Der Datenschutz dient dem Schutz von personenbezogenen Daten. Weil die Datenverarbeitung immer weiter fortentwickelt wird, ist hier besondere Sorgfalt geboten. Durch die weltweite Vernetzung über das Internet nehmen die Gefahren im Hinblick auf personenbezogene Daten zu. Bedenken Sie den nach wie vor gültigen Leitsatz: Das Internet vergisst nie!

Die Auslagerung von Computerdaten (Cloud Computing) sehen wir Experten vom des EDV-Sachverständigen & IT-Forensikbüro Zimmer & Partner als kritisch an. Denn oft ist ungewiss, wo diese gespeichert werden (zum Beispiel irgendwo in Übersee) und wer darauf Zugriff hat.

Aber auch wenn Daten nicht ausgelagert werden, bedeutet das nicht automatisch Datensicherheit, da sie wissentlich oder aus Versehen auch von den eigenen Mitarbeitern weitergereicht werden beziehungsweise werden können.

Viele Betriebe scheuen sich davor, Daten an die Konkurrenz oder Aufsichtsbehörden weiterzugeben: Hier spielt weniger das finanzielle Interesse als vielmehr der mutmaßliche Ansehensverlust durch einen gekündigten Angestellten eine Rolle, der zum Problem werden kann.

Nach der am 04.05.2016 veröffentlichten EU-Datenschutz-Grundverordnung (EU-DSGVO) müssen seit Mai 2018 alle Vereine, Selbständige, Unternehmen, Konzerne, Behörden und dergleichen, die personenbezogene Daten von EU-Bürgern verarbeiten, Schutzmaßnahmen bei Datenschutz und Datensicherheit nachweisen. Die Dokumentation von Penetrationstests ist hier ein wichtiger Baustein.

So definiert die EU-DSGVO zunächst in Art. 5 Abs. 1 die Pflicht zur Implementierung geeigneter technischer und organisatorischer Maßnahmen zum Schutz der Daten („Integrität und Vertraulichkeit“) und präzisiert die zu ergreifenden Maßnahmen zusätzlich in Art. 32. Darüber hinaus werden in Art. 25 EU-DSGVO („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“) Prinzipien festgelegt, wie Verarbeitungen gestaltet sein müssen und welche Voreinstellungen vorzunehmen sind.

Wichtig ist in diesem Zusammenhang ist Art. 32 Abs. 1 EU-DSGVO. Neben der reinen Implementierung der technischen und organisatorischen Maßnahmen bezüglich Verfügbarkeit, Vertraulichkeit und Integrität der Systeme sowie zur Wiederherstellung von Daten, ist die Wirksamkeit der ergriffenen technischen und organisatorischen Maßnahmen durch geeignete Verfahren nun zukünftig zusätzlich nachzuweisen. Diese Regelung ist neu und verpflichtet Unternehmen beispielsweise den Einsatz eines Penetrationstest (Stresstest) durch externe Unternehmen durchführen zu lassen. Aus unserer Erfahrung wissen wir, dass dies die wenigsten Betroffenen auf dem Schirm haben: Wir vom des EDV-Sachverständigen & IT-Forensikbüro Zimmer & Partner unterstützen Sie dabei mit seriöser Beratung und einer fachlich kompetenten, passgenauen Ausführung.

Wichtig: Sie brauchen eine/n Datenschutzbeauftragte/n (m/w/d)

Eine/n Datenschutzbeauftragte/n (m/w/d) brauchen laut Artikel 37 der EU-DSGVO alle Unternehmen, in denen personenbezogene Daten automatisiert verarbeitet werden. Darunter fallen beispielsweise Namen, E-Mail-Adressen, Kontonummern oder Standortdaten von Kunden.

Für kleine Betriebe gilt eine Ausnahme: Einen Datenschutzbeauftragten bestellen muss ein Unternehmen nur, wenn sich mindestens zehn Mitarbeiter regelmäßig mit solchen Daten beschäftigen. Allerdings zählt hier wirklich jede/r Mitarbeiter/in – auch wenn er oder sie nur beispielsweise einmal pro Woche personenbezogene Daten bearbeitet oder in Teilzeit angestellt ist.

Unabhängig von der Personenanzahl braucht ein Unternehmen außerdem einen Datenschutzbeauftragten, wenn Daten verarbeitet werden, für die eine Datenschutz-Folgenabschätzung nötig ist. Das gilt für besonders sensible Daten oder wenn ein hohes Risiko für Betroffene besteht, falls die Angaben missbraucht werden. Als solche gelten etwa Daten zur ethnischen Herkunft, sexuellen Orientierung, religiösen Überzeugung oder zur persönlichen gesundheitlichen Situation. Auch wenn ein Unternehmen eine Videokamera auf seinem Werksgelände aufstellt, gelten diese Bilder als besonders sensibel.