Datenschutz technisch umsetzen
Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am
Datenschutz wird in vielen Unternehmen als Papierthema behandelt: Es gibt ein Verzeichnis, Verträge und eine Datenschutzerklärung. Die technische Seite bleibt dahinter zurück, und genau dort entscheidet sich, ob die Umsetzung trägt. Ob Berechtigungen dem Grundsatz der Erforderlichkeit folgen, ob Löschfristen tatsächlich greifen, ob Protokolldaten begrenzt sind und ob Sie im Fall einer Datenpanne innerhalb von zweiundsiebzig Stunden wissen, was passiert ist.
Wir übernehmen keine Rechtsberatung. Wir sorgen dafür, dass die Anforderungen Ihrer Datenschutzberatung technisch umgesetzt und nachweisbar sind.
Woran Sie es merken
- Das Verzeichnis der Verarbeitungstätigkeiten ist Jahre alt und bildet neue Systeme nicht ab.
- Es gibt keine automatische Löschung, Daten bleiben unbegrenzt liegen.
- Bei einer Auskunftsanfrage dauert das Zusammenstellen der Daten Wochen.
- Neue Cloud-Dienste werden genutzt, ohne dass Verträge und Übermittlungsgrundlagen geprüft wurden.
Warum das passiert
Die dokumentarischen Pflichten sind sichtbar und werden deshalb erledigt. Die technische Umsetzung ist unsichtbar und teuer: Löschkonzepte erfordern Eingriffe in Systeme, Berechtigungskonzepte erfordern Abstimmung mit Fachbereichen, und Protokolldaten fallen automatisch an, ohne dass jemand sie bestellt hat. Solange nichts passiert, fällt die Lücke zwischen Papier und Technik nicht auf. Sie fällt auf bei einer Auskunftsanfrage, einer Beschwerde oder einem Vorfall, also genau dann, wenn Zeit fehlt.
So gehen wir vor
- Verarbeitungen und Systeme abgleichen. Wir gleichen das Verzeichnis der Verarbeitungstätigkeiten mit den tatsächlich eingesetzten Systemen und Diensten ab und ergänzen, was fehlt. Häufig sind das Werkzeuge aus den Fachbereichen und Funktionen, die mit einem Update dazukamen.
- Technische Maßnahmen umsetzen und beschreiben. Wir setzen die Maßnahmen nach Artikel 32 DSGVO um und beschreiben sie so, dass sie prüfbar sind: Zugriffskontrolle, Verschlüsselung, Trennung, Protokollierung, Wiederherstellbarkeit und regelmäßige Überprüfung.
- Löschen ermöglichen. Wir erstellen ein Löschkonzept, das Fristen je Datenart festlegt und den Konflikt mit Aufbewahrungspflichten auflöst, und setzen es dort technisch um, wo die Datenmenge es rechtfertigt. Dazu gehören Sicherungen, Archive und Protokolldaten.
- Vorfälle vorbereiten. Wir richten ein Verfahren für Datenpannen ein, mit Erkennung, Bewertung, Meldung innerhalb der Frist und Dokumentation. Der häufigste Fehler ist nicht die Panne, sondern die verspätete Erkennung.
Was Sie davon haben
- Eine Umsetzung, die im Prüfungsfall belegbar ist statt nur behauptet.
- Auskunfts- und Löschanfragen, die in Tagen statt in Wochen bearbeitet werden.
- Weniger Risiko durch Systeme, die niemand geprüft hat.
Aus unseren Projekten
Protokolldaten sind der am häufigsten übersehene Bereich. Systeme protokollieren Anmeldungen, Zugriffe und Änderungen, oft über Jahre, und niemand hat je eine Löschfrist festgelegt. Diese Daten sind personenbezogen, sie sind auswertbar, und im Zweifel sind sie mitbestimmungspflichtig. Wir prüfen sie deshalb früh und legen Fristen fest. Der zweite regelmäßige Befund betrifft Testumgebungen: In vielen Häusern enthalten sie eine Kopie der Produktivdaten, mit weiteren Berechtigungen und schwächerem Schutz. Das ist einer der einfachsten Wege zu einem meldepflichtigen Vorfall und mit Anonymisierung oder synthetischen Daten vermeidbar.
Gut zu wissen
Zentral sind vier Punkte. Artikel 30 DSGVO verlangt das Verzeichnis der Verarbeitungstätigkeiten, das aktuell zu halten ist. Artikel 32 verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, einschließlich eines Verfahrens zur regelmäßigen Überprüfung ihrer Wirksamkeit. Artikel 28 verlangt für jeden Dienstleister, der personenbezogene Daten für Sie verarbeitet, einen Vertrag zur Auftragsverarbeitung. Artikel 35 verlangt eine Datenschutz-Folgenabschätzung bei Verarbeitungen mit voraussichtlich hohem Risiko, was bei umfassenden Systemen zur Überwachung, bei biometrischen Verfahren und bei bestimmten KI-Anwendungen in Betracht kommt. Für Beschäftigtendaten ist die Rechtsgrundlage seit der Entscheidung des Europäischen Gerichtshofs zu einer § 26 BDSG entsprechenden Landesregelung sorgfältig zu prüfen.
Häufige Fragen
Dürfen wir US-Anbieter nutzen?
Ja, wenn eine tragfähige Grundlage für die Übermittlung vorliegt und die Risiken bewertet sind. Prüfen Sie im Einzelfall die Zertifizierung des Anbieters unter dem geltenden Angemessenheitsbeschluss, die vertraglichen Zusagen und die Frage, welche Daten tatsächlich übermittelt werden. Diese Prüfung gehört dokumentiert, weil sie im Zweifel verlangt wird. Die rechtliche Bewertung im Einzelfall gehört zu Ihrer Datenschutzberatung.
Wie gehen wir mit einer Datenpanne um?
Erkennen, bewerten, melden, dokumentieren. Die Meldung an die Aufsichtsbehörde muss unverzüglich und möglichst binnen zweiundsiebzig Stunden nach Bekanntwerden erfolgen, wenn ein Risiko für die Betroffenen besteht. Entscheidend ist, dass das Verfahren vorher steht: wer bewertet, wer meldet, welche Informationen gebraucht werden. Diese Fragen im Ernstfall zu klären kostet genau die Zeit, die die Frist vorgibt.
Sprechen wir über Datenschutz technisch umsetzen
Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind.
Weiterführend
Zurück zum Feld IT-Governance und Recht