Datenschutz

Der Schutz personenbezogener Daten ist in allen IT-Bereichen ein Thema, dem man sich sowohl vorausschauend bei neuen Vorhaben als auch ständig prüfend im laufenden Betrieb widmen muss. Die gesetzlichen und andere bereichsspezifische Vorschriften sind komplex, teilweise miteinander verknüpft und erfordern Sachkunde bei der Analyse und Umsetzung.

Den rechtlichen Rahmen bildet heute die EU-Datenschutz-Grundverordnung (DSGVO), ergänzt um das Bundesdatenschutzgesetz (BDSG), bereichsspezifische Vorschriften — etwa das TDDDG für digitale Dienste und Endeinrichtungen — sowie die fortlaufende Rechtsprechung und die Vorgaben der Aufsichtsbehörden. Gemeint ist der Schutz von Daten natürlicher Personen, die es ermöglichen, eine Person aufgrund bestimmter Merkmale zu identifizieren.

Hierbei gelten die Grundsätze des Art. 5 DSGVO, die geeignet sind, den Schutz personenbezogener Daten sicherzustellen. Dieses sind u.a.

• Rechtmäßigkeit, Zweckbindung und Transparenz
• Datenminimierung
• Speicherbegrenzung mit definierten Lösch- und Aufbewahrungsfristen
• Integrität und Vertraulichkeit, umgesetzt über klare Zugriffsrechte
• Pseudonymisierung und Anonymisierung als technische Schutzmaßnahmen

Bei der Verarbeitung personenbezogener Daten mittels IT fallen derartige Daten in großen Mengen an und können durch geringfügige Verfahrensfehler unabsichtlich in erheblichem Umfang offenbart werden. Daher gilt es, die Datenverarbeitungsverfahren auf Schwachstellen und mögliche Gefährdungen zu untersuchen. Die DSGVO macht hierzu eine Reihe konkreter Vorgaben: das Verzeichnis von Verarbeitungstätigkeiten (Art. 30), technische und organisatorische Maßnahmen nach dem Stand der Technik (Art. 32), die Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35) sowie — abhängig von Art und Umfang der Verarbeitung — die Benennung eines fachkundigen Datenschutzbeauftragten.

Insbesondere bei IT-Vorhaben, in denen neue Verfahren implementiert werden, aber auch bei Migrationen bestehender Lösungen, gilt es, sich im Vorfeld mit den datenschutzrechtlichen Aspekten auseinanderzusetzen: Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) gehören bereits ins Lösungsdesign, um ein später notwendig werdendes Überarbeiten zu vermeiden.

Jedoch spielt der Datenschutz auch bei der Projektorganisation eine wichtige Rolle. So sollte vermieden werden, in Entwicklungs- und Testphasen mit echten Daten zu operieren, oder diese gar aus dem Haus zu geben. Stattdessen ist es sinnvoll, Testdatensätze zu generieren, oder, wenn denn ob der Komplexität der Daten die Generierung solcher Daten zu aufwendig ist, die Testdatensätze durch Anonymisierung bzw. Verwürfelung vorhandener Datensätze zu erzeugen.

Werden Dienstleister mit der Verarbeitung personenbezogener Daten betraut, ist mit der Auftragsvergabe zwingend eine Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO) mit geprüften Garantien abzuschließen; die beteiligten Mitarbeiter sind rechtssicher auf die Vertraulichkeit zu verpflichten. Bei Diensten mit Datenverarbeitung außerhalb der EU sind zusätzlich die Regeln für Drittlandübermittlungen zu beachten. Ergänzend sind Überwachungs-, Kontroll- und technische Funktionen erforderlich, um die Daten vor unberechtigten Zugriffen, Entwenden oder Beschädigung, Verfälschung oder Verlust bei der technischen Umsetzung des Vorhabens zu schützen.

Gerne unterstützen wir Sie bei der Umsetzung datenschutzrechtlicher Vorgaben und beraten Sie zu möglichen Lösungen und bewährten Prozessen im IT-Umfeld. Die folgenden Leistungen können Sie von uns erwarten:

• Verfahrens- / Prozess-Analyse
• Schwachstellen-Analyse
• rechtliche Bewertung und Risiko-Darstellung
• Erstellung von Vorlagen und Empfehlungen für die verantwortliche Ebene
• Beratung Ihres / Ihrer Datenschutzbeauftragten zu benannten Fragestellungen und Themen
• Workshops zur Erarbeitung sicherer Verfahren