Welche praktischen Kontrollen helfen einem KMU beim Umgang mit personenbezogenen Daten

01

Die Antwort in Kürze

Ein KMU kann personenbezogene Daten solide verwalten, indem es drei Elemente kombiniert: ein Verzeichnis von Verarbeitungstätigkeiten, organisatorische Maßnahmen wie Schulung und interne Richtlinien sowie technische Maßnahmen wie Authentifizierung, Verschlüsselung und Backups. Das Verzeichnis beschreibt Zweck, Datenkategorien, Empfänger und Speicherdauer jeder Verarbeitung und liegt in der Verantwortung des Verantwortlichen der Organisation.

02

Warum strukturierte Kontrolle nötig ist

Personenbezogene Daten sind alle Informationen, die eine Person identifizieren, direkt (Vor- und Nachname) oder indirekt (Kundencode, Buchungsreferenz). Eine Verletzung kann finanziellen Verlust, Bußgelder und einen Rückgang des Kundenvertrauens verursachen, weshalb präventive Cyber-Sicherheit unerlässlich ist.

03

Der operative Weg

Schritte

1. Aktivitäten identifizieren, die die Verarbeitung personenbezogener Daten beinhalten, wie Einstellungen, Lohnabrechnung oder Badge-Verwaltung.
2. Das Verzeichnis mit Zweck, Datenkategorien, Empfängern und Speicherdauer ausfüllen.
3. Eine verbindliche interne Richtlinie zu Datenschutz und Sicherheit definieren.
4. Datenverantwortliche regelmäßig zu Datenschutzrisiken und Verfahren schulen.
5. Technische Maßnahmen umsetzen: Authentifizierung, Verschlüsselung, Backups, regelmäßige Überprüfung der Berechtigungen.

04

Hypothetisches Beispiel

Hypothetisches Beispiel: Ein kleines Unternehmen, das Lohnabrechnungen verwaltet, erfasst in seinem Verzeichnis der Verarbeitungstätigkeiten Nachname, Vorname, Geburtsdatum und Gehalt der Mitarbeiter und gibt die Personalabteilung als Empfänger an. Für Mitarbeiter, die persönliche Geräte (BYOD) zum Zugriff auf das Netzwerk nutzen, wendet das Unternehmen Datenverschlüsselung an und verlangt Authentifizierung, wobei das gleiche Sicherheitsniveau unabhängig vom verwendeten Gerät beibehalten wird.

05

Zu prüfende technische und organisatorische Kontrollen

• Eine eindeutige Kennung bereitstellen und Authentifizierung für den Systemzugang verlangen.
• Berechtigungen mit getrennten Profilen und komplexen Passwörtern verwalten, mit regelmäßiger Überprüfung.
• Daten verschlüsseln oder pseudonymisieren, um die Wiedererkennung von Personen zu begrenzen.
• Vertraulichkeitsvereinbarungen mit Mitarbeitern unterschreiben und USB-Speichermedien einschränken.
• Schulungs- und Sensibilisierungssitzungen zur Sicherheit mit regelmäßigen Erinnerungen durchführen.

06

Wie diese Arbeit mit einer Verwaltungssoftware strukturiert wird

Ein Unternehmen kann seinen Softwarepartner bitten, ein digitales Verzeichnis von Verarbeitungstätigkeiten einzurichten, das Zweck, Datenkategorien und Empfänger für jeden Prozess erfasst, mit getrennten Rollen für diejenigen, die Einträge vornehmen, und diejenigen, die sie überprüfen. Es ist sinnvoll, eine regelmäßige Überprüfung der Zugriffsberechtigungen und einen nachvollziehbaren Schulungsablauf für Datenverantwortliche vorzusehen, um Nachweise über die ergriffenen organisatorischen Maßnahmen zu führen.

07

Praktische häufig gestellte Fragen

Wer ist für das Verzeichnis der Verarbeitungstätigkeiten verantwortlich? Das Verzeichnis liegt in der Verantwortung des Verantwortlichen der Organisation und muss der zuständigen Datenschutzbehörde auf Anfrage zur Verfügung gestellt werden.

Müssen kleine Organisationen alles erfassen? Organisationen mit weniger als 250 Mitarbeitern müssen rein gelegentliche Aktivitäten nicht in ihrem Verzeichnis erwähnen, wie Daten, die für eine einmalige Veranstaltung verarbeitet werden.

08

Nächster Schritt

Beginnen Sie mit der Kartierung der Verarbeitungstätigkeiten Ihres KMU, ausgehend von den kritischsten Aktivitäten wie Lohnabrechnung und Kundenverwaltung, und erstellen Sie das Verzeichnis zusammen mit der ersten Liste der zu prüfenden technischen Kontrollen.