01

Die Antwort in Kürze

Die Bewertung eines Software- oder Cloud-Anbieters erfordert die Identifizierung der personenbezogenen Daten, die er verarbeiten wird, die Überprüfung, dass er unabhängig von Gerät oder Standort das gleiche Sicherheitsniveau gewährleistet, und die Kontrolle der organisatorischen und technischen Maßnahmen gegen Risiken unbefugten Zugriffs, Veränderung oder Verlust von Daten.

Wenn die Verarbeitung ein hohes Risiko für die betroffenen Personen mit sich bringt, muss außerdem geprüft werden, ob eine Datenschutz-Folgenabschätzung (DPIA) erforderlich ist.

02

Warum die Bewertung bei den Daten beginnt

Personenbezogene Daten umfassen jede Information, die eine Person direkt oder indirekt identifiziert: Name, Identifikationsnummern wie Kundencodes oder Personalnummern, E-Mail-Adressen, Standortdaten, Browsing- oder Kaufverlauf, Fotos und Tonaufnahmen.

Bestimmte Datenkategorien werden als besonders (sensibel) angesehen und erfordern einen verstärkten Schutz. Zu wissen, welche Datenarten ein Anbieter verarbeiten wird, ist der erste Schritt, um zu verstehen, welches Sicherheitsniveau zu verlangen ist.

03

Ein fünfstufiger Bewertungsprozess

Schritte

  1. Erfassen, auf welche personenbezogenen Daten der Anbieter zugreifen, sie verarbeiten oder speichern wird, einschließlich etwaiger besonderer Kategorien.
  2. Überprüfen, dass das Sicherheitsniveau unabhängig von Gerät, Netzwerk oder Zugriffsort identisch ist.
  3. Die Risiken unbefugten Zugriffs, Veränderung oder Verlust von Daten sowie deren Quellen, intern und extern, bewerten.
  4. Prüfen, welche Bedrohungen für Ressourcen (Hardware, Software, Kommunikationskanäle) abgedeckt sind und mit welchen bestehenden oder geplanten Maßnahmen.
  5. Feststellen, ob die Verarbeitung eine DPIA erfordert, die für Verarbeitungen mit hohem Risiko für die betroffenen Personen obligatorisch ist.

04

Hypothetisches Beispiel

Ein Unternehmen bewertet einen Cloud-Anbieter zur Verwaltung der Gehaltsabrechnungen der Mitarbeiter. Es erfasst die betroffenen Daten (Namen, Personalnummern, E-Mail-Adressen) und fragt den Anbieter, wie er die unbefugte Offenlegung von Gehaltsabrechnungen verhindert, ein unter typischen Beispielen genanntes Vertraulichkeitsrisiko.

Es fragt außerdem, ob der Anbieter die Schwere und Wahrscheinlichkeit der festgestellten Risiken einschätzt und ob er regelmäßige Sicherheitsprüfungen mit entsprechendem Aktionsplan durchführt.

05

Zu prüfende Punkte vor der Unterschrift

  • Schult der Anbieter das Personal regelmäßig zu Datenschutzrisiken?
  • Gibt es eine verbindliche interne Datenschutzrichtlinie?
  • Ist der Datenschutz von der Gestaltung an und standardmäßig integriert?
  • Sind die verarbeiteten Daten auf das Notwendige beschränkt (Minimierung)?
  • Sind automatische Sitzungssperrung, Firewalls, aktuelle Antivirenprogramme und Backups vorhanden?

06

Was ein Unternehmen mit Unterstützung eines Softwarepartners einrichten kann

  • Ein Anbieterregister mit den von jedem Anbieter verarbeiteten Arten personenbezogener Daten, aktuell gehalten.
  • Ein Tabellenblatt oder Werkzeug zum Risikomanagement mit materiellen und menschlichen Risiken, die mit jedem Anbieter verbunden sind.
  • Klare Rollen dafür, wer die Sicherheitsmaßnahmen der Anbieter regelmäßig überprüft und wer neue Verträge genehmigt.
  • Regelmäßige Erinnerungen zur Erneuerung der Anbieterbewertung und zur Überprüfung, dass geplante Maßnahmen umgesetzt werden.
  • Für die betroffenen Datenverantwortlichen zugängliche Dokumentation, in klarer Sprache für jede Nutzerkategorie verfasst.

07

Häufige Fragen zur Anbieterbewertung

  • Die Verantwortung für die Datensicherheit bleibt beim Unternehmen, auch wenn der Anbieter eine Infrastruktur verwaltet, über die es keine physische oder rechtliche Kontrolle hat.
  • Eine DPIA ist obligatorisch, wenn die Verarbeitung ein hohes Risiko für die betroffenen Personen mit sich bringen kann, und muss die geplanten Maßnahmen zur Bewältigung der festgestellten Risiken angeben.
  • Eine regelmäßige Sicherheitsprüfung sollte zu einem Aktionsplan führen, dessen Umsetzung auf höchster Ebene der Organisation überwacht wird.

08

Nächster Schritt

Füllen Sie vor der Unterschrift eines Vertrags mit einem neuen Software- oder Cloud-Anbieter die hier dargestellte Datenerfassung und die Checkliste der Sicherheitsmaßnahmen aus und bewahren Sie diese als Teil Ihrer internen Anbieterdokumentation auf.

FAQ

Häufig gestellte Fragen

Wer bleibt für die Datensicherheit verantwortlich, wenn der Anbieter die Infrastruktur verwaltet?

Das Unternehmen bleibt für die Sicherheit seiner personenbezogenen Daten verantwortlich, auch wenn diese auf Systemen gespeichert sind, über die es keine direkte physische oder rechtliche Kontrolle hat, für die es aber Zugriff autorisiert hat.

Wann ist eine DPIA für einen Software- oder Cloud-Anbieter erforderlich?

Eine Datenschutz-Folgenabschätzung ist für jede Verarbeitung obligatorisch, die ein hohes Risiko für die betroffenen Personen mit sich bringen kann, und muss die geplanten Maßnahmen zur Bewältigung der festgestellten Risiken beschreiben.

Welche Hauptrisiken sind bei der Bewertung eines Anbieters zu berücksichtigen?

Die Hauptrisiken betreffen unbefugten Zugriff auf Daten (Vertraulichkeit), unbefugte Veränderung (Integrität) und Verlust von Daten oder des Zugriffs darauf (Verfügbarkeit), zusammen mit den zugehörigen menschlichen und nicht-menschlichen Quellen.

✓

Quellen und Prüfung