Bewertung von Software- und Cloud-Anbietern: ein verständliches Glossar zu personenbezogenen Daten

01

Was bedeutet es, einen Anbieter aus der Perspektive personenbezogener Daten zu bewerten

Wenn ein Unternehmen einem Software- oder Cloud-Anbieter Daten anvertraut, muss es zunächst verstehen, was personenbezogene Daten sind: jede Information, die es ermöglicht, eine Person direkt oder indirekt zu identifizieren, wie Name, E-Mail, Kundennummer oder Browserverlauf (citation-0). Einen Anbieter zu bewerten bedeutet zu prüfen, ob er Integrität, Verfügbarkeit und Vertraulichkeit dieser Daten schützt, die drei Elemente, auf denen Sicherheit gemäß dem EDSA-Leitfaden beruht (citation-2).

02

Warum das Risiko vor der Auswahl bewertet werden muss

• Unbefugter Zugriff auf personenbezogene Daten stellt eine Verletzung der Vertraulichkeit dar, zum Beispiel die Offenlegung von Gehaltsabrechnungen (citation-2).
• Unbefugte Änderung der Daten ist eine Verletzung der Integrität, wie die Änderung von Zugriffsprotokollen (citation-2).
• Der Verlust des Zugriffs auf Daten ist eine Verletzung der Verfügbarkeit, zum Beispiel nicht erreichbare Dokumentation (citation-2).
• Wenn die Verarbeitung ein hohes Risiko für Personen mit sich bringt, verlangt die DSGVO eine Folgenabschätzung, die DSFA (citation-3).

03

Der praktische Ablauf zur Bewertung eines Anbieters

Schritte

1. Ermitteln, welche personenbezogenen Daten an den Anbieter weitergegeben werden und warum sie verarbeitet werden (citation-0).
2. Risikoquellen identifizieren, menschlich und nicht-menschlich, intern und extern zum Anbieter (citation-2).
3. Bestehende oder geplante Maßnahmen prüfen: Zugangskontrolle, Backups, Rückverfolgbarkeit, Verschlüsselung (citation-3).
4. Schweregrad und Wahrscheinlichkeit jedes Risikos auf einer gemeinsamen Skala einschätzen (citation-3).
5. Regelmäßige Kontrollen mit einem auf höchster Organisationsebene überwachten Aktionsplan planen (citation-3).

04

Ein hypothetischer Fall: Auswahl eines Cloud-Anbieters für die Kundendatenbank

Annahme: Ein kleines Unternehmen möchte einem Cloud-Anbieter seine Kundendatenbank anvertrauen, mit Namen, E-Mails und Kaufverlauf — Daten, die eine direkte oder indirekte Identifizierung von Personen ermöglichen (citation-0). Vor der Unterzeichnung listet das Unternehmen die möglichen Risikoquellen auf, von einem externen Systemadministrator bis zu einem nicht gezielten Cyberangriff, und prüft, ob der Anbieter die bereits geplanten Maßnahmen zur Risikominderung anbietet, wie es der Risikobewertungsprozess verlangt (citation-2, citation-3). Erst nach dieser Prüfung weist es der Entscheidung eine Prioritätsstufe zu.

05

Elemente, die beim Anbieter zu erfragen oder zu prüfen sind

• Regelmäßige Schulung der Datenverantwortlichen zu datenschutzbezogenen Risiken (citation-1).
• Eine verbindliche interne Richtlinie zu Datenschutz und Sicherheit (citation-1).
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (citation-1).
• Datenminimierung: nur das verarbeiten, was angemessen und notwendig ist (citation-1).
• Automatische Sitzungssperre, Firewall, aktualisierte Antivirensoftware und Backups (citation-1).

06

Wie man die Bewertung mit Unterstützung der Verwaltungssoftware organisiert

Ein Unternehmen kann sich dafür entscheiden, gemeinsam mit seinem Softwarepartner ein Anbieterregister einzurichten, das aufführt, welche personenbezogenen Daten zu jedem System fließen, wer für deren Bewertung zuständig ist und wann die letzte Risikoprüfung durchgeführt wurde (citation-3). Dies ist eine vorgeschlagene operative Entscheidung, keine sich aus der Software ergebende Verpflichtung: Das Unternehmen bleibt dafür verantwortlich, Rollen, Rückverfolgbarkeit und Prüfungshäufigkeit gemäß seinem eigenen Risikomanagementplan festzulegen und die Verfahren für jede Kategorie von Datenverantwortlichen klar zu dokumentieren (citation-3, citation-4).

07

Kurze Erläuterungen zum Glossar

• Zu den personenbezogenen Daten gehören auch indirekte Identifikatoren wie eine Kundennummer oder eine Buchungsreferenz (citation-0).
• Die Datensicherheit wird auf drei Achsen bewertet: Vertraulichkeit, Integrität und Verfügbarkeit (citation-2).
• Eine DSFA ist erforderlich, wenn die Verarbeitung ein hohes Risiko für die betroffenen Personen darstellt (citation-3).

08

Der nächste Schritt

Bevor Sie einen Vertrag mit einem Software- oder Cloud-Anbieter unterschreiben, listen Sie die betroffenen personenbezogenen Daten, die Risikoquellen und die bereits geplanten Maßnahmen auf und planen Sie dann eine regelmäßige Kontrolle mit einem überwachten Aktionsplan (citation-3).