Bei der Herstellung der Datenschutzkonformität in einem Unternehmen kommen wir spätestens beim Thema technische und organisatorische Maßnahmen auf das Thema Informationssicherheit zu sprechen.

Und spätestens hier tun sich in den meisten Fällen unterschiedlichste  Abgründe auf. Denn die Rechenschaftspflicht der DSGVO gilt ja auch für den Nachweis der getroffenen Maßnahmen im Bereich Informationssicherheit.

Die Praxis

Erst einmal muss allen erklärt werden, dass es hier ja plötzlich gar nicht mehr nur um die personenbezogenen Daten sondern vielleicht auch die Geschäftsgeheimnisse des Unternehmens geht. Das ist dann manchmal von Vorteil, da aus Unternehmenssicht Geschäftsgeheimnisse doch viel schützenswerter als andere Daten sind?

Naja beim Nachweis wird es dann schwierig. I.d.R. wird bei fast allem Unternehmen sofort auf die IT verwiesen.

Die IT führt dann die im System nach 3 Monaten aufgeführte Pflicht zum Passwortwechsel des 8- stelligen Passwortes auf, dass mindestens aus einem Groß-/Kleinbuchstaben und einem numerischen Zeichen besteht.  Na gut, für wichtige Personen ist diese Zwangswechsel schon mal deaktiviert, weil die sich nicht pausenlos ein neues Passwort ausdenken können.

Natürlich muss sich jeder Benutzer mit Accountnamen und Passwort anmelden. Und der Zugriff ist insbesondere auf Fileservern differenziert. Ok, es gibt auch hier Nutzer, die dürfen auf alles zugreifen. Und darüberhinaus gibt es eine unbekannte Zahl von Systemaccounts mit dem Passwort von vor 5 Jahren, die irgendwo genutzt werden. Und die Admins haben natürlich zwei Accounts, arbeiten aber immer mit dem Sysadmin-Account, weil das viel einfacher ist. Ob man das ein Zugangskonzept nennen und darauf verweisen kann stellen wir in Frage.

Ach ja, die Deaktivierung von Nutzern beim Austritt ist auch geregelt. Aber manchmal erst dann, wenn die Personalabteilung nach zwei Monaten die neue Mitarbeiterliste der IT zur Verfügung gestellt hat.

Und wenn es um vorhandene Richtlinien geht dann wird auch schon mal die in 2006 mit dem Betriebsrat abgeschlossene Betriebsvereinbarung zur privaten Nutzung von Email und Internet ausgepackt. Damals war der Blackberry noch das Statussymbol.

Lange Rede kurzer Sinn, ohne ein sauberes Informationssicherheitskonzept ist vorprogrammiert, dass Datenschutz nicht erreicht werden kann und ein Unternehmen auch sonst einige offene Flanken hat.

Informationssicherheit mit Datenschutz umsetzen

Deswegen lautet meine Empfehlung grundsätzlich: Organisiert auch die Informationssicherheit sofort mit der Umsetzung des Datenschutzes, denn dann spart man Doppelarbeit und reduziert insgesamt die Risiken.

Der erste Schritt ist die Besetzung der Rolle des Informationssicherheitsbeauftragten, anschließend erfolgt die Auswahl einer passenden Norm für das Unternehmen.

Keine Sorge, hier muss nicht immer die ISO 270001 nach Lehrbuch umgesetzt werden. Wichtig ist zu identifizieren, welche Bausteine für das Unternehmen passend sind und wie diese praktikabel eingeführt werden können. Es bieten sich aus unserer Sicht insbesondere die VdS 10000 an (Vorgänge VdS 3473). Auch der BSI Grundschutz ist ganz gut verwendbar, wenn man die Behördensicht etwas verlässt.

Voraussetzung ist aber, dass die IT-Abteilung dieses Thema als ihr Eigenes betrachtet und entsprechenden Aufwand in die ungeliebte Dokumentation von Systemen, Anwendungen, Risiken, etc. im passenden Maße akzeptiert.

Übrigens gibt es in der c‘t 6/2019 einen interessanten Artikel zum Thema „Hacking: Wann haften Admins und Dienstleister“, der die bestehende Gefahr des Nichthandelns aufgreift.

Gerne unterstützen wir Ihr Unternehmen, diese Themen zu erkennen und mit angemessenem Aufwand in eine praktikable Umsetzung zu überführen.

Die Suche nach externen Datenschutzbeauftragten ist aus meiner Erfahrung immer wieder mit einer falschen Erwartungshaltung bzgl. dessen Aufgaben verbunden. Insbesondere kleinere Unternehmen denken häufig, der externen Datenschutzbeauftragte würde die Compliance zur DSGVO herstellen und pflegen.

Der Datenschutzbeauftragte ist Berater

Dabei hat es mit der Einführung der DSGVO eine klare Abgrenzung der Tätigkeiten des Datenschutzbeauftragten gegeben, die z.B. die bisherige Unterstützung im operativen Bereich zur Pflege des Verarbeitungsverzeichnisses nicht mehr enthält. Die nach Artikel 39 DSGVO aufgeführten Aufgaben sind primär beratender und prüfender Natur.

Der Datenschutzbeauftragte behebt daher die von ihm identifizierten Risiken nicht selber, sondern macht Vorschläge für eine Umsetzung. Die Umsetzung obliegt in allen Punkten dem Verantwortlichen d.h. der Unternehmensleitung.

Würde der Datenschutzbeauftragte tatsächlich die von ihm gefundenen Sachverhalte operativ umsetzen, so würde dies im schlimmsten Fall im Widerspruch zu seinem Beratungs- und Prüfauftrag stehen, denn dann würde er sich ja selber prüfen.

Der Datenschutzkoordinator unterstützt die operative Umsetzung

Um das Thema sorgfältig anzugehen ist es daher sehr empfehlenswert, einen internen Datenschutzkoordinator zu benennen. Diese Rolle beinhaltet keine rechtlichen Hoheiten im Sinne der DSGVO oder des BDSG (neu), dient aber allen Mitarbeitern und dem Datenschutzbeauftragten als zentrales und operatives Bindeglied in der Kommunikation.

Diese Datenschutzkoordinator sollte auf der einen Seite alle Themen, die mit Datenschutz zu tun haben bündeln und bei Bedarf den Datenschutzbeauftragten hinzuziehen. Ebenso ist diese Rolle ideal geeignet, um sämtliche Aktivitäten des Unternehmens im Rahmen der Rechenschaftspflicht zu dokumentieren. Im Gegenzug kann diese Rolle dazu genutzt werden, operative Tätigkeiten, die sich aus einer Analyse und Beratung des Datenschutzbeauftragten ergeben umzusetzen.

Die Erfahrung zeigt, dass eine Umsetzung des Datenschutzes in einem Unternehmen deutlich besser funktioniert, wenn es neben einem externen Datenschutzbeauftragten mindestens auch einen internen Datenschutzkoordinator gibt.

Viele Unternehmen müssen Daten mit ihren Kunden austauschen. Dazu gehören natürlich auch personenbezogene Daten. Je kleiner das Unternehmen ist, umso pragmatischer aber auch unsicherer fällt die Lösung aus. Dabei bietet die Verschlüsselung von Daten eine einfache Lösungsmöglichkeit.

Aus meiner Erfahrung werden die meisten Daten per Email ohne weiteren Schutz versendet. Ist dann eine durch den Server vorgegebene Email-Größe von 5 MB überschritten, wird auf ungeschützte USB-Sticks zurückgegriffen. Diese werden in manchen Fällen sogar per Post über einen günstigen Postdienst an den Empfänger versendet. Die praktizierten Lösungen sind vielfältig, in den meisten Fällen aber weder sicher noch datenschutzkonform. Dabei wird auch nicht zwischen dem Schutz personenbezogener Daten oder dem Schutz von Unternehmensdaten / Geschäftsgeheimnissen unterschieden.

Aufgrund der größer werdenden Datenmengen sind die mobilen Datenträger nach wie eine präferierte Lösung. Aber auch Clouddienste haben einen immer größere werdende Bedeutung beim Datenaustausch. So sind die öffentlichen Ordner von Dropbox in diversen Firmen eine parktizierte Lösung, obwohl die meisten Dropbox-Accounts gar nicht der Firma gehören.

Vermeiden sollte man grundsätzlich den ungeschützten Versand per Email oder die Bereitstellung von Daten über Cloudservices ohne separate Verschlüsselung.

Anbei eine kleine Auflistung von Möglichkeiten, um Daten möglichst sicher und damit auch datenschutzkonform austauschen zu können: