01
Die kurze Antwort
Ein KMU organisiert den Datenschutz durch die Kombination organisatorischer Maßnahmen (interne Richtlinie, Schulung, Informationsklassifizierung) und technischer Maßnahmen (sichere Arbeitsplätze, automatische Sperrung, Firewall, Antivirus) rund um eine regelmäßige Risikobewertung.
Die DSGVO verlangt das gleiche Sicherheitsniveau unabhängig von der verwendeten Ausstattung, und der Arbeitgeber bleibt verantwortlich, auch für Daten, die auf Geräten verarbeitet werden, die er nicht direkt kontrolliert.
02
Warum es jeden Tag zählt, nicht nur in der Projektphase
Datenschutzverletzungen können finanzielle Verluste, Bußgelder und einen Vertrauensverlust bei Kunden verursachen; deshalb dienen gute Cybersicherheitspraktiken dazu, Vorfälle zu verhindern, bevor sie geschehen, und nicht nur, sie danach zu bewältigen.
Eine Organisation, die Datenschutz durch Technikgestaltung anwendet, berücksichtigt Risiken und Abhilfemaßnahmen vor Beginn jeder Verarbeitung, nicht als nachträgliche Korrektur.
03
Der Ablauf in der Praxis
Schritte
- Eine Risikotabelle erstellen und aktuell halten, die materielle und menschliche Risiken zu Servern, Computern und Räumlichkeiten umfasst.
- Datenverantwortliche mit regelmäßigen Sitzungen sensibilisieren und Verfahren in klarer Sprache für jede Funktion dokumentieren.
- Eine verbindliche interne Richtlinie festlegen, die die Datenschutz- und Sicherheitsregeln beschreibt.
- Informationen nach Stufe klassifizieren und Dokumente und E-Mails mit vertraulichen Daten kennzeichnen.
- Arbeitsplätze mit automatischer Sperrung, Firewall, aktuellem Antivirus und Speicherung mit regelmäßiger Sicherung schützen.
04
Beispiel aus dem EDSA-Leitfaden: die Online-Buchhandlung
Eine Buchhandlung möchte Bücher online verkaufen und erstellt ein Bestellformular mit allen Pflichtfeldern, einschließlich Geburtsdatum, Telefonnummer und Privatadresse. Aber nicht alle Daten sind für den Zweck notwendig: Für ein direkt herunterladbares E-Book ist die Privatadresse nicht erforderlich.
Dies ist das konkrete Beispiel der Minimierung: nur die Daten erheben, die für den tatsächlich angebotenen Dienst relevant und begrenzt notwendig sind.
05
Regelmäßig zu überprüfende Kontrollen
- Jedem Nutzer eine eindeutige Kennung zuweisen und eine Authentifizierung für den Zugriff auf IT-Einrichtungen verlangen.
- Getrennte Berechtigungen je Profil verwalten, mit komplexen Passwörtern und regelmäßiger Überprüfung der Zugänge.
- Veraltete Zugangsberechtigungen unverzüglich entfernen.
- Pseudonymisierung oder Verschlüsselung der Daten und ein dediziertes VPN für Telearbeit bewerten.
- Auch persönliche Geräte (BYOD) schützen, die zur Verbindung mit dem Unternehmensnetzwerk genutzt werden.
06
Was ein Unternehmen in seiner eigenen Verwaltungssoftware einrichten kann
Unabhängig vom gewählten Werkzeug kann ein Unternehmen seinen Softwareanbieter bitten, nachzuverfolgen, wer auf welche Daten Zugriff hat, mit getrennten Profilen nach Rolle und einem Protokoll der Änderungen an Berechtigungen, um die von guten Sicherheitspraktiken geforderte regelmäßige Überprüfung zu unterstützen.
Es ist auch nützlich, interne Verfahren (Klassifizierungsrichtlinie, durchgeführte Schulungen, Überprüfungstermine) zentral dokumentieren zu können, sodass sie für Datenbearbeiter zugänglich sind, ohne sie aus dem Gedächtnis rekonstruieren zu müssen.
07
Häufig gestellte Fragen
Wer sollte in die Sensibilisierung einbezogen werden? Alle Datenverantwortlichen, also jeder, der im täglichen Betrieb personenbezogene Daten verarbeitet, nicht nur der IT-Verantwortliche.
Muss der Schutz für jedes Projekt neu gemacht werden? Datenschutz durch Technikgestaltung sollte vor jeder neuen Verarbeitung berücksichtigt werden, wobei Art, Kontext und spezifische Risiken bewertet werden.
Sind persönliche Geräte von Sicherheitspflichten ausgenommen? Nein: Der Arbeitgeber bleibt für die Datensicherheit verantwortlich, auch auf BYOD-Geräten, die für den Zugriff auf Unternehmensressourcen autorisiert sind.
08
Der nächste praktische Schritt
Beginnen Sie mit der Risikotabelle: Listen Sie Server, Arbeitsplätze und Räumlichkeiten auf, weisen Sie jedem Punkt eine verantwortliche Person zu und legen Sie ein Überprüfungsdatum in drei Monaten fest. Daraus ergeben sich Schulung, interne Richtlinie und technische Maßnahmen.
FAQ
Häufig gestellte Fragen
Wo sollte ein KMU anfangen, wenn noch nichts formalisiert wurde?
Mit der Risikotabelle zu Servern, Computern und Räumlichkeiten: Dies ist die vorgeschlagene praktische Grundlage, um einen klaren Überblick zu erhalten, bevor Richtlinien und Schulungen definiert werden.
Müssen auch private Telefone der Mitarbeitenden geschützt werden?
Ja: Wenn ein Mitarbeiter ein persönliches Gerät nutzt, um sich mit dem Unternehmensnetzwerk zu verbinden, bleibt der Arbeitgeber für die Sicherheit der auf diesem Gerät verarbeiteten Daten verantwortlich.
Was bedeutet die Minimierung der erhobenen Daten konkret?
Es bedeutet, nur die für den spezifischen Zweck notwendigen Informationen zu verlangen, wie im Beispiel der Online-Buchhandlung, wo die Privatadresse für ein herunterladbares E-Book nicht benötigt wird.
✓