Die neue Datenschutz-Grundverordnung (DSGVO) gilt ab 25. Mai verbindlich für alle Unternehmen und für alle digitalen Projekte. Der IT-Experte Stefan Schwab (Schwab IT UG) empfiehlt aus Geschäftsführungs-Sicht, sich an den folgenden Checkpunkten zu orientieren und die dazu umgesetzten Lösungen der IT-Abteilung bzw. des externen IT-Beraters abzufragen. Hat Ihre GmbH weniger als 9 Mitarbeiter, sind Sie – anstelle des Datenschutzbeauftragten – als Geschäftsführer verantwortlich für die korrekte Umsetzung. Die Prüfpunkte im Einzelnen: …
- Zugangskontrolle (Alarmanlage, abschließbare Server-Schränke, Sicherheitsschlösser, Reinigungspersonal?)
- Datenträgerkontrolle (Aufbewahren von Datenträgern, Standleitungen, VPN-Tunnel)
- Weitergabe von Daten (anonymisierte oder pseudonymisierte Form)
- Ordnungsgemäße Vernichtung von Datenträgern und Protokollierung der Vernichtung (DIN 32757)
- Speicherkontrolle (Berechtigungen, Verwaltung der Rechte durch Systemadministratoren, Passwort-Richtlinie)
- Übertragungskontrolle (Verschlüsselung, Dokumentation, Löschfristen)
- Benutzerkontrolle (IT-Richtlinie, Kontrolle)
- Zugriffskontrolle (Berechtigungen und Kontrollen)
- Wiederherstellbarkeit (Festplattenspiegelung, Recovery-Konzept)
- Zuverlässigkeit (Fehlermeldungen, Virenschutz)
- Datenintegrität (Dokumentation, Löschen)
- Verfügbarkeitskontrolle (Notfallplan, Feuer, Wasser, externe Datensicherung)
Für GmbHs mit weniger als 9 Mitarbeitern, die sensible Kundendaten verarbeiten (Fachjargon: Datenschutz-Folgeabschätzung) ist der Datenschutzbeauftragte Pflicht. Das ist bei allen Daten der Fall, bei denen ein hohes Risiko für die Betroffenen besteht, etwa bei Daten zu ihrer ethnischen Herkunft, sexuellen Orientierung, Gesundheit oder zur politischen Einstellung. Ein sog. Verarbeitungsverzeichnis ist darüber hinaus Pflicht für alle (Art. 30 der DSGVO).