Datenschutz im Unternehmen: Wie ein KMU tägliche Kontrollen organisiert

01

Datenschutz ist tägliche Arbeit, kein einmaliges Projekt

Ein KMU organisiert den Schutz personenbezogener Daten durch die Kombination organisatorischer und technischer Maßnahmen, die konsequent im Tagesgeschäft angewendet werden. Der EDSA-Leitfaden für Kleinunternehmen weist darauf hin, dass Hardware, Software, Kommunikationskanäle, Papierdokumente und Räumlichkeiten geschützt werden müssen und dass das Vertrauen in die Zuverlässigkeit der Informationssysteme eine zentrale Frage ist, die durch die DSGVO verbindlich wurde.

02

Warum ein rollenbasierter Ansatz nötig ist

Der Arbeitgeber bleibt für die Sicherheit personenbezogener Daten verantwortlich, auch wenn diese auf privaten Geräten (BYOD) verarbeitet werden, über die er keine physische Kontrolle hat, sofern er den Zugriff auf die IT-Ressourcen des Unternehmens genehmigt hat. Das von der DSGVO verlangte Sicherheitsniveau muss unabhängig von der verwendeten Ausstattung gleich sein, was es erforderlich macht, klare Rollen und Verantwortlichkeiten für die Datenverarbeiter festzulegen.

03

Ein Arbeitsablauf in fünf Schritten

Schritte

1. Eine verbindliche interne Richtlinie mit Datenschutz- und Sicherheitsregeln festlegen.
2. Die Datenverarbeiter regelmäßig für Risiken und getroffene Maßnahmen sensibilisieren.
3. Datenschutz durch Technikgestaltung anwenden und die verarbeiteten Daten auf das Notwendige beschränken.
4. Eindeutige Kennungen, Authentifizierung und Berechtigungen verwalten, mit regelmäßiger Überprüfung der Zugriffe.
5. Betriebsverfahren dokumentieren und für die Datenverarbeiter aktuell und zugänglich halten.

04

Ein hypothetischer Fall: das Online-Bestellformular

Hypothetisches Beispiel nach dem EDSA-Leitfaden: Eine Buchhandlung, die Bücher online verkauft, macht alle Felder eines Bestellformulars obligatorisch, einschließlich Geburtsdatum, Telefonnummer und Adresse. Durch die Anwendung des Datenschutzes durch Voreinstellung sollte der Inhaber die Felder auf das für den Zweck Notwendige beschränken, zum Beispiel indem er für ein direkt herunterladbares E-Book keine Adresse verlangt.

05

Regelmäßig zu prüfende Kontrollen

• Veraltete Zugriffsberechtigungen wurden entfernt und regelmäßig überprüft.
• Automatische Sitzungssperre, Firewalls und Antivirenprogramme sind auf jedem Arbeitsplatz aktuell.
• Dokumente mit sensiblen Daten tragen einen sichtbaren, ausdrücklichen Hinweis.
• Es besteht eine unterzeichnete Vertraulichkeitsvereinbarung oder -klausel mit Mitarbeitenden und Partnern.
• Ein Risikomanagementblatt wurde erstellt und wird regelmäßig aktualisiert.

06

Was ein Unternehmen mit Unterstützung seines Softwarepartners konfigurieren kann

Ein Unternehmen kann seinen Softwareanbieter bitten, unterschiedliche Rollen für Datenverarbeiter, die Nachverfolgbarkeit erteilter und entzogener Berechtigungen sowie regelmäßige Erinnerungen zu Sicherheitsschulungen zu unterstützen. Dies sind vorgeschlagene betriebliche Entscheidungen, keine garantierten Funktionen: Sie sollten gemeinsam mit dem Anbieter je nach Art, Kontext und Umfang der vorgesehenen Verarbeitung festgelegt werden.

07

Häufig gestellte Fragen

Die folgenden Antworten erläutern nur, was bereits im Artikel angegeben ist, ohne neue Informationen einzuführen.

08

Praktischer nächster Schritt

Schritte

1. Die verbindliche interne Richtlinie zum Datenschutz und zur Sicherheit erstellen oder aktualisieren.
2. Eine Sensibilisierungssitzung mit den Datenverarbeitern innerhalb des nächsten Quartals planen.
3. Mit dem eigenen Softwareanbieter prüfen, welche Rollen und Berechtigungen konfiguriert werden können.