Datenschutz 5

Technische und organisatorische Maßnahmen

• Die DSGVO fordert von Verantwortlichen und Auftragsverarbeitern geeignete technische und organisatorische Maßnahmen (TOMs), um ein dem Risiko entsprechendes Schutzniveau bei der Verarbeitung von personenbezogenen Daten zu gewährleisten.
• Dies soll unter Berücksichtigung des jeweiligen Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen etabliert werden.
• Die Fähigkeit die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung von personenbezogenen Daten sicherzustellen ist gefordert
• Unternehmen und Behörden müssen ein Risikomanagement etablieren um Schwachstellen und Gefährdungen identifizieren zu können.
• Entsprechende Maßnahmen zur Risikoreduktion sollten nachweislich und dokumentiert durchgeführt werden.
• Maßnahmen müssen die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten von natürlichen Personen berücksichtigen
• Als essenzielle Schutzziele der Informationssicherheit können Vertraulichkeit, Verfügbarkeit und die Integrität der Daten definiert werden.
• Belastbarkeit der Systeme kann als viertes Schutzziel hinzugefügt werden, die auf die Angreifbarkeit von Systemen abzielt (etwa DDOS-Attacken).
• Es bedarf der schriftlichen Festlegung von klaren Regeln im Umgang mit personenbezogenen Daten, damit die Vorgaben der DSGVO eingehalten werden.
• In kleineren Unternehmen können die entsprechenden Vorgaben in einem zentralen Dokument zusammengefasst werden.
• In größeren Unternehmen macht es Sinn, die Richtlinien nach dem „Need-to-know"-Prinzip zielgruppenspezifisch zu gestalten

Aufgaben und Verantwortlichkeiten der Mitarbeiter

• Mitarbeiter müssen nur auf die Informationen zugreifen dürfen, die sie für die Ausübung ihrer Tätigkeit benötigen.
• Technische und organisatorische Maßnahmen sollen Verantwortliche zu Eigenverantwortlichkeit erziehen.
• Technische und organisatorische Maßnahmen bilden ein zentrales Element für den Verantwortlichen.
• Die Implementierungskosten und der Stand der Technik sollen berücksichtigt werden.
• Die Verantwortlichen sind gefordert, dass einerseits die jeweiligen technischen Herausforderungen möglichst sorgfältig umzusetzen und andererseits klare Vorgaben für die Mitarbeiterinnen zu erstellen.
• Zu den technischen und organisatorischen Maßnahmen gehört auch die Sensibilisierung und Schulung von Mitarbeitern.
• Die sichere Nutzung von Browsern, sozialen Netzwerken und Kommunikationsmedien sollte geschult werden.
• Die Klassifizierung von Dokumenten mit personenbezogenen Daten nach der jeweiligen Vertraulichkeitsstufe kann geschult werden
• Die Mitarbeiter sollen über den geeigneten Umgang mit externen Datenträgern vertraut gemacht werden
• Die Verpflichtung, Dokumente vor Verlassen des Arbeitsplatzes zu verstauen und einzuschließen, damit unbefugte Dritte keine Kenntnis über deren Inhalte erhalten geschieht mittels einer „clean desk policy"
• Bei einer aktiven Homeoffice-Vereinbarung verpflichtet der Verantwortliche die Mitarbeiter, ausschließlich durch vom Verantwortlichen bereitgestellte Systeme zu nutzen.
• eine sichere Datenverbindung (Beispiel „virtual private network") wird vom Arbeitgeber gewährleistet.
• Die Nutzung von eigenen Endgeräten sollte über Richtlinien geregelt werden.
• Die Mitarbeiter sollten dahingehend geschult werden, dass sie sichere Passwörter möglichst inklusive Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen verwenden.
• Für jede Anwendung sollte ein eigenes Passwort zur Anwendung kommen.
• Passwörter dürfen nicht weitergegeben werden
• Der Verantwortliche stellt sicher, dass physische Dokumente der Kategorie „vertraulich“ in verschlossenen Aktenordnern verwahrt wieder eingeschlossen werden
• Nicht mehr benötigte Dokumente müssen vor der Entsorgung geschreddert werden.
• Mitarbeiter sollten auch über die Kernaspekte der DSGVO informiert werden wie Definitionen von personenbezogenen/sensiblen Daten oder Awareness im Arbeitsalltag

Weiter Massnahmen

• Es empfiehlt sich, mit Mitarbeitern eine Geheimhaltungsvereinbarung abzuschließen.
• Die Computer der IT-Infrastruktur sollen vor unbefugtem Zugriff und Nutzung geschützt sein.
• Die Speicher von Mobile Devices wie Smartphones und Laptops sollten defaultmäßig verschlüsselt werden.
• Daten auf Smartphones sollten darüber hinaus aus der Ferne gelöscht werden können.
• Der Einsatz einer Device Management-Software, soll die Zugänge zu Apps auf Smartphones zentral steuern können.
• Der Verlust oder Diebstahl eines mobilen IT-Gerätes muss zeitnah gemeldet werden, damit eine Fernlöschung durchgeführt werden kann.
• Mitarbeiter dürfen die Zugangsdaten des lokalen Internetnetzwerkes nicht an Dritte weitergeben
• Für sensible Einsatzzwecke ist eine Zwei-Faktor-Authentifizierung empfehlenswert.
• Sichergestellt werden muss, dass der Zutritt zu Räumlichkeiten nur für berechtigte Personen möglich ist.
• Die IT-Infrastruktur muss vor unberechtigtem Zutritt geschützt sein
• Die Infrastruktur vor Feuer/Wasser muss bewahrt werden
• Backup-/Restore-Maßnahmen wird bis hin zur Wiederherstellung des Betriebes im Notfall empfohlen..
• Firewalls müssen richtig installiert und konfiguriert werden.
• Prozesse zur Auskunft, Löschung und Richtigstellung von Daten muss definiert werden.
• Die Wirksamkeit der Maßnahmen muss gewährleistet werden
• Die Verarbeitung von Daten muss regelmäßig überprüft, bewertet und evaluiert werden.
• Ein Bündel an Maßnahmen zur Gewährleistung von Vertraulichkeit, Integrität und Verfügbarkeit von Daten sind erforderlich
• Maßnahmen zur Gewährleistung der Rechtmäßigkeit der Verarbeitung sind wichtig

Benennung eines Datenschutzbeauftragten

• Es besteht keine allgemeine Pflicht zur Bestellung.
• Datenschutzbeauftragter ist zu benennen, wenn die Verarbeitung von einer Behörde/öffentlichen Stelle durchgeführt wird (mit Ausnahme von Gerichten)
• Datenschutzbeauftragter ist zu benennen, wenn die Kerntätigkeit des Verantwortlichen/Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen und die Überwachung von betroffenen Personen besteht
• Datenschutzbeauftragter wenn die Kerntätigkeit des Verantwortlichen/Auftragsverarbeiters in der umfangreichen Verarbeitung besonders schützenswerter Daten besteht
• Die Kerntätigkeit bezieht sich auf die Haupttätigkeiten des Unternehmens
• Datenverarbeitungsvorgänge, die untrennbar mit der Schlüsseltätigkeit verbunden sind, können ebenfalls zur Kerntätigkeit gezählt werden
• Was als umfangreich zu verstehen ist, wird in der DSGVO nicht näher erläutert; etwa ein Krankenhaus oder ein IT-Dienstleister

Aufgaben und Stellung des Datenschutzbeauftragten

• Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht und der Datenschutzbehörde mitgeteilt werden.
• Ein Datenschutzbeauftragter unterrichtet und berät im Datenschutzrecht
• Er überwacht und überprüft die Einhaltung der Datenschutzvorschriften und Strategien.
• Er führt Beratungen im Zusammenhang mit der Datenschutz-Folgenabschätzung und arbeitet direkt mit der Aufsichtsbehörde zusammen.
• Er muss Fachwissen auf dem Gebiet des Datenschutzrechtes und der Datenschutzpraxis besitzen.
• Er ist ordnungsgemäß und frühzeitig in alle Fragen einzubinden.
• Jeder Unternehmer muss den Datenschutzbeauftragten unterstützen und ihm Ressourcen zur Verfügung stellen.
• Der Datenschutzbeauftragte darf keine Anweisungen bezüglich der Aufgaben erhalten oder benachteiligt werden.
• Er berichtet immer unmittelbar an die höchste Managementebene, kann aber andere Aufgaben übernehmen, sofern kein Interessenkonflikt besteht.

Pflichten des Datenschutzbeauftragten

• Betroffene Personen können mit ihm zu allen mit der Verarbeitung ihrer Daten in Kontakt treten
• Er ist der primäre Ansprechpartner für betroffene Personen
• Datenschutzbeauftragte sind zur Geheimhaltung und Vertraulichkeit verpflichtet.
• Der Datenschutzbeauftragte kann sowohl ein Dienstnehmer als auch ein Selbstständiger sein.
• Ein externer Datenschutzbeauftragter ist zu Beginn seiner Tätigkeit mit dem beauftragenden Unternehmen zwar nicht sehr vertraut, ist aber objektiver.
• Ein interner Datenschutzbeauftragter haftet immer nur eingeschränkt
• Behörden und öffentliche Stellen sind immer dazu verpflichtet, einen Datenschutzbeauftragten zu stellen.
• Es ist nicht zulässig, dass ein Verantwortlicher und Datenschutzbeauftragter ein und dieselbe Person sind.
• Datenschutzbeauftragte werden von Verantwortlichen und Auftragsverarbeitern nominiert
• Haftungsübernahme des externen Datenschutzbeauftragten bietet einen gewissen Vorteil aber diese sind nur lose in die Organisation integriert

Zusammenarbeit mit der Aufsichtsbehörde in Deutschland

• In jedem EU-Mitgliedstaat ist eine Aufsichtsbehörde eingerichtet.
• In Deutschland ist dies die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), wobei zusätzlich in jedem Bundesland eine Landesdatenschutzbehörde existiert.
• Die Behörden sind für die Kontrolle der Einhaltung der Datenschutzvorschriften zuständig
• Es besteht auf Verlangen der Aufsichtsbehörde eine Pflicht zur Zusammenarbeit
• Jedes Unternehmen muss den Nachweis erbringen, dass geeignete Massnahmen eingesetzt werden um die Vorgaben der DSGVO zu erfüllen.
• Auf Anfrage muss der Aufsichtsbehörde auch das Verzeichnis der Verarbeitungstätigkeiten zur Verfügung gestellt werden.
• Datenschutz-Folgeabschätzung muss wenn nötig erfolgen

Risiko-Management

• Durch IT-Systeme und Daten entstehen Risiken.
• Voraussetzung für ein IT-Risiko-Management ist eine Erhebung und Auflistung aller Unternehmenswerte im IT-Bereich.
• Die Werte müssen nach ihrem Schutzbedarf klassifiziert werden
• Es muss festgelegt werden, welche Werte eine hohe bzw. die höchste Priorität haben.
• Bevor Schutzmaßnahmen geplant werden können müssen die möglichen Bedrohungen erfasst und realistisch eingeschätzt werden.
• Das Risikomanagement besteht aus vier Phasen: Risikoidentifikation, Risikobewertung, Risikostrategie und Risikosteuerung.
• Typische Bedrohungen sind unter anderem technische Probleme, wie Hardware-/Netzwerkausfälle, Fehlfunktionen der Software, Störungen der Stromversorgung oder fehlende Klimatisierung

Risikobewertung

• Ungenügende Dokumentation, fehlende Schulungen oder fehlende Richtlinien können organisatorische Mängel verursachen.
• Ein fahrlässiges Benutzerverhalten kann zu Bedienungs-/Wartungsmängel, Nichtbeachtung von Sicherheitsmaßnahmen oder zu fehlendem Sicherheitsbewusstsein führen
• Vorsätzliche Handlungen können zu Computermissbrauch, Datendiebstahl, Verbreitung von Schadsoftware, Social Engineering oder Phishing führen.
• Gefahren durch höhere Gewalt, wie Brand-/Wasserschäden, Blitzschlag oder Sturmschäden
• Für die einzelnen Unternehmenswerte muss eingeschätzt werden, welche dieser Bedrohungen eintreten könnten oder wie wahrscheinlich deren Eintreten ist.
• Durch geeignete Sicherheitsmaßnahmen lassen sich die daraus abgeleiteten Schwachstellen beheben
• Angemessene Maßnahmen müssen geplant und umgesetzt werden
• Maßnahmen müssen auf ihre Wirksamkeit, Zweckmäßigkeit und Aktualität geprüft und gegebenenfalls angepasst.
• Bei neuen Bedrohungen/größeren Änderungen der IT kann eine erneute Risikoanalyse erforderlich sein

Datenschutz-Managementsystems

• Unter einem Datenschutz-Managementsystem wird die Gesamtheit aller dokumentierten und implementierten Regelungen, Prozesse und Maßnahmen verstanden, mit denen der datenschutzkonforme Umgang mit Daten gesteuert kontrolliert werden kann.
• Die Umsetzung eines Systems empfiehlt sich vor allem in größeren Unternehmen.
• Eine System kann in verschiedenen Modellen implementiert werden, das gängigste ist der PDCA-Zyklus („plan“, „do“, „check“ und „act")
• Die Datenschutzkultur sollte ein „Mission Statement" und eine richtungsweisende Strategie enthalten.
• Die Anforderungen der DSGVO können als Chance gesehen werden.
• Die Datenschutzziele sollten sich einerseits auf die Grundsätze der DSGVO beziehen, andererseits aber auch künftige Ziele aufnehmen.
• Der operative Kern besteht in einem Datenschutzprogramm, das eine Datenschutzrichtlinie und weitere Richtlinien enthält.
• Ziel einer Datenschutzrichtlinie ist es, einen verbindlichen Mindeststandard festzulegen.
• Wesentlich ist die Festlegung der Datenschutzorganisation, wobei zum Beispiel geklärt wird, ob ein Datenschutzbeauftragter bestellt wird
• Ein ausgerolltes System sollte stets intern proaktiv kommuniziert werden.

Verstöße gegen das Datenschutzrecht

• Verstöße können straf-, verwaltungs-/zivilrechtliche Folgen haben.
• Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) und die Landesdatenschutzbehörden sind dazu befugt, Geldbußen auch unmittelbar gegenüber Mitgliedern der Geschäftsführung zu verhängen
• Eine Datenschtuzkontolle kann die Geschäftsführung absichern, um nicht persönlich zu belasten
• Ein interner Datenschutzbeauftragter haftet nur dann, wenn er eine Verletzung massiv begünstigt und dabei grob fahrlässig gehandelt hat.
• Der Datenschutzbeauftragte steht also erst dann im Fokus, wenn der Verantwortliche nach einer Schadenersatzleistung eine Rückforderung geltend macht.
• Für einen externen Datenschutzbeauftragten kommt die genannte Haftungsbeschränkung nicht zum Tragen
• Bei einer gemeinsamen Verantwortlichkeit kann im Fall von Schadenersatzansprüchen einer betroffenen Person jeder Verantwortliche für den gesamten Schaden haften
• Im Falle einer rechtswidrigen Datenverarbeitung durch die Hoheitsverwaltung richtet sich der Schadenersatzanspruch gemäß dem Amtshaftungsgesetz gegen den jeweiligen Rechtsträger.

Haftung

• Datenschutzbehörden haben neben einer Verwarnung auch schon bei erstmaligen Verstößen die Möglichkeit, eine Geldbuße zu verhängen.
• Im Falle des Verstoßes darf der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß übersteigen.
• Die Behörde kann nicht nur im Falle einer datenschutzwidrigen Verarbeitung Strafen verhängen, sondern bei nicht rechtzeitiger, falscher oder einer unvollständigen Auskunft kann dies auch geschehen.
• In besonders schwer liegenden Fällen besteht die Möglichkeit, strafrechtlich belangt zu werden
• Die Sanktionen können entweder allein/gemeinsam mit einer Geldbuße verhängt werden.
• Abhilfemaßnahmen sind: Warnung/Verwarnung/Anweisung zur Entsprechung von Anträgen Betroffener
• Eine Anweisung kann zur Anpassung von Verarbeitungsvorgängen erteilt werden
• Datenschutzbehörden können entweder von Amts wegen oder aufgrund einer Beschwerde eines Betroffenen tätig werden
• Strafbescheide der Datenschutzbehörde können mittels Beschwerde angefochten werden
• Mandate können innerhalb von zwei Wochen ab Zustellung angefochten werden.
• Betroffene können Schadenersatzansprüche gerichtlich geltend machen und auch Strafen können gegenüber juristischen und natürlichen Personen verhängt werden.
• Zur Sicherung eines geltend gemachten Anspruchs kann eine einstweilige Verfügung zur Abwendung eines drohenden Schadens verbunden werden.