestätigt. Gegen die Entscheidungen hat Unister Beschwerde zum Oberverwaltungs-gericht erhoben. Verstöße gegen die Auskunftspflicht können mit einem Bußgeld bis zu 50 000 Euro geahndet werden (§ 43 Abs. 1 Nr. 10 i. V. m. § 43 Abs. 3 Satz 1 Bundesdatenschutzgesetz – BDSG).

Wegen der nicht abgeschlossenen Tiefenprüfung können vom Sächsischen Datenschutzbeauftragten derzeit noch keine Aussa-gen zur Rechtmäßigkeit der Datenverarbeitung durch Unterneh-men der Unister-Unternehmensgruppe getroffen werden.

2 http://www.europarl.europa.eu/meetdocs/2009_2014/documents/libe/pr/922/922387/922387en.pdf

2. Kein betrieblicher Datenschutzbeauftragter?

Der Sächsische Datenschutzbeauftragte ist der Auffassung, dass in den Unternehmen der Unister-Unternehmensgruppe entgegen der gesetzlichen Verpflichtung aus § 4f BDSG teils seit Jahren kein betrieblicher Datenschutzbeauftragter bestellt ist, da die Unter-nehmen einen wesentlichen Miteigentümer (Gesellschafter) mit dieser Funktion betraut haben. Eine wirksame Bestellung liegt aber nur vor, wenn der bestellte Datenschutzbeauftragte nicht wegen eines anderen Interesses gehindert ist, seine Funktion zu-verlässig und unabhängig auszuüben. Im Fall der Unister-Unter-nehmensgruppe ist der (vermeintlich) Bestellte allerdings wegen seines eigenen finanziellen Interesses objektiv gehindert, die für die Aufgabe des betrieblichen Datenschutzbeauftragten notwen-dige Unabhängigkeit gegenüber dem wirtschaftlichen Interesse des auch ihm gehörenden Unternehmens aufzubringen, da es mit seinem finanziellen Interesse als Miteigentümer (bzw. Mitinhaber) identisch ist. Der Sächsische Datenschutzbeauftragte hat daher gegen mehrere Unternehmen der Unister-Gruppe die Anordnung erlassen, einen (anderen) betrieblichen Datenschutzbeauftragten zu bestellen. Gegen diese Anordnungen wehrt sich Unister der-zeit vor dem Verwaltungsgericht Leipzig – eine Entscheidung des Gerichts steht derzeit noch aus. Eine (auch fahrlässig erfolgte) un-wirksame Bestellung eines betrieblichen Datenschutzbeauftrag-ten kann mit einer Geldbuße bis zu 50 000 Euro geahndet werden (§ 43 Abs. 1 Nr. 2 i. V. m. § 43 Abs. 3 Satz 1 BDSG).

3. Anhaltspunkte für eine Verletzung der Informationspflicht

Im Dezember 2012 erhielt der Sächsische Datenschutzbeauftrag-te durch Medienberichte Hinweise darauf, Kreditkartendaten der Kunden von Unister könnten (auch mehrfach) wegen unzureichen-den Sicherheitsvorkehrungen im Zahlungsverkehr unbefugt Drit-ten zur Kenntnis gelangt sein. Gelangen Kreditkartendaten un-rechtmäßig Dritten zur Kenntnis, sind darüber gemäß § 42a Satz 1 Nr. 4 BDSG unverzüglich die zuständige Datenschutzaufsichtsbe-hörde und die betroffenen Kunden zu informieren. Verstöße gegen die Mitteilungspflicht können mit einem Bußgeld bis zu 300 000 Euro geahndet werden (§ 43 Abs. 2 Nr. 7 i. V. m. § 43 Abs. 1 Satz 1 BDSG). Der Sächsische Datenschutzbeauftragte hat wegen des Sachverhaltes bußrechtliche Ermittlungen aufgenommen. Der Ausgang des Verfahrens ist offen.

4. Datenleck bei Flugbuchungen über www.urlaubstours.de

Der Sächsische Datenschutzbeauftragte hat nach dem öffentlichen Bekanntwerden einer Sicherheitslücke im Zusammenhang mit Ry-anair-Flugbuchungen gegenüber der Unister-Tochter Urlaubstours GmbH am 4. Januar 2013 die unverzügliche Schließung der Sicher-heitslücke angeordnet. Dieser Anordnung hat Urlaubstours bis-her nur teilweise nachkommen können, denn nach Angaben des Unternehmens ist eine anderweitige Zuordnung der Datensätze jedenfalls bei Kunden, deren Flugreise in der Vergangenheit liegt, allenfalls unter Mitwirkung von Ryanair möglich. Der Sächsische Datenschutzbeauftragte steht daher mit beiden Unternehmen we-gen einer kundenfreundlichen Lösung des Problems im Kontakt. Die unbefugte (auch fahrlässige) Übermittlung personenbezoge-ner Daten ist ordnungswidrig und kann mit einem Bußgeld bis zu 300 000 Euro geahndet werden (§ 43 Abs. 2 Nr. 1 i. V. m. § 43 Abs. 1 Satz 1 BDSG).

192 DuD • Datenschutz und Datensicherheit 3 | 2013

DUD REPORT