01
Die Antwort kurz gefasst
Ein KMU organisiert den Schutz personenbezogener Daten durch die Kombination dokumentierter technischer und organisatorischer Maßnahmen, von der Risikobewertung bis zur Schulung des Personals, das Daten verarbeitet. Die DSGVO verlangt das gleiche Sicherheitsniveau unabhängig von der verwendeten Ausstattung, einschließlich Telearbeit oder privater Geräte (BYOD).
02
Warum die Verantwortung beim Arbeitgeber bleibt
Wenn ein Mitarbeiter private Computer, Tablets oder Smartphones nutzt, um sich mit dem Unternehmensnetzwerk zu verbinden, bleibt der Arbeitgeber für die Sicherheit der verarbeiteten personenbezogenen Daten verantwortlich, auch auf Geräten, die er weder physisch noch rechtlich kontrolliert, für die er aber den Zugriff genehmigt hat. Eine eigene Sicherheitsrichtlinie für Telearbeit hilft, dieses Schutzniveau aufrechtzuerhalten.
03
Der tägliche Arbeitsablauf
Schritte
- Bewerten Sie die Risiken und dokumentieren Sie diese in einer regelmäßig aktualisierten Tabelle, einschließlich materieller und menschlicher Risiken.
- Definieren Sie eine verbindliche interne Richtlinie, die die Regeln zum Datenschutz und zur Sicherheit beschreibt.
- Sichern Sie Räumlichkeiten, Hardware, Software und Kommunikationskanäle mit aktualisierten Firewalls und Antivirenprogrammen.
- Verwalten Sie Berechtigungen mit eindeutigen Kennungen, sicheren Passwörtern und regelmäßiger Überprüfung der Zugriffsrechte.
- Verschlüsseln oder pseudonymisieren Sie sensible Daten und schützen Sie Telearbeit mit einem dedizierten VPN.
04
Ein konkretes Beispiel: Das Bestellformular einer Buchhandlung
Eine Buchhandlung, die online Bücher verkaufen möchte, entwirft ein standardisiertes Bestellformular. Der Inhaber macht alle Felder verpflichtend, einschließlich Geburtsdatum, Telefonnummer und Wohnadresse, doch nicht alle sind notwendig: Ein eBook zum Beispiel kann direkt ohne Lieferadresse herunterladen werden. Datenschutz durch Technikgestaltung anzuwenden bedeutet, die Erhebung auf das für jeden spezifischen Zweck Notwendige zu beschränken.
05
Tägliche Checkliste für Datensicherheit
- Schulen Sie regelmäßig die Datenverantwortlichen zu datenschutzbezogenen Risiken.
- Unterzeichnen Sie Vertraulichkeitsvereinbarungen mit Mitarbeitern und anderen Verarbeitern.
- Stellen Sie automatische Sitzungssperre, Firewall, aktualisierte Antivirensoftware und Backups bereit.
- Beschränken Sie die Nutzung von USB-Geräten und externen Datenträgern auf das Wesentliche.
- Sichern Sie die Räumlichkeiten mit Alarmanlagen, geschützten Schlüsseln und spezifischen Zugangsberechtigungen.
06
Wie man Kontrollen mit einem Softwarepartner einrichtet
Ein KMU kann seinen Softwarepartner bitten, unterschiedliche Rollen für den Zugriff auf personenbezogene Daten, die Nachverfolgbarkeit von Änderungen und regelmäßige Überprüfungen der Berechtigungen einzurichten, sodass die Software dieselben Regeln widerspiegelt, die in der internen Richtlinie festgelegt sind. Diese operative Entscheidung unterstützt den Grundsatz des Datenschutzes durch Technikgestaltung, angewandt auf die alltäglichen Werkzeuge des Unternehmens.
07
Häufig gestellte Fragen
Die häufigsten Fragen zum Datenschutz im Arbeitsalltag sind nachfolgend zusammengestellt.
08
Nächster Schritt
Beginnen Sie mit der Erstellung einer regelmäßig aktualisierten Tabelle zum Risikomanagement und nutzen Sie diese als Grundlage, um Ihre interne Richtlinie und die vorrangigen technischen Maßnahmen festzulegen.
FAQ
Häufig gestellte Fragen
Ändert sich das Sicherheitsniveau, wenn ein Mitarbeiter ein privates Gerät nutzt?
Nein, die DSGVO verlangt das gleiche Sicherheitsniveau für personenbezogene Daten unabhängig von der verwendeten Ausstattung, und der Arbeitgeber bleibt auch für genehmigte BYOD-Geräte verantwortlich.
Was sollte eine interne Datenschutzrichtlinie enthalten?
Sie sollte ein verbindliches Dokument sein, das in die interne Betriebsordnung integriert ist und eine klare Beschreibung der im Unternehmen angewandten Datenschutz- und Sicherheitsregeln enthält.
Wie wird Datenschutz durch Technikgestaltung in der Praxis angewendet?
Es bedeutet, die Datenerhebung auf das für jeden spezifischen Zweck Notwendige zu beschränken, wie im Beispiel der Buchhandlung, die für ein herunterladbares eBook keine Adresse verlangt.
✓