Datenschutz in einem KMU: So organisieren Sie ihn im Arbeitsalltag

01

Die kurze Antwort

Ein KMU organisiert den Datenschutz, indem es organisatorische Maßnahmen (interne Richtlinien, Schulungen, Dokumentenklassifizierung) mit technischen Maßnahmen (Authentifizierung, Verschlüsselung, Antivirus, Backups) kombiniert und bei jeder neuen Verarbeitung Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen anwendet.

02

Warum das notwendig ist

Datenschutzverletzungen können finanzielle Verluste, Bußgelder und einen Rückgang des Kundenvertrauens verursachen und könnten eine Meldung an die nationale Aufsichtsbehörde oder an die betroffenen Personen erforderlich machen. Der Arbeitgeber bleibt für die Sicherheit personenbezogener Daten verantwortlich, auch wenn Mitarbeiter private Geräte (BYOD) für den Zugriff auf das Unternehmensnetzwerk nutzen, da das von der DSGVO geforderte Sicherheitsniveau unabhängig von der verwendeten Ausstattung dasselbe ist.

03

Der praktische Arbeitsablauf

Schritte

1. Erfassen Sie materielle und menschliche Risiken in Bezug auf Server, Computer und Räumlichkeiten in einem regelmäßig aktualisierten Register.
2. Schulen Sie die Datenverantwortlichen zu Datenschutzrisiken und den ergriffenen Maßnahmen mit regelmäßigen Sensibilisierungssitzungen.
3. Definieren Sie eine verbindliche interne Richtlinie, die die Regeln zum Datenschutz und zur Sicherheit beschreibt.
4. Wenden Sie Datenschutz durch Technikgestaltung an und beschränken Sie die verarbeiteten Daten auf das für den Zweck Notwendige.
5. Sichern Sie Arbeitsplätze, Kommunikationskanäle, Papierdokumente und Räumlichkeiten mit geeigneten technischen Maßnahmen.

04

Hypothetisches Beispiel

Hypothetisches Beispiel: Eine Buchhandlung möchte Bücher online verkaufen und erstellt ein Bestellformular. Wenn sie Geburtsdatum, Telefonnummer und Adresse für jeden Kauf zur Pflicht macht, verarbeitet sie mehr Daten als notwendig: Für ein direkt herunterladbares eBook sind diese Felder nicht erforderlich. Durch die Anwendung von Datenschutz durch Technikgestaltung würde die Buchhandlung die Pflichtfelder auf das tatsächlich für die Lieferung des gekauften Produkts Erforderliche beschränken.

05

Zu prüfende organisatorische und technische Kontrollen

• Automatische Sitzungssperre, Firewall und aktuelle Antivirensoftware auf den Arbeitsplätzen.
• Eine mit Mitarbeitern und anderen Datenverantwortlichen unterzeichnete Vertraulichkeitsvereinbarung oder -klausel.
• Speicherung der Daten auf Netzwerkspeicher mit regelmäßiger Sicherung, nicht nur auf den Arbeitsplätzen.
• Regelmäßig überprüfte Zugriffsberechtigungen, die entfernt werden, wenn sie nicht mehr benötigt werden.
• Eine eigene Sicherheitsrichtlinie für Telearbeit und den Schutz privater Geräte (BYOD).

06

Was ein Unternehmen mit Softwareunterstützung konfigurieren kann

Ein Unternehmen kann seinen Softwarepartner beauftragen, nachzuverfolgen, wer Zugriff auf welche Daten hat, mit eindeutigen Kennungen pro Benutzer und einem Protokoll der erteilten und entzogenen Berechtigungen. Es ist sinnvoll, unterschiedliche Rollen für diejenigen vorzusehen, die den Datenzugriff verwalten, überprüfen und genehmigen, sowie einen dokumentierten regelmäßigen Überprüfungsprozess, um nicht mehr benötigte Berechtigungen zu entfernen, im Einklang mit den im EDSA-Leitfaden beschriebenen Risikomanagementpraktiken.

07

Operatives Rezept in 4 Schritten

Schritte

1. Weisen Sie jedem Benutzer eine eindeutige Kennung zu und verlangen Sie eine Authentifizierung für den Systemzugriff.
2. Dokumentieren Sie die Betriebsverfahren in klarer Sprache, angepasst an jede Kategorie von Datenverantwortlichen.
3. Klassifizieren Sie sensible Dokumente und kennzeichnen Sie diejenigen deutlich, die besondere Datenkategorien enthalten.
4. Überprüfen Sie regelmäßig das Risikoregister und aktualisieren Sie die Maßnahmen, wenn sich die Verarbeitung ändert.

08

Nächster Schritt

Beginnen Sie mit der Erstellung eines einfachen Risikoregisters für die Systeme und Räumlichkeiten Ihres Unternehmens und planen Sie dann die erste Sensibilisierungssitzung für die Datenverantwortlichen.