Was hat sich seit Inkrafttreten der DSGVO in Deutschland wirklich geändert?

Auch wenn es zunächst einmal banal klingt, viele Anforderungen des Datenschutzes sind keineswegs so neu, wie es für manche den Anschein hat. Wirklich neu sind vor allem folgende Punkte:

• erweitert und verbessert wurden die Rechte der Bürger auf Auskunft, Berichtigung, Einschränkung der Verarbeitung und Löschung,
• Betroffene haben nun das Recht auf Schadensersatz bei Verstößen gegen die DSGVO,
• die Sensibilität bei Bürgern ist deutlich höher, als noch vor wenigen Jahren,
• erstmals haben die Behörden mit den Bußgeldern und Strafvorschriften ein wirksames Mittel gegen Verstöße im Datenschutz in der Hand.

Nicht ganz so neu

sind dagegen, zumindest für Unternehmen in Deutschland, die Dokumentationspflichten. Die bestanden auch schon vor Inkrafttreten der DSGVO, wurden allerdings in vielen Fällen wirkungsvoll ignoriert. Hier muss gegebenenfalls nachgesteuert werden.

Datenschutz und Datensicherheit gehören zusammen

Ein wesentlicher Aspekt, das zeigen vor allem die Datenpannen der letzten Jahre, sind die zentralen Themen der Datensicherheit. Datenschutz kann ohne Datensicherheit nicht gewährleistet werden. Der Betrieb veralteter Software, schlecht oder gar nicht gewartete Internetauftritte oder menschliche Fehler können sich zu existenzbedrohenden Pannen ausweiten.

Kontinuität schafft Sicherheit

Datenschutz und Datensicherheit sind kein Einwegprojekt, das einmal aufgestellt und dann nie wieder angefasst wird. Unternehmen, die kontinuierlich an ihrer Datenschutz- und Sicherheitskonzeption arbeiten, Mitarbeiter regelmäßig schulen und Hard- und Software auf einem aktuellen Stand halten, sind deutlich weniger gefährdet, als Unternehmen, die ihre Hausaufgaben vernachlässigen. Werden die Aufgaben regelmäßig und kontinuierlich erledigt, bleiben die Kosten im überschaubaren Rahmen.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Überfordert uns der Datenschutz? erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Ein Thema, das in der Praxis allen Datenschutzbeauftragten, egal ob extern oder intern, immer wieder in vielfältiger Weise begegnet.

Neben den grundlegenden Rechtskenntnissen sollten Datenschutzbeauftragte über fundierte Grundlagen im Bereich der Datensicherheit verfügen. Der Blick auf die Gewährleistungsziele des Datenschutzes und der Datensicherheit macht deutlich, dass beide Themen miteinander verwoben, aber nicht identisch sind.

Ohne Datensicherheit ist Datenschutz nicht möglich

Die Gewährleistungsziele der Datensicherheit, Verfügbarkeit, Integrität und Vertraulichkeit, finden sich im Datenschutz wieder. Dort allerdings mit alleinigem Bezug zu personenbezogenen Daten. Gegenstand der Datensicherheit sind Daten allgemein, unabhängig, ob personenbezogen oder nicht. Datenschutz und Datensicherheit überschneiden sich also nur teilweise und können, in Einzelfällen, auch durchaus im Widerspruch zueinander stehen. Umgekehrt gilt aber auch, Mängel im Bereich der Datensicherheit schlagen in aller Regel auch auf den Datenschutz durch. Die aktuell nicht abreißenden Meldungen über Datenpannen im Gesundheitswesen machen dies schlaglichtartig deutlich. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit schlägt deshalb die Ausweitung des Gesetzes zum Schutz kritischer Infrastruktur auf Teile des Gesundheitswesens vor.

Datensicherheit im Standard-Datenschutzmodell der Datenschutzbeauftragten des Bundes und der Länder

In der nun vorliegenden Version des Standard-Datenschutzmodells (SDM) finden Verantwortliche elementare Hinweise zu den Gewährleistungszielen der Verfügbarkeit, Integrität und Vertraulichkeit. Verantwortliche sind gut beraten, die Praxishinweise des SDM im Unternehmen und in Behörden umzusetzen und dies entsprechend zu dokumentieren. Die Umsetzung des SDM kann einen Beitrag zur Verbesserung im Bereich der Datensicherheit leisten.

Insofern ist das SDM Teil eines iterativen Prozesses bestehend aus der rechtlichen Bewertung, der Gestaltung der Verarbeitungsvorgänge sowie der Auswahl und Umsetzung von begleitenden technischen und organisatorischen Maßnahmen. Das SDM bietet mit seinen Gewährleistungszielen eine Transformationshilfe zwischen Recht und Technik und unterstützt damit einen ständigen Dialog zwischen Beteiligten aus dem fachlichen, juristischen und technisch-organisatorischen Bereich. Dieser Prozess läuft während des gesamten Lebenszyklus einer Verarbeitung und kann somit die Forderung der DS-GVO nach regelmäßiger Bewertung und Evaluierung der technischen und organisatorischen Maßnahmen z. B. zur Gewährleistung der Sicherheit der Verarbeitung (Art. 32 Abs. 1 lit. d DS-GVO) unterstützen.

Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz), Das Standard-Datenschutzmodell, Version 2.0

Risiko = Schwere des möglichen Schadens + Eintrittswahrscheinlichkeit

Zwei Variablen bestimmen das mögliche Risiko für den Betroffenen, die Schwere des möglichen Schadens und die Wahrscheinlichkeit des Schadenseintritts. Je schwerer der mögliche Schaden für den Betroffenen wiegt, um so höhere Ansprüche sind an die technischen und organisatorischen Maßnahmen des Datenschutzes zu stellen. Ergibt die Analyse ein hohes Risiko, sollten umgehend Maßnahmen zur Verringerung der Eintrittswahrscheinlichkeit oder zur Minimierung der Verarbeitung, ggf. bis zum Verzicht auf die Verarbeitung, eingeleitet werden.

Mit speziellen Datenschutzaudits unterstützen wir Verantwortliche und interne DSB bei der Erfüllung ihrer Aufgaben.

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Datenschutz und Datensicherheit erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.

Voraussetzungen

Die hier vorgestellte Lösung ist ideal für kleine und mittlere Unternehmen, die etwas für ihre Datensicherheit tun möchten und dabei eine DSGVO-konforme Lösung suchen. Die folgenden Voraussetzungen müssen dabei erfüllt sein:

• es soll ausreichend Speicherplatz zur Verfügung stehen
• mobile Geräte sollen einfach eingebunden werden können
• die Datensynchronisation soll auf Wunsch automatisch erfolgen
• es sollen zusätzliche collaborative Elemente wie Kalender und Aufgabenplaner zur Verfügung stehen
• der Serverstandort sollte in Deutschland oder der EU sein und nicht Drittlandgesetzen, wie beispielsweise dem amerikanischen Cloud Act, unterliegen
• die Lösung soll Gruppen und differenzierte Berechtigungen ermöglichen
• die Nutzung soll anwenderfreundlich gestaltet sein.

Die Mitarbeiter mitnehmen

Damit eine Lösung im Unternehmen funktionieren kann, muss sie Akzeptanz bei den Mitarbeitern finden. Sie muss einfach und intuitiv bedienbar sein und den Arbeitsalltag erleichtern. Werden diese simplen Prinzipien missachtet, ist häufig genug das Wachstum einer Schatten-IT innerhalb des Unternehmens die Folge.

DSGVO-konform und sicher

Damit eine Lösung als DSGVO-konform gelten kann, muss sie die im Standard-Datenschutzmodell der DSK genannten Gewährleistungsziele

• Datenminimierung
• Verfügbarkeit
• Integrität
• Vertraulichkeit
• Nichtverkettung
• Transparenz
• Intervenierbarkeit

unterstützen. Es gibt mittlerweile in der EU Angebote, die den Ansprüchen an eine rechtskonforme Cloudlösung genügen. Die Abrechnung der Lösungen richtet sich in der Regel nach dem verfügbaren Speicherplatz und der Anzahl der Benutzer, die die Cloud nutzen können. Bedauerlicherweise ist bei vielen Angeboten die Zahl der Nutzer begrenzt. Die hier vorgestellte Lösung ist prinzipiell weder bei der Zahl der Nutzer noch der Gruppen begrenzt, kann also mit der Unternehmensorganisation wachsen.

Dedizierter oder virtueller Server?

Der erste Schritt besteht in der Auswahl eines geeigneten dedizierten oder virtuellen Servers. Dabei sollte der erforderliche Speicherplatz eher großzügig kalkuliert werden, denn Umzüge einer solchen Lösung sind nun einmal mit Aufwand verbunden. Für kleinere und mittlere Unternehmen reichen gut ausgestattete virtuelle Server im Preissegment zwischen 10,- und 60,- Euro monatlich durchaus aus, größere Ansprüche erfordern eventuell einen entsprechend ausgestatteten dedizierten Server. Das Rechenzentrum, das den Server beherbergt, sollte nach ISO 27001 zertifiziert sein.

Nextcloud – mehr als nur Datensicherung

Die kurze Geschichte von Nextcloud, das als Fork 2016 bekannt gegeben wurde und seither von Frank Karlitschek und einem Team kontinuierlich fortgeführt wird, kann als Erfolgsgeschichte bezeichnet werden. 2018 hat das Informationstechnikzentrum Bund Nextcloud als Bundescloud-Lösung für 300.000 Mitarbeiter in Ministerien und Behörden frei gegeben. Nach Informationen arbeitet das ITZ gemeinsam mit Bundesamt für Sicherheit in der Informationstechnik daran, die Lösung für Verschlusssachen frei zu geben.

Mittlerweile arbeiten auch Behörden in Frankreich, Schweden und der Niederlande mit Nextcloud. Nextcloud ist freie Software und darf somit im Unternehmen auch kommerziell genutzt werden.

Datensicherung und Collaboration

Nextcloud bietet neben der reinen Datensicherung und Synchronisation von Rechnern und mobilen Devices eine Reihe kostenfreier Apps, beispielsweise Kalender oder Aufgabenplaner, an, die den Funktionsumfang erheblich erweitern. Der Zugriff auf den Nextcloud-Server erfolgt entweder über eine intuitive Weboberfläche, oder über WebDAV. Apps für Android und Apple-Smartphones können kostenfrei über die Stores bezogen werden.

Mit WebDAV können Windows-, MacOS- oder Linux Clients als Netzlaufwerke eingebunden werden. Mittels der kostenfrei verfügbaren Apps können Tablets und Smartphones eingebunden werden.

Die Einrichtung unterschiedlicher Gruppen ermöglicht ein ausdifferenziertes Rechte und Zugriffsmanagement. Alle Mitarbeiter bekommen nur die Daten, für die sie berechtigt sind.

Die Kosten-/Nutzenrechnung stimmt

Auch wenn die Einrichtung und Administration der Lösung Ressourcen in Anspruch nimmt, die Kosten- und Nutzenrechnung stimmt. Vor allem dann, wenn Unternehmen wachsen und neue Mitarbeiter und/oder Kunden integriert werden sollen.

Kunden einbeziehen

Unternehmen, die Ihren Kunden, Klienten oder Mandanten spezielle Dokumente und Informationen zur Verfügung stellen möchten, können über eine entsprechende Kundenverwaltung und passgenaue Differenzierung genau den Mehrwert bieten, der Sie vom Rest der Bewerber abhebt. Auch unseren Kunden, die wir als Datenschutzbeauftragte betreuen, bieten wir seit 2018 diesen Mehrwert.

Gerne beraten und helfen wir bei der Einführung und praktischen Umsetzung von Nextcloud in Ihrem Unternehmen.

Hier bekommen Sie Nextcloud. (Zur Unternehmensseite)

Weitere Informationen

Weitere Informationen unter info@dsb-baden-baden.de oder unter Telefon 07221 – 8589943

Der Beitrag Cloud? Aber sicher! erschien zuerst auf Datenschutzbeauftragter (IHK) Baden-Baden.