01
Der Ausgangspunkt: zuerst das Verzeichnis, dann die Kontrollen
Wenn ein KMU den Datenschutz von Grund auf aufbauen muss, lohnt es sich, mit einem Verzeichnis der Verarbeitungstätigkeiten zu beginnen, das Zweck, Datenkategorien und Empfänger jeder Tätigkeit aufführt, und erst danach organisatorische Maßnahmen (Schulung, interne Richtlinien, Informationsklassifizierung) und technische Maßnahmen (Authentifizierung, Verschlüsselung, Backups, Zugangsbeschränkung) hinzuzufügen. Das erforderliche Sicherheitsniveau bleibt unabhängig vom verwendeten Gerät gleich, einschließlich privater Geräte, die für den Zugriff auf das Unternehmensnetzwerk autorisiert sind.
02
Warum beim Verzeichnis beginnen, nicht bei einer Werkzeugliste
Das Verzeichnis bietet einen Überblick über die Tätigkeiten, die personenbezogene Daten verarbeiten, und liegt in der Verantwortung der Leitung der Organisation; es muss der Datenschutzbehörde des EWR-Landes, in dem die Organisation tätig ist, auf Anfrage zur Verfügung stehen. Es zuerst aufzubauen hilft zu klären, welche Risiken wirklich abzudecken sind: von einem einzelnen Vorfall, der Verfügbarkeit, Integrität oder Vertraulichkeit der Daten betrifft, bis zur vollständigen Kompromittierung des Informationssystems durch Eindringen oder Schadsoftware.
03
Die Abfolge zum Start des Verzeichnisses und der verknüpften Kontrollen
Schritte
- Jede Tätigkeit, die personenbezogene Daten verarbeitet, im Verzeichnis aufführen und dabei Zweck, Datenkategorien und Empfänger mit Zugriff angeben, etwa Gehaltsabrechnung oder Ausweisverwaltung.
- Wo möglich die Aufbewahrungsfrist und eine allgemeine Beschreibung der bereits bestehenden Sicherheitsmaßnahmen für jede Tätigkeit vermerken.
- Eine verbindliche interne Richtlinie definieren, die Datenschutz- und Sicherheitsregeln beschreibt, integriert in interne Vorschriften.
- Zugangsberechtigungen mit eindeutigen Kennungen, Authentifizierung und regelmäßiger Überprüfung der Berechtigungen verwalten.
- Datenverantwortliche schulen und Geräte, einschließlich autorisierter privater Geräte, durch Verschlüsselung, Backups und aktualisierte Antivirenprogramme schützen.
04
Hypothetisches Beispiel: ein kleines Buchhaltungsbüro
Ein hypothetisches Büro, das die Gehaltsabrechnung für einige Kunden übernimmt, könnte beginnen, diese Tätigkeit mit Zweck, verarbeiteten Datenkategorien und Zugriffsberechtigten zu erfassen. Prüft ein Mitarbeiter die Daten über sein eigenes privates Notebook, kann das Büro die gleiche vom EDSA vorgeschlagene Logik anwenden: Zugriff nur mit dedizierter Authentifizierung autorisieren und Daten auf dem Gerät verschlüsseln, um das gleiche Schutzniveau wie bei Unternehmenscomputern zu gewährleisten.
05
Checkliste zur Prüfung, ob das Verzeichnis einsatzbereit ist
- Ist jede Tätigkeit, die personenbezogene Daten verarbeitet, mit Zweck und Datenkategorien im Verzeichnis aufgeführt?
- Sind die Empfänger mit Zugriff auf jede Tätigkeit korrekt angegeben?
- Ist die Aufbewahrungsfrist, wo möglich, für jede Tätigkeit vermerkt?
- Gibt es eine verbindliche interne Richtlinie, die allen Datenverantwortlichen bekannt ist?
- Werden veraltete Zugangsberechtigungen entfernt und aktive regelmäßig überprüft?
06
Was eine Verwaltungssoftware unterstützen kann
Ein Softwarepartner kann helfen, die vom Verzeichnis geforderten Informationen zu strukturieren: Liste der Verarbeitungstätigkeiten, Zweck, Datenkategorien, interne Empfänger und etwaige Aufbewahrungsfristen. Dabei handelt es sich um operative Entscheidungen, die das Unternehmen zusammen mit seinem Anbieter konfigurieren kann, nicht um rechtliche Automatismen: definierte Zugriffsrollen, Nachverfolgbarkeit von Berechtigungsänderungen und ein regelmäßiger Überprüfungspunkt bleiben organisatorische Entscheidungen der Geschäftsleitung.
07
Häufig gestellte Fragen
Wer muss das Verzeichnis der Verarbeitungstätigkeiten führen? Die Verantwortung liegt bei der Leitung der Organisation, und das Verzeichnis muss der Datenschutzbehörde des EWR-Landes, in dem die Organisation tätig ist, auf Anfrage zur Verfügung stehen.
Sollten private Geräte der Mitarbeiter wie Unternehmensgeräte geschützt werden? Ja: Das Sicherheitsniveau der verarbeiteten personenbezogenen Daten muss unabhängig vom verwendeten Gerät gleich sein, einschließlich autorisierter BYOD-Geräte.
Müssen gelegentliche Tätigkeiten immer erfasst werden? Organisationen mit weniger als 250 Personen müssen rein gelegentliche Tätigkeiten nicht unbedingt erfassen, wie Daten, die für einmalige Veranstaltungen verarbeitet werden.
08
Praktischer nächster Schritt
Wählen Sie eine einzelne Geschäftstätigkeit, die personenbezogene Daten verarbeitet, fügen Sie sie dem Verzeichnis der Verarbeitungstätigkeiten hinzu und prüfen Sie, wer heute tatsächlich Zugriff darauf hat, bevor Sie zur nächsten übergehen.
FAQ
Häufig gestellte Fragen
Wer ist für die Sicherheit von Daten verantwortlich, die auf privaten Geräten der Mitarbeiter gespeichert sind?
Der Arbeitgeber bleibt für die Sicherheit der Unternehmensdaten verantwortlich, auch wenn diese sich auf privaten Geräten befinden, sofern er den Zugriff auf IT-Ressourcen autorisiert hat.
Welche Mindestinformationen muss das Verzeichnis der Verarbeitungstätigkeiten enthalten?
Zweck der Verarbeitung, Datenkategorien, Empfänger mit Zugriff, etwaige Übermittlungen außerhalb des EWR, Aufbewahrungsfrist wo möglich und Sicherheitsmaßnahmen.
Welche Art von organisatorischen Maßnahmen hilft konkret, Risiken zu reduzieren?
Regelmäßige Schulung der Datenverantwortlichen, eine verbindliche interne Richtlinie, Klassifizierung vertraulicher Informationen und ein regelmäßig aktualisiertes Risikomanagementblatt.
✓