Blog

Geschichte des Datenschutzes

Wann begann der „Irrsinn“ des Datenschutzes?

In den letzten Jahrhunderten ist viel passierte und es wurden unzählige wirtschaftliche Ereignisse und Prozessen in Bewegung gesetzt. Sei es nun die Industrialisierung im 19. Jahrhundert oder die Digitalisierung im 20. Jahrhundert. Auch die Gesetzgebung durchlebt einen Wandel; neue Gesetze treten in oder außer Kraft.

Continue reading „Geschichte des Datenschutzes“

Diesen Beitrag teilen

Einwilligungserklärung Datenschutz nach Artikel 6 (1) lit. a DSGVO

Inhaltsverzeichnis

…oder das fehlende Verständnis für Artikel 6 (1) DSGVO

Heute muss ich mal spontan einen sehr impulsiven Beitrag los werden. Zum gefühlt 5326 Mal habe ich heute wieder eine Einwilligungserklärung vorgelegt bekommen. Diese muss ich natürlich unterzeichnen.

HINWEIS: Es handelt sich hierbei um keine Rechtsberatung, sondern lediglich um eine grundsätzliche Information. Es muss immer der Einzelfall betrachtet werden, welche Rechtsgrundlage vorliegt bei der Verarbeitung von Daten.

Einwilligungserklärung zum Datenschutz beim Tanzen

Meine Tochter möchte am Tanzkurs teilnehmen. Ich fülle eine Probemitgliedschaft aus und bekomme prompt noch eine Einwilligungserklärung zum Datenschutz nachgereicht. Wenn ich nicht zustimme, dass die Daten für die Probemitgliedschaft gespeichert werden dürfen, kann die Kleine nicht am Tanzunterricht teilnehmen.

Continue reading „Warum die Einwilligungserklärung die DSGVO kaputt macht“

Diesen Beitrag teilen

Facebook Datenschutz

Facebook und Datenschutz? Kein anderes soziales Netzwerk wie Facebook wird öffentlich wegen des Datenschutzes so angeprangert. Doch was weiß Facebook wirklich über Sie oder mich?

Heute zeigen ich Ihnen, wie Sie Ihre gespeicherten Daten von Facebook abrufen können. Ich zeige Ihnen auch, was Facebook über mich weiß! Seien Sie gespannt!

Continue reading „Facebook Datenschutz – Was weiß Facebook über mich?“

Diesen Beitrag teilen

Datenschutzfolgeabschätzung (DSFA) nach Artikel 35 DSGVO erstellen. Sie finden ein Muster als Excel Vorlage im Beitrag.

So richtig „ran getraut“ an eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO haben sich bisher nur wenige. Die Informationen, die man darüber findet, sind auch äußerst dürftig – jedenfalls richtig gute.
Wir haben uns intensiv mit dem Thema DSFA befasst. Die Erkenntnisse, Vorgehensweisen und Empfehlungen dazu fasse ich in (hoffentlich gewohnter 🙂 ) kompakter und verständlicher Weise zusammen.

Es gibt sie nicht, die „Eine“, die richtige oder falsche Vorgehensweise für die Durchführung einer Datenschutz-Folgenabschätzung. Neben der DSGVO gibt es sogar eine internationale ISO Norm dazu. Die ISO/IEC 29134 (Guideline for privacy Impact assessment) stellt dazu ein Regelwerk bereit.

Für unsere Leser und Kunden ist es mir wichtig, eine Lösung vorzustellen, die den gesetzlichen Anforderungen entspricht, aber auf der anderen Seite auch praxisorientiert und machbar ist.

Continue reading „Datenschutz-Folgenabschätzung (DSFA) mit Muster nach Art. 35 DSGVO“

Diesen Beitrag teilen

Durchführung einer Risikoanalyse nach ISO 31000

Ein Risiko zu analysieren bedeutet, sich mit einem möglichen Vorfall schon im Voraus auseinander zu setzen. Dieser Vorfall sollte realistisch (soweit uns das möglich ist) bewertet werden. Was kann im schlimmsten Fall passieren? Was würde das für uns oder für unser Unternehmen bedeuten? Wie man strukturiert an eine Risikoanalyse heran geht und durchführt, erläutert dieser Artikel.

Die Argumentation mit Risiken im Geschäftsalltag sollten Sie sich zu nutze machen. Auf die Frage: „Wo sehen Sie an dieser Stelle konkret ein Risiko?“ werden viele Gesprächspartner, die gerade noch aufbrausend getobt haben, schnell etwas leiser oder schweigen gleich. Ein Risiko strukturiert zu bewerten erfordert doch etwas mehr, als nur seinem Bauchgefühl Luft zu machen.

Aber reden wir nicht um den heißen Brei, sondern werden wir konkret. Lassen Sie uns Risiken identifizieren und bewerten.

Continue reading „Risikoanalyse durchführen – mit Muster / Vorlage und Beispiel“

Diesen Beitrag teilen

Betroffenenrechte DSGVO

Das Gesetz

Jede natürliche Person, deren Daten bei einer Organisation, einem Verein oder einer Behörde gespeichert sind, hat Rechte an Ihren Daten. Was bedeutet das für den Betroffenen (also die Person, deren Daten gespeichert sind)? Und was für die verarbeitenden Organisation? Das möchte dieser Artikel erläutern.

mehr lesen…

Diesen Beitrag teilen

Datenschutzbeauftragter Haftung

Wie sieht es mit dem Kündigungsschutz und der Haftung des Datenschutzbeauftragten aus? 

Vorweg, im Folgenden wird vom Datenschutzbeauftragten in der männlichen Form gesprochen. Der Einfachheit halber beim Lesen unterscheiden wir nicht. Es sind natürlich alle Geschlechter angesprochen.

Wir weisen Sie auch darauf hin, dass es sich bei diesem Artikel um keine Rechtsberatung handelt, sondern lediglich um unsere Einschätzung und Erfahrung aus der Praxis.

Die Aufgaben eines Datenschutzbeauftragten wurden bereits ausführlich im letzten Blogartikel vorgestellt. Dennoch sorgen sich viele interne und externe Datenschutzbeauftragten, wie es um die Haftung bei Datenpannen, Datenschutzvorfällen oder die Nichteinhaltung von Betroffenenrechte bestellt ist.

Dieser Artikel soll Sie unterstützen und die Themen des Kündigungsschutzes sowie der Haftung des Datenschutzbeauftragten näherbringen. 

mehr lesen…

Diesen Beitrag teilen

Aufgaben Datenschutzbeauftragter

Was erwarten mich für Aufgaben als Datenschutzbeauftragter?

Vorweg, im Folgenden wird vom Datenschutzbeauftragten in der männlichen Form gesprochen. Der Einfachheit halber beim Lesen unterscheiden wir nicht. Es sind natürlich alle Geschlechter angesprochen.

Die Ernennung zum internen Datenschutzbeauftragten kommt vielleicht für manche Mitarbeiter ganz plötzlich. In der Praxis ist es meist üblich, dass ein Mitarbeiter die Aufgaben des Datenschutzbeauftragten „nebenbei“ übernimmt. Er oder sie übernimmt die Funktion des Datenschutzbeauftragten, viele Fragen zum Wie und den Aufgaben bleiben offen.

mehr lesen…

Diesen Beitrag teilen

IT-Sicherheitsrichtlinie mit Vorlage

Hat Ihr Unternehmen eine IT-Sicherheitsrichtlinie? Haben Sie geregelt, wie Ihre Mitarbeiter mit Informationen, Daten, Passwörtern und anderen Unternehmenswerten umgehen sollten?

Wann wird eine IT-Sicherheitsrichtlinie gut angenommen? Was macht den Unterschied bei der Einführung und der Formulierung einer Policy für die Mitarbeiter? 

In diesem Artikel fasse ich die Erfahrungen aus über zehn Jahren zusammen. Ich gehe darauf ein, welchen Inhalt eine gute IT-Sicherheitsrichtlinie enthalten sollte. Noch viel wichtiger finde ich aber die Vorgehensweise der Einführung und das „Drumherum“, das bei fast allen Unternehmen als unwichtig erachtet wird.

Letztendlich ist aber genau dieses „Drumherum“ der ausschlaggebende Punkt, ob es funktioniert oder nicht. Meine Empfehlung dazu finden Sie in diesem Artikel. Für alle, die nun die Ärmel zurück krempeln und aktiv werden möchten, stelle ich auch ein kostenloses Muster für eine IT-Sicherheitsrichtlinie zur Verfügung.

Und noch erwähnt sei: Es handelt sich hiermit um keine Rechtsberatung, aber um jahrelange Praxiserfahrung!

Auf den Punkt gebracht: IT-Sicherheitsrichtlinie im Unternehmen

Auf den Punkt gebracht: Führerschein- und Ausweiskopien nach der DSGVO
Auf den Punkt gebracht: IT-Sicherheitsrichtlinie im Unternehmen
  • Jedes Unternehmen sollte eine IT-Sicherheitsrichtlinie eingeführt haben. Hier werden organisatorische Vorgaben rund um die Sicherheit der Informationen festgehalten.
  • Kein Alleingang! Beziehen Sie alle Führungskräfte in die Erstellung mit ein, die später auch für die Inhalte gerade stehen müssen.
  • „Der Ton macht die Musik!“ Die Formulierung darf auch mal ein „bitte“ enthalten und nicht nur Verbote.

Muster / Vorlage für eine IT-Sicherheitsrichtlinie

Wenn Sie sich zum Newsletter anmelden, erhalten Sie neben unseren 7 Punkte für den Datenschutz auch die Vorlage für die IT-Sicherheitsrichtlinie.

Alternativ senden wir Ihnen das Muster auch per E-Mail. Schreiben Sie uns dazu einfach eine kurze Mail an info@datenbeschuetzerin.de

IT-Sicherheitsrichtlinie vs. Informationssicherheitsrichtlinie

In der Praxis hat sich eingebürgert, dass man von einer IT-Sicherheitsrichtlinie spricht. Tatsächlich ist es in den meisten Unternehmen aber eine allgemeine Informationssicherheitsrichtlinie.

Was ist der Unterschied zwischen einer IT-Sicherheitsrichtlinie und einer Informationssicherheitsrichtlinie?

Informationssicherheit ist mehr als nur IT. Natürlich nimmt der IT-spezifische Inhalt in der Regel den größten Umfang ein. Trotzdem, es gehört mehr dazu. Sie möchten doch Ihre gesamten Unternehmenswerte schützen. Da geht es nicht nur darum, dass die Übertragung, Bearbeitung oder Speicherung auf digitalem Weg gesichert ist.

Ihnen als Verantwortlicher ist es sicherlich auch ein Anliegen, dass Ihre Mitarbeiter alle Unternehmenswerte (Dokumente, Geräte…) entsprechend schützen. Aus diesem Grund enthält eine IT-Sicherheitsrichtlinie auch Inhalte, die nicht nur die digitale Welt betreffen. Dann wäre der bessere Begriff eigentlich Informationssicherheitsrichtlinie.

Damit ist nämlich alles abgedeckt. Wohl wissend, dass es fachlich nicht ganz korrekt ist, werde ich aber in diesem Artikel hauptsächlich den Begriff IT-Sicherheitsrichtlinie verwenden.

Warum überhaupt eine IT-Sicherheitsrichtlinie?

Überlegen Sie noch, ob es überhaupt Sinn macht, in Ihrem Unternehmen eine IT-Sicherheitsrichtlinie einzuführen? Braucht es das wirklich? Diese Frage kann ich Ihnen leider nicht beantworten. Ich kann Ihnen aber ein paar Entscheidungsfragen liefern, die Ihnen helfen können, diese Frage selber für sich zu beantworten:

  • Gibt es in Ihrem Unternehmen / Standort schützenswerte Werte (Daten digital oder in Papier, Maschinen bzw. Maschinenkonfigurationen, Abläufe in Projekten oder in der Fertigung, sonstige hochwertige Geräte….)?
  • Haben Sie im Unternehmen ein Problem, wenn einige dieser schätzenswerten Werte nicht verfügbar sind?
  • Handelt es sich bei manchen dieser Werte um Inhalte, die nicht für außenstehende zugänglich sein sollten?
  • Sind alle Ihre Schutzmechanismen im Unternehmen technisch umgesetzt, so dass der Mitarbeiter oder ein Externer keine Möglichkeit hat, diese Mechanismen zu umgehen?

Haben Sie die ersten drei Fragen teilweise mit „Ja“ und die letzte Frage mit „Nein“ beantwortet? Dann würde es wahrscheinlich sinnvoll sein, eine Informationssicherheitsrichtlinie für Ihre Mitarbeiter einzuführen.

Die größten Fehler beim Erstellen einer IT-Sicherheitsrichtlinie

Die folgenden vier Punkte fallen mir leider sehr häufig in Unternehmen auf. Ich finde es immer sehr schade, wenn ich auf solche Fälle treffe und sehe, welches Potential dadurch verschwendet wird. Im Anschluss finden Sie meine Antwort als Umsetzungsvorschlag für die Einführung einer Informationssicherheitsrichtlinie.

Erstellung im Alleingang

Der Informationssicherheitsbeauftragte / IT-Sicherheitsbeauftragte, der IT-Leiter oder die Personalabteilung erstellen eine IT-Sicherheitsrichtlinie ohne sich mit anderen Abteilungen abzustimmen. Manchmal wird die Richtlinie von einem externen Anwalt für das Unternehmen erstellt. Warum soll man dann noch intern um ein Feedback bitten? Dafür haben Sie ja bereits den Anwalt bezahlt, der Ihnen ein Dokument erstellt, das sofort veröffentlicht werden kann.

Erhobener Zeigefinger

  • „Es ist nicht erlaubt…“
  • „Unterlassen Sie ….“
  • „Es ist verboten,…“

Sprechen Sie tatsächlich im Alltag so mit Ihren Mitarbeitern? Welche Botschaft übermitteln Sie mit dieser Sprache?

Praxisrelevanz

„Verwenden Sie nur freigegebene USB-Sticks“. Dieser Satz liest sich in einer IT-Sicherheitsrichtlinie nicht ungewöhnlich. In der Praxis stellt er meistens ein unüberwindbares Hindernis dar. Wenn Ihre Mitarbeiter ihre Arbeit machen möchten, bleibt Ihnen gar nichts anderes übrig, als diesen Punkt der Richtlinie zu brechen.

  • Was ist ein „freigegebener USB-Stick“? Sind die internen Sticks durch einen Aufkleber gekennzeichnet?
  • Was, wenn der Kunde einen USB-Stick mit Daten bringt, die getauscht werden müssen? Gibt es einen praxisorientierten (!) Ablauf im Unternehmen, diese Daten dann legitim übertragen zu können?
  • Wie schließen Sie aus, dass ein „freigegebener USB-Stick“ keine Viren oder Schadsoftware enthält?

Die Beispiele könne ich an dieser Stelle noch mit einer längeren Liste füllen. Worauf ich hinaus möchte. Was in der Theorie ganz logisch klingt, lässt sich in der tatsächlichen Umsetzung in den Fachabteilungen, deren Ziel Produktivität ist, nicht immer umsetzen.

Sicherheitsniveau Maximum

„Digitale Daten dürfen nur verschlüsselt übertragen werden.“ Mit pauschalen Aussagen scheren Sie das gesamte Unternehmen über einen Kamm. Sicherheit bedeutet Aufwand. Ist es gerechtfertigt, diesen Aufwand über das gesamte Unternehmen gleich zu halten? Muss der Speiseplan der Kantine tatsächlich beim Versenden verschlüsselt werden? Wo ist Sicherheit wichtig und wo kann man darauf verzichten?

Empfehlungen zur Einführung einer IT-Sicherheitsrichtlinie

Es gibt keine richtige oder falsche Vorgehensweise bei der Erstellung und Einführung einer Informationssicherheitsrichtlinie. An dieser Stelle fasse ich die Punkte zusammen, die mir wichtig erscheinen und die ich in der Praxis häufig gesehen habe. Entweder positiv, wenn es gut umgesetzt ist oder eben negativ, wenn auf einzelne Aspekte nicht geachtet wird.

 

Wer kümmert sich um die Erstellung der Richtlinie?

Es ist mir klar, dass gerade mittelständische Unternehmen keinen Informationssicherheitsbeauftragten (bzw. IT-Sicherheitsbeauftragten) (ISB) haben. Gibt es diese Stelle allerdings, ist es dessen Aufgabe, eine IT-Sicherheitsrichtlinie zu entwerfen. Doch egal, ob ISB oder nicht. Die IT-Sicherheitsrichtlinie sollte nicht allein von einer Stelle entworfen werden.

Ins Team gehört jemand aus der Personalabteilung genauso wie der IT-Verantwortliche und der Datenschutzbeauftragte. Zudem empfehle ich dringend, aus den Fachabteilungen Vertreter mit ins Boot zu holen. Das sind nämlich diejenigen, die „die Suppe am Ende ausbaden“ müssen. Die sollten schon gehört werden. Von diesen Stellen erhalten Sie – wenn Sie sie frühzeitig mit einbeziehen – hochwertige Inhalte, von denen die Richtlinie nur profitieren kann.

Welches Sicherheitslevel möchten Sie abdecken?

Nicht jedes Unternehmen ist gleich und nicht jedes Unternehmen muss zwingend den höchsten Sicherheitslevel ansetzen. Im Idealfall haben Sie vorher eine Risikoanalyse durchgeführt und konkrete Risiken identifiziert, die Sie mit der IT-Sicherheitsrichtlinie abdecken möchten. So realistisch bin ich, dass es eine solche Risikoanalyse in Ihrem Haus nur gibt, wenn Sie gesetzlich oder normativ dazu verpflichtet sind (z.B. ISO 27001).

Trotzdem kommen Sie nicht umhin, durch die Geschäftsleitung ein Sicherheitslevel zu definieren, welches dann durch die IT-Sicherheitsrichtlinie unterstützt werden soll. Ein paar Fragen, die Ihnen dabei helfen können:

  • Was sind Ihre höchst zu schützenden Werte im Unternehmen?
  • Haben alle Mitarbeiter Zugriff auf diese Werte oder nur ein sehr begrenzter Kreis der Mitarbeiter? Danach richtet es sich, ob Sie überhaupt in einer allgemein gültigen Richtlinie auf diesen höchsten Schutzstatus eingehen sollten oder ob das separat geregelt wird.
  • Was ist das größte Risiko, das diesen Werten gegenübersteht? Kann eine IT-Sicherheitsrichtlinie dieses Risiko minimieren oder haben Sie bereits Schutzmaßnahmen getroffen? Beispiel: Ihre höchst zu schützenden Werte sind Rezepturen für Ihre Fertigung. Diese Daten sind technisch bereits so abgeschottet, dass ein Zugriff nur für eine Handvoll Mitarbeiter möglich ist. Diese Mitarbeiter sollten Sie separat auf die Wichtigkeit dieser Daten unterweisen. In einer allgemeinen IT-Sicherheitsrichtlinie bringt es keinen Mehrwert, darauf einzugehen oder das gesamte Sicherheitsniveau an diese Daten anzuheben.
  • Erlauben Sie private Nutzung von E-Mail, Internet und IT-Ressourcen (Laptop, Handy, Tablet…)?
  • Private Nutzung der Ressourcen in der Arbeitszeit oder nur außerhalb der Arbeitszeit?

In diesem Punkt gehen Sicherheitslevel und Unternehmenskultur in der Praxis Hand in Hand. Nicht jedes Unternehmen ist offen für private Nutzung, auch wenn es aus Sicherheitsgründen wenig Bedenken gäbe.

Unterstützung des Managements

Das mag noch so banal klingen. Dieser Passus findet sich auch so ziemlich in jeder ISO-Norm und in den meistens Standards: „Unterstützung der Leitung“. Und doch stimmt es. Die Geschäftsleitung und das gesamte oberste Management muss hinter der IT-Sicherheitsleitlinie stehen.

Sobald auch nur ein Passus der Richtlinie nicht von der Leitung mitgetragen wird oder deren Einhaltung gefordert wird, können Sie es bleiben lassen. Oberste Vorgabe für die Formulierung einer Richtlinie: Formulieren Sie die Informationssicherheitsrichtlinie so, dass sie die Geschäftsführung / der Vorstand auch einhalten kann und vor allem einhält.  Dadurch ergeben sich automatisch zwei Effekte. Die Leitung geht mit Vorbild voran und ist zudem natürlich daran interessiert, dass sich die Mitarbeiter ebenfalls daranhalten.

Vorab Veröffentlichung bei den Führungskräften

Der Entwurf oder die Fassung 1.0 Ihrer Sicherheitsrichtlinie ist fertig. Am liebsten würden Sie Ihr Werk sofort veröffentlichen.

Holen Sie sich Ihre Mitstreiter auf Ihre Seite. Legen Sie die Version 1.0 Ihren Führungskräften vor. Fordern Sie sie auf zur kritischen Prüfung des Inhalts. Nehmen Sie sie mit in die Verantwortung.

Lassen Sie durch Ihre Führungskräfte prüfen, ob der Inhalt der Richtlinie für alle Abteilungen praxisnah ist und vor allem umsetzbar ist. Auch wenn es manchmal langwierig sein kann. Seien Sie offen für Diskussionen. So anstrengend das am Anfang auch sein mag, es erspart Ihnen im Nachgang der Veröffentlichung noch viel mehr Zeit an Diskussionen durch die Mitarbeiter.

Wenn alle Führungskräfte genickt haben und die Richtlinie damit unterstützen, haben Sie noch weitere Multiplikatoren gewonnen. Diese Führungskräfte können sich vor ihren Mitarbeitern nun nicht mehr aus der Verantwortung ziehen.

Ankündigung und Bekanntgabe

Konfrontieren Sie die Mitarbeiter nicht von heute auf morgen mit einem neuen Blatt Papier. Im Idealfall informieren Sie schon vor der Veröffentlichung darüber, dass in Bälde eine IT-Sicherheitsrichtlinie eingeführt wird. Verbinden Sie die Veröffentlichung mit einer kurzen Unterweisung.

Die Führungskräfte haben Sie schon als Multiplikatoren im Boot. Das kommt Ihnen jetzt zu Gute. Greifen Sie entweder darauf zurück oder machen Sie für alle Mitarbeiter Präsenzschulungen und erläutern Sie die Inhalte der Richtlinie.

Ganz wichtig ist das WARUM!

Erläutern Sie in den Schulungen, warum Sie sich als Unternehmen für eine IT-Sicherheitsrichtlinie entschieden haben. Erklären Sie, warum es zu den einzelnen Inhalten kam. Wenn ich diese Schulung für meine Kunden übernehme, habe ich immer ein paar Beispiele und Videos dabei. Wie einfach ist es ein triviales Passwort zu hacken? Eine kleine Live-Demo und schon steigt das Bewusstsein, warum ein komplexes Passwort doch einen Sinn hat.

Wie kann man durch Social Engineering geschickt an Informationen kommen? Ein Video dazu und im Anschluss die Erklärung, wie sich Ihre Mitarbeiter am Telefon oder unterwegs verhalten sollten. Je mehr Sie erklären, WARUM für Sie als Unternehmen die Inhalte dieser Richtlinie wichtig sind, umso eher werden Ihre Mitarbeiter auch das Verständnis für die Einhaltung und Wichtigkeit der Richtlinie haben.

Unterschrift

Ich persönlich halte nichts von einer Unterschrift der Richtlinie. Manchmal höre ich als Argument, dass sich die Mitarbeiter mehr verpflichtet fühlen, wenn Sie die Richtlinie unterzeichnen. Ich weiß nicht, ob das so ist. Weniger die Verpflichtung der Einhaltung, sondern das Verständnis der Einhaltung wäre aus meiner Sicht das Ziel.

Dieses Verständnis können Sie, wie gerade erwähnt, über Schulungen erreichen. Die Teilnahme an der Schulung sollten Sie in einer Anwesenheitsliste dokumentieren. Aus meiner Sicht wäre das ausreichend. Die Informationssicherheitsrichtlinie ist ein verbindliches Vorgabedokument. Eine zusätzliche Unterschrift würde ich nicht empfehlen. Was machen Sie z .B. wenn sich ein Mitarbeiter weigert zu unterschreiben? Wie gehen Sie damit um, wenn es Änderungen im Inhalt gibt? Nochmal alle Mitarbeiter unterschreiben lassen?

Einhaltung

Das resultiert letztendlich aus den voran gegangenen Punkten. Hält sich die Leitung an die Richtlinie? Haben Sie gut erklärt, warum die Richtlinie wichtig ist? Sind die Punkte, die Sie vorgeben in der Praxis umsetzbar?

Dann decken Sie schon die wichtigsten Faktoren ab, die Ihre Mitarbeiter aus eigenem Antrieb motivieren, die IT-Sicherheitsrichtlinie einzuhalten. Nichtsdestotrotz müssen Sie aber auch die Einhaltung sicherstellen. Um eine Vorgabe, die niemand kontrolliert, wird sich auch keiner scheren. Oder parken Sie nicht auch mal im Halteverbot, wenn Sie genau wissen, dass keine Parküberwachung vorbeikommen wird?

Diese Überwachung ist aus meiner Sicht einer der schwierigsten Punkte an der ganzen IT-Richtlinie. Ich habe leider kein Patentrezept, das ich Ihnen an die Hand geben kann.

Anpassung

Scheuen Sie sich nicht, auch Fehler zuzugeben. Der 1. Wurf kann schon mal einen Stolperstein enthalten, den man auch trotz gründlicher Prüfung übersehen hat. Aus eigener Erfahrung weiß ich, wie schwer es ist – auch auf den Aufwand gesehen – eine Anpassung der Richtlinie vorzunehmen, diese zu veröffentlichen und zu kommunizieren.

Wenn Sie sich jetzt noch dazu entschieden haben, die Richtlinie unterzeichnen zu lassen, werden Sie eine neue Version kaum rausgeben wollen. Der Aufwand einer erneuten Unterschrift ist einfach unglaublich hoch. Daher meine Empfehlung noch mal: keine Unterschrift.

Das macht ein Update der Vorgaben um einiges einfacher. Seien Sie auch ganz offen in der Kommunikation, warum sich vielleicht der eine oder andere Punkt im Inhalt geändert hat.

Was sollte eine IT-Richtlinie inhaltlich mitbringen?

Sprache

Wie oben schon angesprochen, ist die Sprache, in der eine Richtlinie verfasst ist, für mich ein wesentlicher Bestandteil. Der Ton macht schließlich die Musik. Sie transportieren auf dieser Ebene eine Botschaft an alle, die Ihre Vorgaben einhalten sollten. Ein „Bitte“ an der richtigen Stelle tut der Richtlinie nicht weh und vermindert auch nicht deren Wichtigkeit. Es hebt aber bedeutend den Respekt Ihren Mitarbeitern gegenüber. Auch ist die aktive Form der Formulierung weitaus freundlicher, als die permanente Formulierung im Passiv. Dieselbe Aussage in unterschiedlichen Formen, kommt ganz unterschiedlich beim Empfänger an:

  • „Die private Nutzung der IT-Ausstattung ist verboten.“
  • „Bitte nutzen Sie die Ihnen übergebene IT-Ausstattung nur für geschäftliche Zwecke und nicht für private Angelegenheiten.“

Praxisbezogene Inhalte

Die Nutzung „freigegebener USB-Sticks“ habe ich ja schon weiter oben bemängelt. Sinnvoll wäre es also, solche Situationen in eine Positiv-Form zu bringen, die für Ihr Unternehmen angemessen ist.

Überlegen Sie sich vor der Erstellung einer IT-Sicherheitsrichtlinie, wie solche Prozesse bei Ihnen im Unternehmen ablaufen sollten. Bleiben wir beim Beispiel USB-Sticks. Wollen Sie durchgängig unterbinden, dass USB-Sticks in die Arbeitsplatz-Rechner eingesteckt werden, müssen Sie Lösungen bieten.

Das kann z.B. ein abgeschotteter Rechner pro Abteilung / Gebäude (je nach Unternehmensgröße) sein, der keine Verbindung ins Unternehmensnetzwerk hat. Dafür gibt es auf dieser Workstation einen oder mehrere Virenscanner, die das externe Medium prüfen und gezielt das Herunterladen einzelner bzw. benötigter Daten ermöglichen. Für einen solchen Fall müssen Sie aber auch bedenken, dass hin und wieder mal ein verseuchter Stick dabei sein kann. Soll diese Workstation täglich mit einem „sauberen“ Snapshot der Installation starten oder machen Sie manuell alle paar Tage einen Reset des Rechners? Diese Vorgehensweise zieht einen ziemlich großen und vor allem aufwändigen Rattenschwanz nach sich.

Hier sollten Sie sich tatsächlich im Voraus die Frage stellen, wie hoch Sie Ihr Sicherheitslevel ansetzen wollen und welche Maßnahmen Sie dafür in Kauf nehmen möchten. Eine aus meiner Sicht sinnvolle Lösung für ein „normales“ Sicherheitsniveau ist es, den Mitarbeiter mit in die Verantwortung zu nehmen.

Das kann dann z.B. so lauten: Verwenden Sie bitte nur externe Medien von vertrauenswürdigen Kontakten (z.B. Kunden, Geschäftspartner…). Scannen Sie das Medium vor der Verwendung auf Viren. (ggf. Link zur Anleitung, wie das funktioniert). Seien Sie besonders vorsichtig bei ausführbaren Dateien (z.B. .exe Endungen). Kontaktieren Sie im Zweifelsfall Ihre Führungskraft oder Ihre IT-Abteilung. Natürlich birgt ein solches organisatorisches Vorgehen ein größeres Risiko, als eine technische Lösung, die der Mitarbeiter gar nicht umgehen kann.

Das kann Ihnen auch kein Anwalt oder externer Dienstleister vorgeben. Beide können Ihnen Empfehlungen für eine Formulierung einer Richtlinie geben. Ob die Inhalte allerdings Ihrem Risikoniveau und Ihrem Sicherheitsstandard entsprechen, können und müssen nur Sie entscheiden.

Privatnutzung

Auch diese Entscheidung kann Ihnen niemand vorgeben. Man kann auch nicht pauschal über alle Unternehmen sagen, das Eine ist besser als das Andere. Es muss zu Ihrem Unternehmen und zu Ihrer Unternehmenskultur passen. Selbst wenn Sie private Nutzung generell befürworten, kann es doch sein, dass dies in Ihrem Unternehmen vielleicht gar nicht so sinnvoll ist.

Verbieten Sie die private Nutzung, müssen Sie auch kontrollieren, ob die Vorgaben eingehalten werden. Ansonsten sind Sie gleich beim Aspekt der „Duldung“. Erlauben Sie die private Nutzung, dann überlegen Sie sich gut, wie Sie die Punkte regeln, damit Ihnen die Anforderungen des Datenschutzes keinen Strich durch die Rechnung machen.

Mir gefällte es gut, wenn man darauf hinweist, dass das Unternehmen im begründeten Fall Zugriff auf die Geräte / E-Mails / Protokolle hat und damit eine Einsicht auf die Privatnutzung erlangen könnte. Wer das nicht möchte, sollte von einer privaten Nutzung absehen.

Hinweis auf technische Sicherheitsmaßnahmen

Bleiben Sie bei der Formulierung inhaltlich bei der IT-Sicherheitsrichtlinie. Machen Sie keine technische Anleitung daraus. Sie fragen sich, wie ich darauf komme? Das ist nicht unüblich.

Viele IT-Sicherheitsrichtlinien sind mehr als 10 Seiten lang, weil sich neben den Richtlinien und Regeln auch noch eine technische Dokumentation darin versteckt. Weisen Sie darauf hin, welche Passwortanforderungen es in Ihrem Unternehmen gibt. Auch wenn es technisch erzwungen wird und der Mitarbeiter das gar nicht ändern kann.

Trotzdem ist ein Hinweis auf den Standard sinnvoll. Nicht hineingehört – nach meinem Verständnis – eine detaillierte technische Anleitung, wie z.B. in Windows das Passwort geändert werden kann.

Solche technischen Anleitungen sollten Sie dringend separat dokumentieren. Dafür eignen sich Wikis sehr gut. In der Richtlinie verweisen Sie am besten kurz auf die Anleitung. Ziel: Die Richtlinie knackig und schlank halten!

Vorgaben für organisatorische Sicherheitsmaßnahmen

Bei den organisatorischen Sicherheitsmaßnahmen wird es natürlich interessanter. Die müssen Sie so gut es geht erläutern, um den oben erwähnten Missverständnissen vorzubeugen. Am besten klappt das, wenn Sie Ihren Vorschlag der IT-Sicherheitsrichtlinie an ein paar Key-User und Führungskräfte rausgeben und auf Praxistauglichkeit überprüfen lassen. Ein paar Beispiele aus der Praxis:

  • „Aktivieren Sie bei Abwesenheit (Krankheit, Urlaub…) Ihren Abwesenheitsagenten in den E-Mails.“ Da nicht jeder Mitarbeiter einen Laptop hat oder Onlinezugang, ist es gar nicht möglich, bei ungeplanter Abwesenheit den Abwesenheitsagenten zu aktivieren. Eine Umformulierung erleichtert vieles. „Aktivieren Sie bei geplanter Abwesenheit …. und informieren Sie Ihre Führungskraft bei Krankheit, Ihren Abwesenheitsagenten zu aktivieren.“ (Vergessen Sie nicht, dies vorher technisch abzuklären, dass die Vertretung oder die Führungskraft den Abwesenheitsagenten einschalten kann.)
  • „Sprechen Sie unbegleitete Personen am Firmengelände an, die keine Mitarbeiter sind.“ Damit dies möglich ist, müssen Sie vorher regeln, wie sich ein Mitarbeiter erkenntlich macht. Hat er einen Ausweis sichtbar zu tragen? Fördert das Unternehmen das Ansprechen von externen Personen? Dies ist meistens die häufigste Ursache, warum das nicht passiert. Kein Mitarbeiter will sich selbsts in eine Problemlage bringen, indem es vielleicht einen wichtigen Gast mit dieser Frage anspricht. Hier ist es wichtig, dass Sie das fördern und einfordern.

Muster für eine IT-Sicherheitsrichtlinie

Die perfekte Informationssicherheitsrichtlinie gibt es nicht, da sind wir uns hoffentlich einig. Trotzdem habe ich permanent meine Vorlagen dazu angepasst. Gerne stelle ich Ihnen diese Vorlage meiner Informationssicherheitsrichtlinie zur Verfügung. Die Abonnenten meines Newsletters erhalten dieses Muster mit Ihrer Begrüßungsmail. Hier können Sie sich zum Newsletter anmelden.

Wenn Sie sich nicht für unseren Newsletter anmelden möchten, dann schreiben Sie uns einfach eine kurze Mail an info@datenbeschuetzerin.de und wir schicken Ihnen die Vorlage entsprechend zu. Vergessen Sie nicht: Es ist nur eine Vorlage! Sie entscheiden, wie Ihr Sicherheitsniveau aussehen muss! Sie entscheiden, ob Sie die Inhalte anpassen oder übernehmen möchten! Und Sie entscheiden auch, ob Sie das Dokument noch mal von einem Anwalt prüfen lassen möchten!

Ihre Erfahrungen

Wie immer interessiert mich Ihre Erfahrung in der Praxis. Wie haben Sie das Thema Informationssicherheitsrichtlinie oder IT-Sicherheitsrichtlinie bisher gelebt? Schreiben Sie mir doch einen Kommentar dazu!

Diesen Beitrag teilen

Facebook-Gewinnspiele - Was Sie als Veranstalter beachten sollten.

Facebook-Gewinnspiele – was Sie als Veranstalter zu beachten haben und woran Sie als Teilnehmer unseriöse Gewinnspiele erkennen

Wer kennt sie nicht, die zahlreichen angebotenen Facebook-Gewinnspiele von unterschiedlichen Veranstaltern und Unternehmen? „Teile dieses Bild, um am Gewinnspiel teilzunehmen“, „Verlinke in den Kommentaren einen Freund für die Teilnahme“ oder „Teile unsere Facebook-Seite, damit du am Gewinnspiel teilnehmen kannst“, sind Standardfloskeln.

Was davon ist erlaubt? Wie muss ein „richtiges“ Facebook-Gewinnspiel aussehen?

Auf diese und ähnliche Fragen möchte ich im heutigen Blogartikel gerne eingehen. Dabei werde ich für die Veranstalter auf die richtige Ausgestaltung der Facebook-Gewinnspiele vorstellen. Ebenfalls finden Sie als potentieller Teilnehmer eine „Checkliste“, damit Sie auch die „echten und richtigen“ Gewinnspiele von unseriösen unterscheiden können.

Facebook Gewinnspiele – so geht’s richtig!

Als Unternehmen möchte man seinen Kunden auch mal Danke sagen! Und wie geht dies am Besten? Durch ein Gewinnspiel. Doch was ist nun eigentlich erlaubt, was nicht?

Der einfachste Weg ist ein Blick in die „Facebook Promotions Guideline“ bzw. in die „Richtlinien für Gruppen, Seiten und Veranstaltungen“ zu werfen.

Facebook-Richtlinien

Punkt 3 der Facebook-Richtlinie besagt, dass die offiziellen Regeln von Facebook anerkannt werden, die Nutzungs- und Teilnahmebedingungen bekannt sein müssen und natürlich die festgelegten Bedingungen vom Veranstalter selbst eingehalten werden.

Des Weiteren ist es wichtig zu erwähnen, dass das Gewinnspiel in keiner Verbindung zu Facebook steht bzw. von Facebook gesponsert, unterstützt oder organisiert wurde.

Das Gewinnspiel darf auf einer Seite, in einer Gruppe, in Veranstaltungen oder in Apps auf Facebook durchgeführt werden. Es ist jedoch untersagt, dass die Teilnehmer aufgefordert werden, den Beitrag zu teilen und Freunde oder Personen zu markieren.

Gesetzliche Regelungen

Natürlich sind neben den Facebook-Richtlinien auch die gesetzlichen Regelungen zum Thema Gewinnspiel zu beachten. Dazu zählen vor allem die Teilnahmebedingungen, das Impressum und die Datenschutzhinweise.

Teilnahmebedingungen

Gemäß § 5 a Absatz 2 UWG ist der Gewinnspiel-Veranstalter dazu verpflichtet, wesentliche Informationen nicht vorzuenthalten. Als Vorenthalten ist im diesem Sinne, das Verheimlichen wesentlicher Informationen, die unklare, unverständliche oder zweideutige Bereitstellung von wesentlichen Informationen oder die nicht rechtzeitige Bereitstellung wesentlicher Informationen zu verstehen.

In den Teilnahmebedingungen sollten deshalb folgende Angaben gemacht werden:

  • Name des Veranstalters bzw. des Verantwortlichen
  • Die Teilnahmebedingungen an sich (z.B. Das Bild mit den meisten Likes gewinnt)
  • Beginn und Ende des Gewinnspiel
  • detaillierte Beschreibung des Gewinns und der Hinweis auf evtl. anfallende Zusatzkosten
  • Datum der Preisauslosung
  • Wie der Gewinner ermittelt wird (z.B. durch Zufallsgenerator oder einer Jury)
  • Wie der Gewinn selbst ausgegeben wird (z.B. durch Versand oder Abholung)
  • Freistellung von Facebook
  • Hinweis auf den Datenschutz
  • untersagte Teilnahmebedingungen (z.B. Beitrag teilen, Person verlinken)

Impressumspflicht

Wie bereits erwähnt, muss der Veranstalter bzw. der Verantwortliche bekannt sein. Die Impressumspflicht ist nach § 5 Telemediengesetz (TMG) einzuhalten. Facebook bietet die Möglichkeit, dass Impressum in die Seite mit einzubinden.

Datenschutz

Und zu guter Letzt ist natürlich die Bereitstellung der Datenschutzhinweise oder einer Datenschutzerklärung nicht zu vergessen. Für den Datenschutz ist von Bedeutung, ob das Gewinnspiel einen Werbecharakter aufweist oder nicht. Sollte das Gewinnspiel zu Werbezwecken dienen, ist eine ausdrückliche Einwilligung des Teilnehmers erforderlich.

Des Weiteren ist der Veranstalter seiner Informationspflicht nach Art. 13 DSGVO nachzukommen.

Zusatzhinweise

Es empfiehlt sich neben den bereits zu wahrenden gesetzlichen Vorgaben noch drei Zusatzhinweise bei den Teilnahmebedingungen zu einzubinden:

  1. Haftungsausschluss: Dieser ist insofern empfehlenswert, wenn die Facebook-Nutzer selbst bei einem Beitrag aktiv werden (z.B. durch Kommentierung des Beitrages) und dieser rechtswidrig genutzt wird (z.B. Beleidigungen oder falsche Tatsachenbehauptungen). Durch eine solche Klausel schließt der Verantwortliche die Haftung für etwaige rechtswidrige Verstöße aus.
  2. Änderungsvorbehalt: Gewinnspiele können sich schnell ändern (z.B. Facebook sperrt das Gewinnspiel unbegründet). Es ist ratsam, die Teilnehmer darauf hinzuweisen, dass das Gewinnspiel von der Ausgestaltung jederzeit geändert oder beendet werden kann (vor allem, wie in Punkt 1 angesprochen, sich sämtliche Teilnehmer rechtswidrig verhalten)
  3. Rechtsweg ausgeschlossen: Der übliche Passus, dass der Rechtsweg ausgeschlossen ist, ist nach dem Urteil des Landgerichts Hannover zulässig und empfehlenswert mit aufzunehmen.

Benachrichtigung des Gewinners

Nach erfolgreicher Durchführung des Gewinnspiels ist es nun Zeit den Gewinner zu ermitteln. Egal ob Sie diesen mittels eines Losverfahrens, Zufallsgenerators oder durch eine Jury bestimmen, der Gewinner möchte natürlich auch über sein Glück informiert werden. Aber wie führt man dies durch, um den Datenschutz einzuhalten?

Es ist aktuell noch unklar, welche Weise der Benachrichtigung an den Gewinner unter Einhaltung des Datenschutzes korrekt ist. Zu unterscheiden ist jedoch, ob das Gewinnspiel auch in Verbindung mit einem Werbezweck steht oder nicht. Üblicherweise werden die Gewinner meist auf zwei Arten benachrichtigt: entweder durch eine private Nachricht oder durch die Kommentierung seines Beitrags.

Streng genommen, bräuchte man für beide Versionen eine aktive Einwilligung des Teilnehmers. Insofern sind meines Erachtens beide Benachrichtigungsweisen in Ordnung, sofern das Gewinnspiel keinen Werbecharakter besitzt. Man kann davon ausgehen, dass eine sog. „konkludente“ Einwilligung der Nutzer vorliegt, sofern sie am Gewinnspiel teilnehmen und die Teilnahmebedingungen zur Kenntnis nehmen.

Zusammenfassung und Verlinkung der Teilnahmebedingungen

Durch die Bereitstellung der Teilnahmebedingungen, des Impressums und der Datenschutzhinweise kann das Facebook-Gewinnspiel durchgeführt werden. Jedoch ist die ausgeschriebene Version der vorgenannten Punkte sehr umfangreich und würde zur Unübersichtlichkeit und ggf. zu Verwirrungen im Facebook-Post führen.

Es ist ratsam, die Teilnahmebedingungen extern anzubieten z.B. auf der eigenen Webseite. Die Verlinkung der Teilnahmebedingungen darf im Facebook-Post jedoch nicht fehlen.

Checkliste für Veranstalter – so gestalten Sie ihre Facebook-Gewinnspiele richtig!

Gerne möchte ich Ihnen nochmals zusammengefasst eine Checkliste an die Hand geben, damit Sie Ihr Facebook-Gewinnspiel korrekt gestalten und ausführen. Sie können die Checkliste auch hier als PDF herunterladen.

Checkliste Facebook-Gewinnspiele

Hinweis: Diese Checkliste erhebt keinen Anspruch auf Vollständigkeit und führt nicht automatisch zur korrekten Ausführung und Ausgestaltung des Facebook-Gewinnspiels.

Formale / gesetzliche Bedingungen:

  • Ziel des Gewinnspiels (Danksagung an die Kunden, Neugewinnung von Kunden, Werbung)
    • diese Begründung dient dazu, ob eine ausdrückliche Einwilligung des Teilnehmers eingeholt werden muss
  • Teilnahmebedingungen festlegen
    • Die Teilnahmebedingungen an sich (z.B. Das Bild mit den meisten Likes gewinnt, Altersbegrenzung, etc.)
    • detaillierte Beschreibung des Gewinns und der Hinweis auf evtl. anfallende Zusatzkosten
    • Beginn und Ende des Gewinnspiel
    • Datum der Preisauslosung
    • Ermittlung des Gewinners  (z.B. durch Zufallsgenerator oder einer Jury)
    • Ausgabe des Gewinns (z.B. durch Versand oder Abholung)
    • Freistellung von Facebook
    • optional: Haftungsausschluss, Änderungsvorbehalt, Ausschluss des Rechtswegs
  • Impressumspflicht wahren
  • Datenschutzhinweise zur Verfügung stellen
  • ausdrückliche Einwilligung der Teilnehmer bei Werbezwecken

Ausgestaltung auf Facebook

Erlaubte Teilnahme durch

  • Liken des Beitrags
  • Kommentieren des Beitrags
  • Private Nachricht an den Seitenbetreiber
  • Bild oder Kommentar mit den meisten Likes gewinnt
  • Bilder/Nachrichten auf der Veranstalterseite posten

Nicht zulässig:

  • Beitrag teilen
  • Markierung bzw. Verlinkung einer Person auf einem Bild
  • Teilnehmer muss Unternehmen selbst oder den Beitrag selbst auf seiner Chronik posten

Der Fanpage Karma Blog hat dazu auch eine übersichtliche Infografik erstellt.

Teilnahme an Facebook-Gewinnspielen

Gerne möchte ich noch für die Teilnehmer eine kleine „Anleitung“ mitgeben, wie Sie unseriöse Gewinnspiele erkennen und aufdecken können.

Aus meiner persönlichen Erfahrung kann ich mitteilen, dass einige meiner Facebook-Kontakte an solchen Gewinnspielen mittels der Teilen-Funktion oder Verlinkung an einem solchen Gewinnspiel teilgenommen haben. Doch Vorsichtig ist geboten! Nicht alle Gewinnspiele sind „echt“ und auch nicht der Facebook-Richtlinie entsprechend korrekt gestaltet.

Facebook-Gewinnspiele – wie erkenne ich die „schwarzen Schafe“?

Kennen Sie ebenfalls Kontakte aus Ihrer Facebook-Liste, die willkürlich an unterschiedlichen Facebook-Gewinnspielen teilnehmen?

Ganz aktuell kursiert ein angebliches Gewinnspiel von „Rewe Markt Deutschland“ in Facebook umher, mit der Möglichkeit ein Auto zu gewinnen. Klingt doch erst mal super! Naja, nicht wirklich, wenn man sich die Bedingungen für die Teilnahme ansieht.

„Mimikama“ bzw. „Zuerst denken dann klicken (ZDDK)“ ist ein gemeinnütziger österreichischer Verein. Dieser hat sich auf die Aufklärung von sog. „Fake-Nachrichten“ spezialisiert und unter anderem auch auf  Fake-Gewinnspiele auf Facebook hinweist. Das vorgenannte Beispiel von „Rewe“ und wird zurecht von diesen als Fake-Gewinnspiel eingestuft.

Anhand des „Fake“ Rewe-Gewinnspiels zeige ich Ihnen, den Teilnehmern, worauf Sie achten sollten.

Illegales Facebook-Gewinnspiel von „Rewe-Deutschland“

Auf den ersten Blick sieht die Facebook-Seite von „Rewe-Deutschland“ seriös aus. Der zu verlosende Preis wird im Post angepriesen und die Fotos sind souverän und professionell. Teilnehmen kann mit einem Like, durch das Teilen des Post und der Kommentarfunktion.

Facebook-Gewinnspiel auf https://www.facebook.com/CampingfreundeDeutschland/
Facebook-Post https://www.facebook.com/CampingfreundeDeutschland/

Doch wie so oft steckt der Teufel im Detail! Wer ist denn nun genau der Veranstalter? Wo ist das Impressum? Welche Teilnahmebedingungen gelten? Wie wird der Datenschutz gewährt? Wie werden die Gewinner ermittelt bzw. benachrichtigt? Fragen, die sich jeder Teilnehmer stellen sollte, bevor er „blind“ am einem Gewinnspiel teilnimmt.

Der Verein Mimikama hat auf seiner Homepage bereits eine Liste der Fake-Gewinnspiele auf Facebook angelegt.

Doch was ist nun so schlimm an diesem Facebook-Gewinnspiel? Zum aktuellen Zeitpunkt haben die Seitenbetreiber zumindest das Profilbild der Seite geändert. Zuvor wurde das Firmenlogo von Rewe mit dem darauf eingefügten blauen Zertifizierungshaken verwendet. Auch die Namensgebung der Seite „Rewe-Deutschland“ erweckt für den Teilnehmer den Anschein, dass es sich direkt um ein Gewinnspiel von der bekannten Supermarkt-Kette „Rewe“ handelt. Des Weiteren sind keine Angaben zum Impressum, zum Datenschutz und den Teilnahmebedingungen gegeben.

Worauf soll ich nun bei der Teilnahme von Facebook-Gewinnspielen achten?

Sehen Sie sich die Facebook-Seite, vor der Teilnahme, einmal genauer an. Denn anhand der Facebook-Seite ist es bereits möglich, Fake-Gewinnspiele zu entdecken. Stellen Sie sich bei der Sichtung der Seite folgende Fragen:

  • Wer ist der Verantwortliche für den Inhalt? Ist das Impressum vorhanden?
  • Gibt es Hinweise zum Datenschutz?
  • Können Sie den Seitenbetreiber durch den Messenger kontaktieren?
  • Wie lange existiert die Seite schon?
  • Welche sonstigen Inhalte werden auf der Seite gepostet?
  • Werden bei bereits beendeten Gewinnspielen die Gewinner bekannt gegeben?

Was immer wieder auffällt, dass die Seitenbetreiber solcher unseriösen Facebook-Gewinnspiele die Seite erst vor kurzem angelegt haben oder die Seite mit Gewinnspielen nur so überfüllt ist. Des Weiteren sind das Impressum und die Teilnahmebedingungen meist nicht vorhanden, geschweige denn ein Hinweis zur Einhaltung des Datenschutzes. Im Gewinnspiel-Post selbst entfallen die benötigten Informationen ebenfalls.

Hinweis: Diese Checkliste erhebt keinen Anspruch auf Vollständigkeit und führt nicht automatisch zur korrekten Ausführung und Ausgestaltung des Facebook-Gewinnspiels. 

Checkliste für Facebook-Gewinnspiel Teilnehmer – so erkennen Sie die „schwarzen Schafe“

Für die Teilnehmer selbst möchte ich nochmals kurz zusammenfassen, anhand welcher Kriterien ein Gewinnspiel als sog. „Fake“ identifiziert werden kann:

  • Facebook-Seite besteht erst seit kurzem
  • Der blaue Zertifizierungshaken ist nicht gegeben (nicht zwingend notwendig, aber vor allem bei bekannten Firmen z.B. Rewe üblich)
  • Kein Hinweis auf Teilnahmebedingungen oder den Datenschutz
  • Kein Impressum vorhanden
  • Kontaktmöglichkeit zum Verantwortlichen besteht nicht

Besondere Vorsicht ist geboten, wenn ein Link innerhalb des Gewinnspiel Beitrages angepriesen wird und Sie als Teilnehmer dazu aufgefordert werden, auf diesen Link zu klicken und sich ggf. auch noch registrieren zu müssen, um am Gewinnspiel teilzunehmen (Achtung! ggf. Abofalle). Links zu den Teilnahmebedingungen und dem Datenschutz sind natürlich in Ordnung.

Zusammenfassung

Die sozialen Medien, besonders Facebook werden gerne als Marketing-Kanäle genutzt. Mit einem Gewinnspiel auf Facebook kann man nicht nur Aufmerksamkeit auf das Unternehmen ziehen sondern auch noch Stammkunden oder potentielle Kunden mit einem Produkt belohnen. Grundsätzlich ist die Veranstaltung von Gewinnspielen auch auf den sozialen Medien erlaubt, sofern die oben genannten Punkte des Veranstalters beachtet werden.

Ich wünsche Ihnen nun viel Erfolg Ihres Gewinnspiels und den Teilnehmer viel Glück bei der Teilnahme!

Gerne freue ich mich über weitere Anregungen oder Diskussionen in den Kommentaren.

Diesen Beitrag teilen