Telearbeitsplatz und Datenschutz

In verschiedenen Unternehmen arbeiten Mitarbeiter Zuhause und erledigen dort die gleichen Tätigkeiten, die Sie sonst im Büro erledigen würden.

Dabei spielt eine wesentliche Rolle, ob es sich um einen offiziellen Telearbeitsplatz bzw. Heimarbeitsplatz handelt oder die ungeregelte Möglichkeit Arbeiten im „Homeoffice“ durch die Nutzung mobiler Zugänge zu erledigen (mobiles Arbeiten).

Warum ist das so entscheidend?

Im Falle einer Regelung in Firm eines ständigen Telearbeitsplatzes gelten für diesen Arbeitsplatz automatisch alle Regeln wie für den Arbeitsplatz beim Arbeitgeber. Der Telearbeitsplatz wird i.d.R. vertraglich fest geregelt und beinhaltet dann auch häufig die Bereitstellung der Kommunikationsinfrastruktur (z.B. DSL-Anschluss, Telefon), der Hard- und Software sowie der Büroausstattung. Gesetzlich ist das alles in der Arbeitsstättenverordnung geregelt und es gelten beispielsweise dann auch die Vorgaben der Bildschirmarbeitsplatzverordnung. Um das Ganze kontrollieren zu können hat der Arbeitgeber das Recht (oder die Pflicht), den Arbeitsplatz zu besuchen und zu kontrollieren.

Gleichzeitig gelten auch alle Regeln des Betriebes für den Datenschutz und die Informationssicherheit am Arbeitsplatz. Sofern es aus den technisch- und organisatorischen Maßnahmen Anforderungen für den Arbeitsplatz im Unternehmen gibt, gelten diese auch für den Heimarbeitsplatz. So müsste möglicherweise der Arbeitsplatz eines Mitarbeiter der HR-Abteilung so gestaltet werden, dass kein Dritter (z.B. Familie) den Raum ohne Zutrittsberechtigung betreten kann.  Der Raum müsste bei Verlassen grundsätzlich abgeschlossen sein und dürfte nicht zusätzlich privat genutzt werden.

Das Ganze wird spätestens dann unangenehm, wenn ein Unternehmen als Auftragsverarbeiter für ein anderes Unternehmen tätig ist. Im Rahmen eines Auftragsverarbeitungsvertrages kann der Auftraggeber nämlich fordern, die technischen und organisatorischen Maßnahmen zu überprüfen. In diesem Fall könnte auch eine Prüfung bei dem Mitarbeiter mit Telearbeitsplatz möglich sein. Spätestens bei solchen Vereinbarungen sollten Sie als Unternehmen vorsichtig sein, ob Sie diese vertraglichen Verpflichtungen eingehen wollen und können.

Erst beraten lassen, dann Verpflichtungen eingehen!

Aus diesem kurzen Beispiel kann leicht abgeleitet werden, dass die Einrichtung eines festen Telearbeitsplatzes auch unter Gesichtspunkten des Datenschutzes eine Menge Anforderungen mit sich bringen kann, die insbesondere den Mitarbeiter vor einige Herausforderungen stellen könnte. Daher sollte so ein Service genau durchdacht und insbesondere durch eine saubere Aufklärung der Mitarbeiter sowie eine fundierten Vertragsgestaltung sowohl mit dem Mitarbeiter als auch einem Auftraggeber (AV-Vertrag) unterlegt werden.

Datenschutz durch Verschlüsselung

Viele Unternehmen müssen Daten mit ihren Kunden austauschen. Dazu gehören natürlich auch personenbezogene Daten. Je kleiner das Unternehmen ist, umso pragmatischer aber auch unsicherer fällt die Lösung aus. Dabei bietet die Verschlüsselung von Daten eine einfache Lösungsmöglichkeit.

Aus meiner Erfahrung werden die meisten Daten per Email ohne weiteren Schutz versendet. Ist dann eine durch den Server vorgegebene Email-Größe von 5 MB überschritten, wird auf ungeschützte USB-Sticks zurückgegriffen. Diese werden in manchen Fällen sogar per Post über einen günstigen Postdienst an den Empfänger versendet. Die praktizierten Lösungen sind vielfältig, in den meisten Fällen aber weder sicher noch datenschutzkonform. Dabei wird auch nicht zwischen dem Schutz personenbezogener Daten oder dem Schutz von Unternehmensdaten / Geschäftsgeheimnissen unterschieden.

Aufgrund der größer werdenden Datenmengen sind die mobilen Datenträger nach wie eine präferierte Lösung. Aber auch Clouddienste haben einen immer größere werdende Bedeutung beim Datenaustausch. So sind die öffentlichen Ordner von Dropbox in diversen Firmen eine parktizierte Lösung, obwohl die meisten Dropbox-Accounts gar nicht der Firma gehören.

Vermeiden sollte man grundsätzlich den ungeschützten Versand per Email oder die Bereitstellung von Daten über Cloudservices ohne separate Verschlüsselung.

Anbei eine kleine Auflistung von Möglichkeiten, um Daten möglichst sicher und damit auch datenschutzkonform austauschen zu können:

 

MediumVerschlüsselung (Option)
EMailVerschlüsselung der E-Mail durch S/MIME
Verschlüsselung der E-Mail durch PGP
Verpacken der Daten in einem verschlüsselten Archiv mit Dateinamenverschlüsselung (z.B. durch 7Zip)
Mobiler Datenträger (z.B. USB, externe HD)Nutzung einer Hardwareverschlüsselung (gibt es z.B. als Festplatten oder USB-Sticks)
Erstellen verschlüsselter Datenträger z.B. mit Veracrypt
Erstellen verschlüsselter Container z.B. mit Veracrypt
Verschlüsselung mit der MS Windows BitLocker
Cloud-LaufwerkeErstellung verschlüsselter Container z.B. mit Veracrypt
Verschlüsselung von Datenbereichen z.B. mit Boxcryptor
Bereitstellung eines eigenen Cloud-Servers mit Authentifizierung (und Verschlüsselung) zum Laden von Daten (z.B. mit NAS-Systemen von QNap oder Synology möglich).

 

Wann muss ein Datenschutzbeauftragter benannt werden?

In jedem Unternehmen ist zu klären, ob ein ein Datenschutzbeauftragter (DSB) benannt  werden muss. Dies ist übrigens kein einmaliger Prüfvorgang, sondern die Feststellung sollte zyklisch durchgeführt werden, da sich die Rahmenbedingungen ändern können.

Nach Artikel 37 DSGVO und §38 BDSG (neu) für nichtöffentliche Stellen ist in folgenden Fällen ein Datenschutzbeauftragter zu benennen:

  1. Es werden in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt
  1. Es werden Verarbeitungsvorgänge durchgeführt, die eine umfangreiche regelmäßige und systematische Überwachung von Personen erforderlich machen.
  1. Es werden umfangreiche Verarbeitungen von besonderer Kategorien von Daten gemäß Artikel 9 DSGVO oder von strafrechtlichen Verurteilungen und Straftaten gemäße Artikel 10 vorgenommen.
  1. Es werden Verarbeitungen vorgenommen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO unterliegen.
  1. Es werden personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder der Meinungsforschung verarbeitet.

I.d.R. ist die Anzahl der Personen, die regelmäßig personenbezogene Daten verarbeiten eines der wesentlichen Kriterien für die Bestimmung eineder DSB-Pflicht. Dabei sollte nicht außer acht gelassen werden, dass alle Personen mit Personalverantwortung hierzu gezählt werden müssen, wie Vertrieb, IT, Marketing udn i.d.R. die Administration.

Ein interessanter Diskussionspunkt ist die Frage, ob die Verarbeitung von Krankmeldungen, die zu den besonderen Kategorien von personenbezogene Daten gehören die Pflicht zur Berufung eines DSB automatisch beinhalten. Ich teile diese Einschätzung noch nicht, da die Verarbeitung ja nicht ständig und umfangreich erfolgen. Außerdem müsste dann jeder, der mindestens einen Mitarbeiter hat einen DSB bestellen. Hier ist abzuwarten, wo die Aufsichtsbehörden die Grenze ziehen bzw. diese Daten betrachten.

Wer braucht ein DSGVO Verarbeitungsverzeichnis?

Viele kleinere Unternehmen fragen sich, brauche ich eigentlich ein Verarbeitungsverzeichnis. Kann ein Unternehmen möglicherweise auch mit Hinweis auf Artikel 30 DSGVO darauf verzichten?

Ich sage hier ganz klar: Nein, jedes Unternehmen braucht das.

Gründe für ein Verarbeitungsverzeichnis

In Artikel 30 DSGVO ist der Inhalt und die Pflicht zum Führen des Verzeichnisses beschrieben. Wer bis zum Absatz 5 liest stellt fest, dass dort der Satz steht „Die in den Absätzen 1 und 2 genannten Pflichten gelten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, …“. Hieraus leitet manch einer ab, dass damit die Pflicht  zum Führen eines Verarbeitungsverzeichnisses für ihn nicht gelte.

Ich empfehle dringend, weiterzulesen. Es folgen nun Ausnahmen von der Ausnahme:

es sei denn

  • die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen,
  • die Verarbeitung erfolgt nicht nur gelegentlich
  • oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikel 10

Spätestens hier wird klar, dass schon der erste Punkt auf den überwiegenden Teil der in einem Unternehmen vorliegenden Verarbeitungen zutreffen kann. In den meisten Unternehmen findet ebenfalls eine regelmäßige Verarbeitung statt.  Denkt bitte als erstes immer an die Verarbeitung von Personaldaten, für die beide Punkte zutreffen.

Es gibt aber noch einen weiteren Grund, warum das Führen eines „Verzeichnisses von Verarbeitungen“ (Verarbeitungsverzeichnis) notwendig ist:

Woher soll ein Unternehmen wissen, welche Schutzmaßnahmen ergriffen werden sollen, wenn es nicht weiß, wo und wie welche Daten verarbeitet werden.

Hier verweise ich insbesondere auf die Artikel 5, Abs. 1 und 2, in dem sowohl die Gewährleistung einer angemessener Sicherheit der Verarbeitung personenbezogener Daten, sowie der in Artikel 2 Absatz 5 vermerkten „Rechenschaftspflicht“ bzgl. der getroffenen Maßnahmen zu erfüllen sind. Ohne Verarbeitungsverzeichnis als Startpunkt ist das nur schwer möglich.

Daher empfehle ich grundsätzlich, dieses Verarbeitungsverzeichnis sehr früh anzulegen, um auf dieser Basis viele weitere Schritte zu planen oder auch die TOMs abzustimmen.

Was ist ein Datenschutzmanagementsystem?

Im Rahmen der DSGVO-Einführung taucht immer wieder der Begriff eines Datenschutzmanagementsystems auf. Einige Kunden haben dabei das Gefühl, es handele sich um eine Software, andere nicken nur und sagen „Das kenn ich.“ Den meisten versuche ich das aber zu erklären, denn neu ist so etwas nicht.

Ach ja, interessant wird es schon, wenn man die vielen Schreibvarianten dieses Wortes betrachtet:

  • Datenschutzmanagement-System
  • Datenschutz-Managementsystem
  • Datenschutzmanagementsystem

Hinzu kommen die Abkürzungsvarianten. Bei meiner Recherche in den Tiefen der deutschen Rechtschreibung bin ich dann zu dem Schluß gekommen, dass es sich um eine Aneinanderreihung von zwei Hauptwörtern handelt (Datenschutz und Managementsystem), die lt. Duden immer zusammengeschrieben werden. OK, ich hoffe das stimmt. Um das Ganze zu vereinfachen und zu verkürzen benutze ich für das Wort Datenschutzmanagementsystem häufig auch die Abkürzung DSMS (damit bin ich fein raus).

Was ist ein Managementsystem

Im Kern ist ein Managementsystem die Beschreibung einer Vorgehensweise, deren Messung und Verbesserung zur Erreichung eines i.d.R. unternehmerischen Ziels. Bekannt sind sicher die Systeme ISO 9001 (Qualitätsmanagement) oder ISO 27001 (Informationssicherheit). Im Kern zeichnet diese Systeme dadurch folgende Bestandteile aus:

  • Organsationsbschreibung
  • Richtlinien
  • Verfahren
  • Metriken (zur Messung)
  • Dokumentationspflichten
  • und häufig auch Verbesserungsverfahren bestehen, wobei sich diese fast immer auf einen Deming Cycle (oder auch PDCA-Cycle) beziehen.

Das Managemtsystem ist sozugaben Ihr Steuercockpit, mit dem Sie den Datenschutz zu Ihrem Ziel fliegen.

Wo steht, dass man das für die DSGVO braucht

In der DSGVO steht nicht explizit, dass ein Managementsystem einzuführen ist, aber die DSGVO deutet diesen Bedarf klar an.

Unter Artikel 5 Abs. 2 steht, dass der Verantwortliche die Einhaltung der Kernpflichten der DSGVO (Artikel 5, Abs. 1 ) nachweisen muss. (Rechenschaftspflicht). Wie soll das funktionieren, wenn hier nichts dokumentiert wird. Desweiteren fordert die DSGVO die Etablierung von Prozessen, z.B. zur Information von Aufsichtsbehörden (Artikel 33) oder auch zur Datenschutzfolgenabschätzung (Artikel 35). Es versteht sich von selbst, dass auch die Betroffenenrechte unter Abschnitt 2 der DeSGVO damit gemeint sind.

Und darüber hinaus  fordert die DSGVO unter Artikel 5, Absatz 1 f) geeignete technische und organisatorische Maßnahmen. Insbesondere diese lassen sich am Besten über Richtlinien definieren und verpflichtend umsetzen. Ebenfalls sind mit dem Verantwortlichen (i.d.R. die Geschäftsführung), dem Datenschutzbeauftragten sowie der Aufsichtsbehörde nicht nur Rollen, sondern auch deren Aufgaben spezifiziert und damit klare organisatorische Festlegungen.

Damit ist der Kern eines Managementsystems bereits als Anspruch definiert, so dass es Sinn macht, dieses auch so zu bezeichnen und hierzu Erfahrungen anderer Systeme zu verwenden.

Was braucht man für ein Datenschutzmanagementsystem?

Ich empfehle, grunsätzlich folgende Inforationen zu dokumentieren:

  • Datenschutzorganisation (wer spielt mit und macht hier was = Rollendefinition)
  • Datenschutzrichtlinien (bisher auch Datenschutzhandbuch für Mitarbeiter, in denen Verhaltensweisen und Sanktionen festgelegt sind)
  • Prozesse zum Datenschutz (dazu gehören die internen Prozesse zur Kanalisierung der Anfragen an die verantwortlichen Rollen) sowie die in der DSGVO spezifizierten Pflichten wie Auskunft,-Änderungensrechte, Informationfplichten, Übertragungsrechte, etc.)

Bzgl. der Messbarkeit empfehle ich

  • eine Datenklassifikation für alle Daten zu etablieren,
  • eine Risikoabschätzung für die Daten zu implementieren,
  • die Zahl der Anfragen, Berabeitungen, etc.

als wesentliche KPIs zu verwenden. Und bzgl. Dokumentation sollten alle Anfragen zu diesen Themen systematisch erfasst und abgelegt werden. Dazu gehören die kontinuierliche Verbesserung von Dokumenten,  eine Versionshistorie in Dokumenten sowie Meetings mit Protokollen. Gehen Sie immer davon aus, dass ein Dritter nachlesen möchte, was der Status ist und  wie Sie das erreicht haben.

Und da die Informationssicherheit, auf die in der DSGVO immer wieder verwiesen bzw. deren Schutzziele Teil der DSGVO Schutzziele sind, empfiehlt sich mal einen Blick in ein solches Managementsystem zu werfen.  Hier bietet sich z.B. eine kleine Norm wie die VdS3473 an, die man direkt mit implemntieren kann. Damit kann man dann auch Datenklassifikation und Risikoabschätzung für beides nutzen.

Bzgl. kontinuierlicher Verbesserung kann man sich an die Verfahren einer ISO 9001 Norm anschließen oder man beschreibt das Ganze selber. Dazu muss man zyklisch Meetings vorsehen, in denen über den Status (siehe auch Messbarkeit) berichtet und Maßnahmen abgeleitet weden. Natürlich alles dokumentiert und gemonitored.

Datenschutzfallen bei Kooperationen mit Fitnessstudios

Es ist gängige Praxis, dass Firmen zur Motivation der Mitarbeiter Kooperationen mit anderen Firmen eingehen. Damit verbunden sind dann Leistungen, die der Mitarbeiter günstiger, gesponsert oder sogar komplett umsonst wahrnehmen kann.

Eine populäre Kooperation ist z.B. die Zusammenarbeit mit einem Fitness- oder Gesundheitsstudio.

Dabei wird i.d.R. zwischen dem Unternehmen und dem Fitnessstudio ein Vertrag über die Nutzung von Kursen oder Geräten im Studio geschlossen und die finanziellen Konditionen für die Mitarbeiter geregelt.

Meist steht dann in einem solchen Vertrag, dass das Unternehmen die Daten aller Mitarbeiter übermittelt. In manchen Verträgen ist sogar festgelegt, dass der Austritt von Mitarbeitern an das Studio gemeldet werden muss.

Vorsicht Fallen

Und hier liegt schon das erste Problem: Diese Übermittlung ist auf Basis eines solchen geschlossenen Vertrages gar nicht zulässig.

Eine Übermittlung ist nur zulässig, wenn der Mitarbeiter für diesen Fall seine Zustimmung erteilt hat. Da diese Dinge selten in Arbeitsverträgen zu finden sind, kann man auch nicht so ohne weiteres auf diese verweisen.

Darüber hinaus würden auch Mitarbeiter gemeldet werden, die den Service gar nicht nutzen werden, d.h. es existiert in diesen Fällen gar keine Zweckbindung für die Datenübermittlung.

Theoretisch dürften die Daten nur übermittelt werden, wenn jeder Einzelne seine schriftliche Zustimmung erteilt hat. In dieser Zustimmung müsste auch Zweck genau spezifiziert sein.

Und hier beginnt das nächste Problem, denn viele Fitnessstudios legen auf Basis diese Informationen direkt die Mitarbeiter als Kunden in ihren Systemen an.

Unter dem Gesichtspunkt dass bereits die Weitergabe der Daten im Kontext einer Auftragsdatenverarbeitungsvertrages zu sehen ist, würde das Fitnessstudio nun auf Basis der vom Unternehmen initiierten Datenanlage mit der Erfassung von Gesundheitsdaten (Fitness-Tracker, Gesundheitstest, Trainingsfortschritt, etc.) beginnen. Und plötzlich befindet sich das Ganze im Bereich der Regeln für den Schutz besonders sensibler Daten (§3 Abs. 9 BDSG, Artikel 9 DSGVO).

Im Falle eines Widerspruchs der Einwilligung müsste das Unternehmen darüber hinaus sicherstellen, dass sämtliche Daten in diesem Kontext auch im Fitnessstudio gelöscht würden, was in der Praxis kaum verifizierbar ist.

Außer Betracht lassen wir in diesen Fällen die Beteiligung von Betriebsrat oder den Abschluss von Betriebsvereinbarungen.

Daher sollte ein Unternehmen auf keinen Fall nur die „Gute Tat“ für die Mitarbeiter weollen, sondern in der Abwicklung auf jeden Fall den Schutz der personenbezogenen Daten und das Risiko für das Unternehmen im Auge behalten. Sonst kann das Ganze nach hinten losgehen.

Eine mögliche Lösung

Daher empfehlen wir, im Beispiel für die Fitnessstudio-Kooperation auf folgende Punkte zu achten:

  • Eine Verpflichtung zur Weitergabe von personenbezogenen Daten in einer woe oben beschriebenen allgemeinen Form gehört nicht in einen Kooperationsvertrag.
  • Jeder Mitarbeiter sollte sich selbständig im Fitnessstudio melden und dort die üblichen vertraglichen Regelungen abschließen. Die Daten, die das Fitnessstudio erfasst obliegen somit in der Verantwortung des Fitnessstudios und der vertraglichen Vereinbarung mit dem Kunden.
  • Mit dem Mitarbeiter wird eine Vereinbarung abgeschlossen, dass das Unternehmen dem Fitnessstudio Auskunft darüber geben kann, ob der Mitarbeiter im Unternehmen beschäftigt ist. Somit ist klar geregelt, was zu welchem Zweck weitergegeben wird. Damit kann das Fitnessstudio bei positiver Bestätigung den Mitarbeiter in einen günstigeren Firmentariuf einstufen.

Dieser Fall kann ebenso bei anderen Kooperationen auftreten (z.B. Kantinennutzung, Fahrzeugpool, etc.). Gehen Sie als Unternehmen auf Nummer sicher und lassen vor Vertragsabschluss dessen Inhalte und die operative Umsetzung auf jeden Fall durch einen Datenschutzberater oder -beauftragten prüfen.

Wer setzt die DSGVO im Unternehmen um?

In verschiedenen Gespräche mit Unternehmen habe ich immer wieder folgendes gehört:

Wir haben einen Datenschutzbeauftragten, der kümmert sich um die DSGVO-Compliance

Hier stelle ich mir das Bild eines in einer riesigen Abstellkammer zurückgelassenen Menschen vor, von dem man erwartet, dass er  die Kammer aufräumt und vorher nicht rauskommt.

Die Annahme, dass ein Datenschutzbeauftragter dafür Sorge trägt, dass ein Unternehmen ab 25.5.2018 die Datenschutzgrundverordnung und des BDSG neu erfüllt  ist dabei nicht nur falsch sondern auch risikoreich – für den Unternehmer.

Auf Handlungsbedarf bzgl. DSGVO hinweisen

Zu den Pflichten des Datenschutzbeauftragten gehört primär die Beratung des Unternehmens und insbesondere der GF in Bezug auf die Verarbeitung personenbezogener Daten. Darüber hinaus pflegt er nach dem aktuellen BDSG das Verfahrensverzeichnis auf Basis der ihm zur Verfügung gestellten Informationen, schult Mitarbeiter und prüft neue oder geänderte Verfahren.

Im Zusammenhang mit der DSGVO ist es daher die Pflicht des Datenschutzbeauftragten, die Geschäftsführung über kommende Änderungen zu informieren und Risiken aufzuzeigen, die sich bei einer Nichtbefolgung ergeben können. Hier gilt auch schon meine erste Empfehlung für Datenschutzbeauftragte:

Informiert den Verantwortlichen über die Neuerungen und Risiken durch die DSGVO unbedingt schriftlich.

Die Einführung der DSGVO definiert den Datenschutzbeauftragten zukünftig primär als Berater des Unternehmens oder wer es böswillig ausdrücken möchte, als verlängerter Arm der Aufsichtsbehörden.

Der DSB sollte im Kontext der kommenden Änderungen daher u.a. auf folgendes hinweisen:

  • Gültigkeit und Neueinholung von Einwilligungserklärungen
  • Neue Informationspflichten bei der Kommunikation mit Kunden (u.a. Webseite, Newsletter, etc.)
  • Anpassung von Verpflichtungserklärungen
  • Anpassung von Schulungsunterlagen
  • usw.

Bzgl. Verfahrensverzeichnis entfällt zwar für einige Unternehmen theoretisch die Pflicht zur Führung eines Verfahrensverzeichnisses. Wenn man aber den Datenschutz entsprechend den Forderungen nach einem Datenschutzmanagement sicherstellen möchte, dann sind hierfür genau diese Verfahren wieder die Grundlage evtl. sogar noch umfangreich als vorher.

Also müssen diese Dokumentationen entsprechend dieser Anforderungen angepasst werden. Hierzu sei auf die Vorlagen z.B. des BSI verwiesen.  Wer noch kein Verfahrensverzeichnis hat, sollte das also jetzt auch noch nachholen (nach dem aktuellen BDSG ist der DSB zum Führen verpflichtet, aber nur auf Basis der Informationen, die er zur Verfügung gestellt bekommt).

Projekt zur DSGVO – Compliance empfehlen

Und damit kommen wir zum größten Thema, das der DSB aussprechen sollte:

Die Einführung eines Datenschutzmanagmentsystems mit allen Richlinien und Prozessen, ein kontinuierlicher Verbesserungsprozesses anlehnend an eine ISO 9001 sowie einer Möglichkeit zur Auditierung.

Hier sind eine Vielzahl von Rollen im Kontext einer entsprechenden Datenschutz- und Informationssicherheitsorganisation zu besetzen und einzubinden. Dazu gehören GF, IT-Leitung, Personalleitung, Abteilungen, etc.

Die Verantwortung für diese ganzen Dinge bleiben beim Verantwortlichen einer Firma, d.h. der Geschäftsführung. Ein vorausschauender DSB empfiehlt nun die Initiierung eines Compliance-Projektes zur Erfüllung der DSGVO und des neuen BDSG. Sofern kein Informationssicherheitsmanagement vorliegt, empfielt er gleichzeitig dieses als Orientierung direkt mit einzuführen und die datenschutzrelevanten Teile (Verfahren, etc.) zu ergänzen. Der DSB ist dabei ein Teil des Projektes und unterstützt den Projektverantwortlichen bei der Beschreibung und Definition der notwendigen Maßnahmen (primär Richtlinien und Verfahren).

Das ganze Thema ist aufwendig und die Zeit bis zum 25.5.2018 sehr knapp, aber wer nicht ein Projekt initiiert, läuft in ein hohes Risiko, dass der Datenschutzbeauftragte bereits heute kommunizieren kann.

VdS 3473 als Basis für Datenschutzmanagement nach DSGVO

Neue Anforderungen der DSGVO

Die ab 25.5.2018 geltende Datenschutz Grundverordnung beinhaltet im Vergleich zum BDSG die Pflicht zur Etablierung eines Datenschutzmanagement Systems, welches wie ein internes Kontrollsystem im Unternehmen etabliert werden soll. Die DSGVO erwartet in diesem Zusammenhang auch die Etablierung eines ständigen Verbesserungsprozesses, um erkannte Schwachstellen / Maßnahmen zu dokumentieren und zu optimieren / fortzuführen.

Schließlich wird eine enge Verbindung zur Datensicherheit und den dem Stand der Technik entsprechenden technischen und organisatorischen Maßnahmen hergestellt.

In Zukunft ist der Unternehmer verpflichtet nachzuweisen, dass Maßnahmen getroffen und ständig verbessert werden.

Für KMUs den VdS 3473 Standard wählen

Im Hinblick auf Nachweise der getroffenen Datenschutzmaßnahmen und insbesondere eines Datenschutzmanagementsystems sollte berücksichtigt werden, dass eine Prüfung i.d.R. auf vorhandene Standards referenziert. Da es für das Datenschutzmanagement bis dato keinen ausreichenden Standard gibt sollte ein Standard aus dem Bereich IT-Sicherheit verwendet, und um Datenschutz erweitert werden. Dieser umfasst dann i.d.R. auch das Qualitätsmanagement nach ISO 9001, welches durch den ständigen Verbesserungsprozess abgebildet wird.

Insbesondere für kleine und mittlere Unternehmen bietet sich die VdS 3473 an, die sowohl zertifizierbar als auch aufwärtskompatibel insbesondere zur ISO 27001 ist.

Alternativ kann mit deutlich größerem Aufwand auch der BSI Grundschutz oder die ISO 27001 als Basis verwendet werden.

Es macht anschließend Sinn, die VdS-Richtlinien um die besonderen Anforderungen des Datenschutzes zu erweitern. Dies kann durch gesonderte Kapitel oder auch durch eigene Dokumente erfolgen, auf die dann verwiesen wird.

Weitere VdS 3473 Informationen

Folgende Informationen zur VdS 3473 können weiterhelfen:

Informationen des VdS inkl. Zertifizierung

https://www.vds.de/cyber/zertifizierung-fuer-kmu/

Dokumentation

https://vds.de/fileadmin/vds_publikationen/vds_3473_web.pdf

Quick-Check zur Statusfeststellung

https://www.vds-quick-check.de/

DSGVO Einführung jetzt beginnen

Am 25.5.2018 tritt die neue europäische Datenschutz Grundverordnung DSGVO in Kraft. Bis zu diesem Zeitpunkt haben die Mitgliedsstaaten Zeit, ergänzende Regelungen zu verabschieden.

Was viele nicht wissen:

Die DSGVO löst das aktuelle Bundesdatenschutzgesetz BDSG ab!

Damit werden alle Regelungen und Vereinbarungen (z.B. Einverständniserklärungen, Verschwiegenheitserklärungen der Mitarbeiter, Auftragsdatenverarbeitungsverträge, etc.) möglicherweise ungültig.

Neu ist neben den zukünftig massiv erhöhten Bußgeldern bei Verstößen auch die Einrichtung eines Datenschutzmanagements, welches einem prüfbarem und prozessorientiertem Ansatz eines internen Kontrollsystems entspricht  und einen umfangreichen Aufwand bei der Einrichtung erfordert.

Mit der neuen DSGVO wird auch die Verknüpfung von IT-Sicherheit und Datenschutz hergestellt. Die bisher zu dokumentierenden technischen und organisatorischen Maßnahmen werden wie bei den IT-Sicherheitsnormen behandelt und einer ständigen Verbesserung nach dem Stand der Technik unterworfen. Daher bietet sich  an, einen Blick auf BSI-Grundschutz, ISO 27001 oder VdS 3473 zu werfen.

Die Auskunftspflichten haben Sich in der Form geändert, dass mit der DSGVO deutlich mehr Informationen geliefert werden sollten und insbesondere auf die Widerspruchsrechte des Kunden explizit hingewiesen werden muss. Davon betroffen sind auch die vielen Datenschutzerklärungen auf Webseiten, bei denen in den meisten Fällen eine Anpassung erfolgen muss.

Denken Sie daran, dass Datenschutzverletzungen oder Sicherheitsvorfälle nicht nur ärgerlich für das Unternehemn und die Betroffenen sind, sondern auch erhebliche Reputationsverluste mit sich führen können. Die Sensibilität der Kunden ist in diesem Bereich sehr hoch.

Um darüber hinaus den entstehenden Risiken (Haftung, Abmahnungen) zu entgehen, sollten Sie jetzt mit der Umsetzung der neuen DSGVO beginnen. Dazu empfehlen wir, Ihre existierenden Datenschutz als Startpunkt zu verwenden und die Anpassungen sowie Erweiterungen abzuleiten. Aus unserer Erfahrung dauert eine Ist-Aufnahme eine gewisse Zeit. Und wenn Sie dann noch ein Managementsystem etablieren wollen, welches sich an existierenden Normen wie die ISO 27001 orientieren soll ist der Zeitraum ausgesprochen kurz.

Welche Lösung für Sie die angemessene ist, finden wir in einem Abstimmungsgespräch heraus.

Haben Sie noch keinen Datenschutz umgesetzt, dann wird es höchste Zeit damit zu beginnen und so schnell wie möglich die nowendigen Maßnahmen zur Erfüllung der gesetzlichen Rahmenbedingungen umzusetzen.

Gerne unterstützen wir Sie bei der Identifikation der Risiken und deren Behebung sowie der Etablierung eines Datenschutzmanagements.

Auftragsdatenverarbeitung außerhalb der EU

Die Regelungen für eine Auftragsdatenverarbeitung nach dem BDSG werden hinlänglich praktiziert. Hier sind insbesondere die Verarbeitung der Daten innerhalb der EU durch entsprechende Regelungen abgedeckt. Was aber passiert, wenn ein Dienstleister außerhalb der EU genutzt wird und als Funktionsträger die Daten des Unternehmens verarbeitet? Hierzu zählen beispielsweise Dienste wie Amazon oder Google oder auch das bekannte CRM System Salesforce, die Ihre Daten häufig außerhalb der EU speichern und weiterverarbeiten.

Vor dem Abschluss eine Vertrages zur Auftragsdatenverarbeitung ist zu empfehlen, zuerst die Privacy Policies der Unternehmen zu lesen. Sofern diese Bestandteil eines Vertrages sind oder werden sollen, sind dort bereits Hinweis auf die Verarbeitung der Daten außerhalb der EU zu finden.

Privacy Shield als Nachfolger für Safe Harbour

Explizit für US Unternehmen bestand darüber hinaus ein Abkommen zwischen der EU und den USA, das veraltete Safe Harbour Abkommen. In diesem wurde geregelt, wie der Datenschutz der EU zu erfüllen ist. Unternehmen, die sich dieser Vereinbarung freiwillig unterwerfen wollten, konnten sich diesbezüglich zertifizieren lassen.

Die Entsprechende Liste des US Handelsministeriums kann im Web unter http://safeharbor.export.gov/list.aspx eingesehen werden. Dort können Sie prüfen, ob das zu beauftragende Unternehmen zertifiziert ist und wie lange diese noch Gültig ist.

Am 8.Oktober 2015 wurde  das Safe Harbour Abkommen durch den europäischen Gerichtshof aufgrund unzureichender Vereinbarungen für nichtig erklärt. Damit wurde für viele Vereinabrungen die Rechtsgrundlage entzogen.

Nähere Informationen hierzu finden Sie auf der Webseite des Bundesdatenschutzbeauftragten unter https://www.bfdi.bund.de/DE/Europa_International/International/Artikel/SafeHarbor.html.

Anstelle des Safe Harbour Abkommens wurde 2016 das „Privacy Shield“ Abkommen abgeschlossen, welches die Beanstandungen des bisherigen Abkommens kompensieren soll. Auch hier müssen sich Unternehmen wieder zertifizieren lassen. Neu ist insbesondere, dass die Gültigkeit der Zertifizierung durch das beauftragte Unternehmen jährlich nachgewiesen werden muss.

Die zertifizierten Unternehmen können wiederum auf der Webseite https://www.privacyshield.gov  eingesehen werden.

EU Vertragsbedingungen für Auftragsdatenverarbeitung

Offen bleibt aber, wie ein Vertrag mit einem Unternehmen in einem Drittstaat abgeschlossen werden soll. Hier hat die EU entsprechende Vorlagen bereitgestellt, die sich in jedem Vertrag wieder finden sollten (http://ec.europa.eu/justice/data-protection/international-transfers/transfer/index_en.htm ). Entscheidend ist dabei die Auswahl der richtigen Vorlage.

Leider basieren die Vorlagen noch auf den bisherigen Datenschutzregelungen der EU, die bekanntlich durch die DSGVO Regelungen abgelöst werden. Es ist daher davon auszugehen, dass diese Vertragsregelungen nur noch eine Übergangszeit ihre Gültigkeit behalten und dann durch neu abzuschließende Verträge abgelöst werden müssen.

Auch die Verbindglichkeit des Privacy Shield Abkommens ist noch nicht abschließend geklärt, insbesondere nach dem Regierungswechsel in den USA.

Hohe Komplexität

Insgesamt ist das Thema zum Abschluss eines Vertrages zur Auftragsdatenverarbeitung hoch komplex. Nützliche Hinweise, wie im Einzelfall zu verfahren ist finden sich auf der Webseite des Landesdatenschutzbeauftragten NRW unter https://www.ldi.nrw.de/mainmenu_Datenschutz/submenu_Datenschutzrecht/Inhalt/InternationalerDatenverkehr/index.php oder auf https://www.datenschutz-notizen.de/sind-die-eu-standardvertragsklauseln-noch-wirksam-10-punkte-die-jetzt-beachtet-werden-sollten-0912785/