Themen
Tipp des Monats
Machen Sie in nur zehn Minuten den IT-Sicherheitscheck von Deutschland sicher im Netz. Der Test liefert Handlungsempfehlungen, mit denen Sie die eigene IT-Sicherheitslage verbessern können.
Newsletter
Um neue Beiträge regelmäßig zu erhalten, können Sie hier unseren Newsletter abonnieren:
EU-Datenschutzgrundverordnung praxisgerecht umsetzen
Mit den kostenlosen VdS-Richtlinien 10010 und dem DsiN Datenschutz-Navigator
Ab dem 25. Mai 2018 sollte die EU-Datenschutzgrundverordnung (DSGVO) einen europaweit einheitlichen Standard im Datenschutz schaffen. Sie regelt die Verarbeitung personenbezogener Daten durch Unternehmen und Behörden. Die Auswirkungen der umfassenden Verordnung auf Organisation und IT besonders von kleinen und mittleren Unternehmen (KMU) sind äußerst tiefgreifend – gerade viele kleinere Betriebe sind noch nicht auf die in Kürze geltende Rechtslage vorbereitet. Dies ist riskant, da die Regelungen der DSGVO bis zum 25. Mai vollständig umgesetzt sein müssen und bei Zuwiderhandlung drastische Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Vorjahresumsatzes drohen.
Neuerungen gegenüber der jetzigen Rechtslage
Die bedeutsamste Veränderung zur bisherigen Rechtslage ist die sogenannte Rechenschaftspflicht der verantwortlichen Stelle. Jede personenbezogene Daten verarbeitende Behörde und Firma, auch jeder Ein-Mann-Betrieb, muss jederzeit und vollständig nachweisen können, dass sie sämtliche Vorgaben der DSGVO einhält.
Dies können Unternehmen nur auf eine Art leisten: Durch das Einrichten eines Datenschutzmanagementsystems. Das ist ein Führungssystem, kein technisches Hilfsmittel – es kann allerdings durch ein solches unterstützt werden. Nötig wird zum 25. Mai ein Regelrahmenwerk mit klar definierten Leit- und Richtlinien, Prozessen, Rollen und Verantwortlichkeiten sowie Kontrollen. Dazu kommen die üblichen Anforderungen an prüffähige Dokumentationen und klare Kommunikationsregeln.
Hier bietet VdS konkrete Unterstützung: In eine verständliche Sprache übersetzt wird der umfassende DSGVO-Umsetzungsprozess durch die kompakten Richtlinien VdS 10010. Viele unserer Partner betonen, dieser Managementsystem-Ansatz macht die EU-Forderungen gerade für kleinere Betriebe und Behörden überhaupt erst anwendbar.
Zertifizierungsfähiges Managementsystem zur DSGVO auf 32 Seiten – kostenlos verfügbar
Die neue VdS-Publikation zeigt einen Weg auf, die rechtlichen, organisatorischen und technischen Anforderungen der DSGVO so strukturiert wie möglich umzusetzen – und mit überschaubarem Aufwand. Die Richtlinien VdS 10010 beschreiben ein auditierungs- und zertifizierungsfähiges Datenschutzmanagementsystem, präzise zugeschnitten vor allem auf kleine und mittelständische Unternehmen. Auch für größere Unternehmen können die Richtlinien eine wichtige Hilfe sein, wenn deren Strukturen eher mittelständisch geprägt sind, also z.B. flache Strukturen aufweisen.
Die Publikation orientiert sich an den prämierten Richtlinien VdS 3473 zur Cyber-Security, ebenso wie bei diesen wird Wert auf eine klare und eindeutige Sprache geleegt. So sind zwingend benötigte Anforderungen immer mit großgeschriebenem „MUSS“ formuliert. Mit „SOLLTE“ gekennzeichnete Punkte sind Empfehlungen, die jedoch für eine Zertifizierung nicht relevant sind.
Regelungsinhalte
Die Richtlinien VdS 10010 präzisieren auf 32 Seiten alle notwendigen technischen, organisatorischen und personellen Anforderungen zur Erfüllung der DSGVO. Sie geben klar definierte Rollen und Verantwortlichkeiten vor und adressieren auch die Geschäftsführung – denn Datenschutz ist keinesfalls ein reines IT-Thema, sondern Chefsache.
Konkret heißt das:
Wenn für das Unternehmen die Pflicht zur Bestellung eines Datenschutzbeauftragten (DSB) besteht, so kommt diesem eine zentrale Rolle zu. Er unterrichtet und berät Management sowie Kollegen hinsichtlich der geltenden Datenschutzvorschriften und überwacht ihre Einhaltung, ist Ansprechpartner für Mitarbeiter, betroffene Personen sowie auch Aufsichtsbehörden.
Neben dem DSB sehen die VdS 10010 die Rolle des Datenschutzmanagers (DSM) vor. Dieser initiiert, plant, steuert die Implementierung eines Datenschutzmanagementsystems und setzt dieses um. Ist ein DSB nicht bestellt, so kommt dem Datenschutzmanager die Rolle des zentralen Ansprechpartners in Sachen Datenschutz zu.
Dem DSM zur Seite steht das sogenannte Datenschutzteam (DST). Dieses Gremium, das neben dem/der Vertreter/in der Topmanagements mindestens aus DSB (sofern vorhanden), DSM, ISB, IT-Verantwortlichen und Vertretern von Mitarbeitern besteht, unterstützt den DSM bei der Erfüllung seiner Aufgaben und ist für die Erstellung der Datenschutzrichtlinien verantwortlich. Sinnvoll kann auch die Teilnahme von Vertretern der Abteilungen Compliance, Recht, Personal, Finanzen, Vertrieb und anderen operativen Einheiten sein.
Durch die Zusammensetzung dieses Gremiums wird erreicht, dass möglichst viele Interessen im Unternehmen berücksichtigt werden und letztlich die im Unternehmen von Änderungen Betroffenen zu Beteiligten werden. So belegen fast 25 Jahre VdS-Erfahrung mit Managementsystemen: Verstehen Mitarbeiter das Veränderungsziel und haben vor allem den Eindruck, dass sie wirklich mitwirken können, dann agieren sie meist proaktiv. Sie stehen hinter geplanten Veränderungen. Und werden zu werbenden Multiplikatoren, was die Akzeptanz für den nötigen Datenschutz im Unternehmen noch weiter erhöht.
Zentrales Dokument der VdS 10010: Leitlinie zum Datenschutz
Das zentrale Dokument ist die Leitlinie zum Datenschutz. Hier bekennt und verpflichtet sich das Topmanagement zum Datenschutz, zudem werden die Ziele und der Stellwert des Datenschutzes im Unternehmen definiert sowie die Konsequenzen der Nichtbeachtung definiert. Die Leitlinie wird unterstützt und ergänzt von Richtlinien zum Datenschutz. Was in diesen Richtlinien behandelt wird, kann je nach Unternehmen verschieden sein. Sie müssen jedoch die Grundsätze der Datenverarbeitung nach DSGVO regeln: Rechtmäßigkeit, Zweckbindung, Treu und Glauben, Verhältnismäßigkeit, Transparenz, Datenminimierung, Richtigkeit, Speicherbegrenzung, Vertraulichkeit, Verfügbarkeit und Integrität sowie Nachweisbarkeit. Daneben muss ein Informationssicherheitsmanagement mit dem Scope „personenbezogene Daten“ bestehen. Des Weiteren fordern die Richtlinien 10010 Verfahren, um die von der DSGVO geforderten Prozesse unter anderem für die Wahrung von Betroffenenrechten, die Sensibilisierung von Mitarbeitern, das Erstellen und Pflegen des Verarbeitungsverzeichnisses, das Vertragsmanagement insbesondere bei Auftragsverarbeitung, die Durchführung der Risikoanalyse und Datenschutzfolgeschätzung sicherzustellen.
Zusätzliche Unterstützungsleistungen
Unternehmen, die bereits über ein Datenschutzmanagementsystem verfügen, können dieses mit den Richtlinien abgleichen und ggf. anpassen. Sofern grundlegende Prozesse bereits gegeben sind, könnte ein Unternehmen zeitnah die Zertifizierung seines Datenschutzmanagementsystems erreichen, die VdS unterstützend anbietet.
Wird, vielleicht gerade bei kleineren Firmen, unterstützende Fachkunde benötigt, so empfiehlt sich die Einbeziehung qualifizierter Dienstleister. Ein entsprechendes Verfahren für die VdS-Anerkennung von Datenschutzmanagementsystem-Beratern wurde vor kurzem etabliert. Bald werden die ersten speziell hierfür von VdS ausgebildeten und zertifizierten Experten Unternehmen bei Bedarf unterstützen können. Zudem hat VdS maßgeschneiderte Bildungsangebote zum Thema konzipiert.
Die VdS-Richtlinien 10010 bündeln die DGSVO-Forderungen auf 32 Seiten. Das zertifizierungsfähige Managementsystem steht kostenfrei auf vds.de/datenschutz zur Verfügung.
NEU für KMU: Der DsiN Datenschutz-Navigator
Mit dem kostenlosen DsiN Datenschutz-Navigator können Mittelständler und Behörden nach 26 kompakten Fragen ihren individuellen Umsetzungsstatus bestimmen und erhalten auch, wo nötig, direkt erste Optimierungshilfen. Ein umfangreicher PDF-Bericht dient Teilnehmern als Orientierungsvorlage für Nachbesserungen. .
Der neue DsiN Datenschutz-Navigator wird am 29.10.2018 präsentiert. Die VdS Schadenverhütung freut sich, Deutschland sicher im Netz mit unserem Know-how zu unterstützen, KMU bei der Umsetzung der Anforderungen aus der DSGVO zu unterstützen. https://www.datenschutz-navigator.org/
Markus Edel, VdS Schadenverhütung GmbH
Markus Edel studierte Produktionstechnik in Köln und ist Leiter des Bereichs Cyber-Security bei VdS, Europas größtem Institut für Sicherheit und 100%ige Tochter des Gesamtverbandes der Deutschen Versicherungswirtschaft (GDV).
Für DATEV sind Datenschutz und Datensicherheit seit Gründung des Unternehmens zentrale Elemente in der Geschäftspolitik. Daher engagiert sich DATEV mit dem Blog für mehr IT-Sicherheit im Mittelstand.
Neueste Kommentare