Es gibt keine einfache Vorgehensweise, um DSGVO-konform zu werden. Fast alle Organisationen verarbeiten in irgendeiner Form personenbezogene Daten und viele Beschäftigte müssen täglich mit personenbezogenen Daten umgehen. Deshalb ist es wichtig, klare Richtlinien zu haben und sicherzustellen, dass jeder weiß, was zu tun ist. Hier ist eine Liste von Dingen, mit denen Sie sicherstellen können, dass Ihr Unternehmen auf dem richtigen Weg ist. Wenn Sie sich nicht an die DSGVO halten, kann das zu hohen Geldstrafen führen: die Höchststrafe beträgt 20 Millionen oder 4 % des weltweiten Jahresumsatzes Ihrer Firma.

Inhaltsverzeichnis

• Ihr Unternehmen muss sich der DSGVO-Regeln bewusst sein

• Seien Sie sich sicher, wer verantwortlich ist - das könnte zum Beispiel ein Datenschutzbeauftragter (DSB) sein

• Ihr ganzes Team muss wissen, wie man mit personenbezogenen Daten umgeht

• Erstellen Sie klare Richtlinien, um sicherzustellen, dass die DSGVO-Bestimmungen eingehalten werden

  • IT-Sicherheitsrichtlinien – sorgen Sie dafür, dass der allgemeine Rahmen stimmt

  • Nutzungsrichtlinien – Schaffen Sie konkrete und umsetzbare Regeln und Richtlinien

• Erstellen Sie eine Risikoanalyse, um herauszufinden, was als nächstes passiert

• Erstellen Sie ein geeignetes Verfahren für die Arbeit mit der DSGVO mithilfe des PDCA-Zyklus (Plan-Do-Check-Act)

• Sie könnten sich zum Nachweis der Rechtskonformität zertifizieren lassen

  • Es gibt eine Vielzahl von Zertifizierungen und Berichten zur Auswahl

  • ISAE 3000 wird oft für die DSGVO verwendet

  • ISO 27701 ist eine für die DSGVO neugeschaffene Zertifizierung

  • Sie können sich für die ISO 27001 oder ISAE 3402 zertifizieren lassen

  • ISAE 3000 im Vergleich zu ISAE 3402

• Sicherheitsvorfälle basieren meist auf menschlichen Fehler

• Vermeiden Sie Strafen und Bußgelder

• Datenschutz ist ein kontinuierlicher Prozess

• Behalten Sie Gerichtsurteile zur DSGVO im Auge – die Richtlinien entwickeln sich ständig weiter

Ihr Unternehmen muss sich der DSGVO-Regeln bewusst sein

Der erste Schritt zur DSGVO-Konformität besteht darin, sicherzustellen, dass jemand in Ihrem Unternehmen versteht, worum es bei der DSGVO überhaupt geht. Die DSGVO basiert auf 7 Grundsätzen, die als Grundlage dienen können, um zu verstehen, warum und wie mit personenbezogenen Daten umgegangen werden sollte. Diese Grundsätze dienen dazu, die Hauptidee hinter der DSGVO zu verdeutlichen und einige Maßnahmen aufzuzeigen, die Ihnen bei Ihren täglichen Aufgaben helfen können, wie zum Beispiel die Datenminimierung.

Des Weiteren unterstreichen sie auch, dass Sie eine rechtliche Grundlage zur Verarbeitung von persönlichen Daten haben müssen. Das bedeutet, dass Sie immer einen triftigen Grund und die Einwilligung der betroffenen Personen haben müssen, wie Sie auch oft auf Websites vorfinden könne.

Folgende Grundsätze sollten Sie kennen und in die Tat umsetzen:

Ihr ganzes Team muss wissen, wie man mit personenbezogenen Daten umgeht

Zu wissen, wer in Ihrem Unternehmen für die DSGVO zuständig ist, reicht allein nicht aus, da alle Ihre Beschäftigten in gewissem Maße mit personenbezogenen Daten umgehen. Deshalb ist es wichtig, dass jeder im Unternehmen ein grundlegendes Verständnis dafür hat, wie mit personenbezogenen Daten umzugehen ist.

Das heißt nicht, dass jeder ein Experte auf diesem Gebiet werden muss, aber es ist wichtig, dass Ihre Mitarbeiter*innen wissen, was personenbezogene Daten sind und wie sie sicher zu handhaben sind. Im Folgenden finden Sie einige Beispiele für Dinge, die Ihre Beschäftigten wissen sollten:

• Was sind personenbezogene Daten?

• Welche Daten gelten als sensible personenbezogene Daten?

• Haben Sie eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten?

• Wie sollten die verschiedenen Arten von personenbezogenen Daten gehandhabt werden?

• Was ist zu tun, wenn man einen Datenschutzverstoß feststellt?

• Wen kann man im Zweifelsfall um Hilfe bitten?

Es gibt viele Wege, Ihr Team für den Umgang mit Daten zu sensibilisieren und zu schulen. Seminare, Kurse und Awareness-Trainings sind eine gute Möglichkeit, um sicherzustellen, dass jeder ein gutes Verständnis für den sicheren Umgang mit Daten hat. Da die Verletzung des Schutzes personenbezogener Daten häufig aus Fehlern von Mitarbeitern*innen zustande kommen, ist die Aufklärung über den Umgang mit Daten von äußerster Priorität.

Erstellen Sie eine Risikoanalyse, um herauszufinden, was als nächstes passiert

Was passiert als nächstes?

Die vage und doch korrekte Antwort lautet: Es kommt darauf an.

Da alle Unternehmen unterschiedlich sind, ist es unmöglich zu sagen, worauf Sie Ihre Bemühungen im Bereich Cybersicherheit und DSGVO konzentrieren sollten. Was Sie als Nächstes tun sollten, hängt von verschiedenen Faktoren ab, z. B. von der Art der Daten, die Sie verarbeiten, von den Systemen, die Sie verwenden, und von den möglichen Konsequenzen, die im Falle eines Sicherheitsvorfalls entstehen können.

Um eine fundierte Entscheidung über Ihre nächsten Schritte zu treffen, empfiehlt es sich, eine Risikoanalyse durchzuführen, um ein besseres Verständnis für die nötigen Sicherheits- und Schutzbedürfnisse Ihres Unternehmens zu bekommen. Eine Risikoanalyse verschafft einen Überblick über die Arten von Bedrohungen, für die Ihre Organisation anfällig sein könnte. Sie schätzt auch die Wahrscheinlichkeit von Bedrohungen und deren Folgen für Ihre Organisation ein.

Natürlich sollten Bedrohungen, die mit größerer Wahrscheinlichkeit eintreten und potenziell größeren Schaden anrichten könnten, zuerst angegangen werden. Solche Bedrohungen können alles Mögliche sein, vom Anklicken Ihrer Beschäftigten auf Phishing-Links bis hin zum Versenden sensibler persönlicher Daten an unbefugte Personen. Sie können unsere kostenlose Vorlage für Risikoanalysen verwenden, um alle Bedrohungen für Ihr Unternehmen zu erfassen.

Beachten Sie jedoch, dass die Risikoanalyse gemäß den ISO-Normen nicht auf dieselbe Weise durchgeführt wird wie nach der DSGVO.

Erstellen Sie ein geeignetes Verfahren für die Arbeit mit der DSGVO mithilfe des PDCA-Zyklus (Plan-Do-Check-Act)

Wie Sie vielleicht schon vermutet haben, ist die DSGVO-Konformität keine schnell zu lösende Angelegenheit, sondern ein andauernder Prozess. Da im Laufe der Zeit immer wieder neue Herausforderungen auftauchen werden, werden Sie nie komplett fertig DVGO-konform zu werden. Sie können auch nicht davon ausgehen, dass sobald Sie Ihrem Team neue Regeln vorlegen, jene diese makellos befolgen und von da an alles reibungslos abläuft. Es ist wichtig, dass Sie über gute Verfahrensweisen verfügen, die es Ihnen ermöglichen, die Systeme und Richtlinien zu beurteilen, zu bewerten und bei Bedarf anzupassen. So wird Ihre Datenverarbeitung im Laufe der Zeit reibungsloser und sicherer.

Eine Möglichkeit, das zu tun, ist die Verwendung des PDCA-Zyklus (Plan-Do-Check-Act), einer sich wiederholenden Methode, die sicherstellt, dass:

1. Sie eine Reihe von Zielen erstellen und einen Plan, wie Sie diese erreichen können
   
   
2. Sie den Plan befolgen und die Arbeit erledigen
   
   
3. Sie die Arbeit auswerten, um zu sehen, ob Sie Ihre Ziele erreicht haben
   
   
4. Sie auf das Ergebnis reagieren, um sicherzustellen, dass Sie sich weiter verbessern

Sie könnten sich zum Nachweis der Rechtskonformität zertifizieren lassen

Wenn es um die DSGVO geht und Sie ein Datenverarbeiter sind, müssen Sie beachten, dass der*die für die Datenverarbeitung Verantwortliche Sie überprüfen muss. Das bedeutet, dass Sie formell dokumentieren müssen, dass Sie personenbezogene Daten gemäß der DSGVO verarbeiten. Das führt oft dazu, dass Sie sich mit vielen Rückfragen auseinandersetzen müssen, was sich als zeitaufwendig erweisen kann.

Falls das für Sie zu umständlich ist, könnte es sich für Sie lohnen, sich zertifizieren oder eine Sicherheitsüberprüfung durchführen zu lassen. Mit beidem können Sie zeigen, dass Sie sich für bewährte Verfahren im Bereich der Informationssicherheit und des Umgangs mit Daten einsetzen. Das ist vielleicht nicht für jeden etwas, denn die Zertifizierung und Überprüfung können ziemlich teuer sein und erfordern einen hohen Arbeitsaufwand. Daher sollten Sie gründlich abwägen, inwieweit das das Richtige für Sie ist, während Sie gleichzeitig die DSGVO befolgen.

Es gibt eine Vielzahl von Zertifizierungen und Berichten zur Auswahl

Es gibt viele Zertifizierungen und Standards, die Sie beachten müssen, wenn es um die DSGVO und Cybersicherheit geht. Einige sind DSGVO-spezifisch, andere sind es nicht, können aber trotzdem nützlich sein.

Im Folgenden finden Sie eine Liste von Zertifizierungen, die Sie in Betracht ziehen sollten:

• ISAE-3000-DSGVO-Bericht
• ISO-27701-Zertifizierung
• ISAE-3402-Bericht
• ISO-27001-Zertifizierung

Sie können alle dazu verwendet werden, die DSGVO-Konformität nachzuweisen, aber sie sind nicht dasselbe.

ISAE 3000 wird oft für die DSGVO verwendet

Eine Möglichkeit, Erklärungen oder Zertifizierungen von Wirtschaftsprüfern für Ihre DSGVO-Arbeit zu nutzen, ist ein ISAE-3000-Wirtschaftsprüfbericht, auch als ISAE-3000-GDPR-Bericht/-Erklärung bezeichnet. Damit soll beurteilt werden, ob Sie Ihrer Verantwortung als Datenverarbeiter nachkommen. Wenn Sie geprüft werden, und die ISAE-3000-Erklärung erhalten, können Sie diese den für die Datenverarbeitung Verantwortlichen vorlegen, um zu beweisen, dass Sie personenbezogene Daten gemäß den Vorschriften verarbeiten.

ISO 27701 ist eine für die DSGVO neugeschaffene Zertifizierung

Die internationale ISO-Organisation stellte im Jahr 2019 eine neue Norm vor: die ISO 27701. Viele sind mit der ISO 27001, die im nächsten Abschnitt näher erläutert wird, vertraut. In erster Linie ist die ISO 27701 jedoch eine neue Zertifizierung.

Der nicht so einprägsame Name der Zertifizierung lautet „Sicherheitstechniken – Erweiterung von ISO / IEC 27001 und ISO/ 27002 für private Informationen – Anforderungen und Richtlinien“.

Die Zertifizierung gibt Auskunft darüber, ob Sie in Übereinstimmung mit der DSGVO handeln. Auf dem Papier klingt es also wie die perfekte Zertifizierung für uns alle. Tatsache ist jedoch, dass die Zertifizierung noch recht neu ist und wir erst sehen müssen, wie sie sich in der Praxis bewährt, bevor wir konkrete Schlussfolgerungen ziehen können. Am Ende könnte es sich um eine Mischung aus ISAE 3000 und ISO 27701 handeln. Was etwas ist, das benötigt wird, wir jedoch noch mehr dazu lernen müssen.

Sie können sich für die ISO 27001 oder ISAE 3402 zertifizieren lassen

Obwohl ISAE 3000 der spezifischste Bericht in Bezug auf die DSGVO und ISO 27701 die spezifischste Zertifizierung in Bezug auf die DSGVO ist, orientieren sich viele an ISAE 3402 und ISO 27001. Bei der ISAE 3402 handelt es sich um eine ausführliche Erklärung, die sich auf Berichtswesen und Finanztransaktionen konzentriert und oft verwendet wird, um sicherzustellen, dass die täglichen Abläufe und Lieferungen im IT-Bereich sicher und solide durchgeführt werden. Aus diesem Grund kann sie auch für die DSGVO und Cybersicherheit verwendet werden. ISAE 3402 basiert auf dem Referenzrahmen von ISO 27001. Die ISO 27001 ist ein Standard, der Unternehmen hilft, kostbare und personenbezogene Daten zu schützen. Das Ziel ist es, starke Informationssicherheit zu schaffen.

Da es sich hier um ein recht umfangreiches Thema handelt, wollen wir Sie an dieser Stelle nicht mit Detailwissen belasten. Stattdessen können Sie einen Blick auf unseren umfassenden Leitfaden werfen, der Ihnen erklärt, was ISO 27001 und ISAE 3402 sind und was Sie beachten sollten, bevor Sie mit dem Prozess anfangen DSGVO konform zu werden.

ISAE 3000 im Vergleich zu ISAE 3402

Worin besteht der Unterschied zwischen den beiden Prüfungsstandards und warum werden beide verwendet? Die kurze Antwort lautet, dass es bei ISAE 3000 in der Regel um Daten und deren Schutz geht, weshalb sie in den Geltungsbereich der Datenschutzgrundverordnung passen.

Bei der ISAE 3402 hingegen geht es um Prozesse und physische Bedingungen. Es geht darum, sicherzustellen, dass es keine Ausfallzeiten auf den Servern gibt, dass Backups vorhanden sind, wenn Daten gelöscht werden, und dass es Verfahren gibt, wenn es um Vorgänge wie Backups, Protokollierung, Stromversorgung usw. geht. Sie kann auch eine wichtige Rolle bei der Sicherung persönlicher Daten spielen, hat aber einen viel größeren Umfang als das.

Sicherheitsvorfälle basieren meist auf menschlichen Fehler

Datenpannen kommen gelegentlich vor. Wir sind alle Menschen und Menschen machen Fehler, besonders wenn wir in Eile oder uns über die Auswirkungen unseres Handelns nicht im Klaren sind. Statistiken der dänischen Datenschutzbehörde (Datatilsynet) zeigen, dass die Hauptursache für Sicherheitspannen darin bestand, dass E-Mails an den falschen Empfänger gesendet wurden.

Dieser scheinbar kleine Fehler ist dennoch ein gravierender Sicherheitsvorstoß, da personenbezogene Daten in die falschen Hände geraten und für illegale Zwecke missbraucht werden können.

Dies unterstreicht nicht nur, wie wichtig es ist, dass sich Ihre Teammitglieder der Risiken im Umgang mit Daten bewusst sind, sondern auch, wie schwierig es ist, Datenschutzverletzungen zu vermeiden. Eines unsere Hauptziele als Cybersicherheitsunternehmen ist es, die Zahl der Sicherheitsverstöße, die durch Mitarbeiter*innen verursacht wurden, zu verringern. Aus diesem Grund legen wir einen starken Fokus auf Sensibilisierungs- und Phishing-Schulungen.

Vermeiden Sie Strafen und Bußgelder

Es gibt viele Regeln und Vorschriften, die beim Umgang mit Sicherheitsverletzungen zu beachten sind. Bei einer Sicherheitsverletzung sollten Sie als erstes daran denken, diese zu dokumentieren und Ihre lokalen Aufsichtsbehörden nicht später als 72 Stunden zu benachrichtigen. Wenn Sie sie nicht innerhalb von 72 Stunden informieren, müssen Sie einen triftigen Grund haben und vorweisen können. Die meisten Sicherheitsverstöße sind nicht so schwerwiegend, als dass sie zu Geldbußen oder Strafen führen würden. Wenn Ihr Unternehmen die korrekten Verfahren einsetzt und generell sein Bestes tut, um personenbezogene Daten zu schützen, müssen Sie sich keine großen Sorgen machen. Wenn Sie jedoch nicht die Initiative ergriffen haben, die DSGVO zu befolgen, und Sie die Richtlinien zur Datensicherheit nicht kennen, kann es sein, dass Sie in eine ungünstige Situation geraten. Wie hoch das Maß an Sicherheit sein muss, wenn es um Rechtsstreitigkeiten geht, erfahren wir erst jetzt, da sich die Dinge ständig weiterentwickeln und die Regeln von Land zu Land unterschiedlich gehandhabt werden. Sie sollten sich über die verschiedenen Arten von Datenschutzverstößen informieren, die mit Bußgeldern geahndet werden, damit Sie festlegen können, wie hoch Ihr Arbeitsaufwand für die DSGVO sein sollte.

Datenschutz ist ein kontinuierlicher Prozess

Wie Sie bereits gesehen haben, ist die Einhaltung der DSGVO gar nicht so einfach. Es gibt keine Pauschallösung, um DSGVO-konform zu werden. Die oben genannten Schritte sollten Ihnen dabei helfen, herauszufinden, welche Optionen für Ihr Unternehmen in Frage kommen. Dabei sollten Sie beachten, dass die Einhaltung der DSGVO ein fortlaufender Prozess ist und sich die Herausforderungen von Unternehmen zu Unternehmen unterscheiden. Es ist normal, müde und überfordert zu sein, wenn Sie versuchen, alles auf einmal zu lösen. Versuchen Sie stattdessen, Schritt für Schritt die Sache anzugehen.

Fangen Sie dabei mit dem Wichtigsten an, was für Sie möglich ist und arbeiten Sie sich langsam durch.

Behalten Sie Gerichtsurteile zur DSGVO im Auge – die Richtlinien entwickeln sich ständig weiter

Zum Schluss möchte ich noch darauf hinweisen, wie wichtig es ist, alle Gerichtsurteile zur DSGVO im Auge zu behalten. Auch wenn sie seit 2018 in Kraft ist, handelt es sich noch immer um eine recht neue Verordnung, die sich ständig weiterentwickelt. Dies haben wir beispielsweise beim Schrems-II-Urteil gesehen, wonach das Privacy-Shield-Rahmenwerk keine gültige Grundlage mehr für die Verarbeitung personenbezogener Daten in den Vereinigten Staaten ist. Wir mussten ein ganzes Jahr auf neue Empfehlungen für die Übermittlung personenbezogener Daten in Drittländer warten.

Klingt es nach einer schwierigen Aufgabe, mit all den DSGVO-Bestimmungen Schritt zu halten? Machen Sie sich keine Sorgen, denn wir haben alles, was Sie brauchen. Wenn Sie sich für unseren Newsletter anmelden, versprechen wir Ihnen, dass wir Sie über die wichtigsten Neuigkeiten im Zusammenhang mit der DSGVO und anderen Themen der Cybersicherheit auf dem Laufenden halten werden.