10-Schritte-Checkliste: Leitfaden zur Einhaltung der DSGVO für 2023

Die Datenschutz-Grundverordnung (DSGVO) ist eines der strengsten Datenschutzgesetze der Welt, doch nur wenige Unternehmen halten sich vollständig an ihre Gesetze. Die DSGVO regelt im Allgemeinen Länder innerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums, aber ihr Rahmen wurde in viele wichtige Datenschutzgesetze auf der ganzen Welt übernommen.

Selbstgefälligkeit ist gefährliches Terrain. Unternehmen, die sich nicht an die Vorschriften halten, können mit einer Geldstrafe von bis zu 18 Mio. GBP oder 4 % des weltweiten Jahresumsatzes belegt werden (je nachdem, welcher Betrag höher ist). Seit 2018 setzt das Information Commissioner's Office (ICO) die DSGVO-Standards durch.

Dieser Beitrag skizziert die von der DSGVO festgelegten Standards und bietet eine Checkliste, die Unternehmen dabei hilft, die Vorschriften einzuhalten.

Was ist die Datenschutz-Grundverordnung (DSGVO)?

Die DSGVO ist ein Produkt der mutigen Datenschutzreform der Europäischen Union (EU). Die strengen Datenschutzstandards wurden am 25. Mai 2018 in Kraft gesetzt, um die Rechte des Einzelnen zu schützen. Dieser Cybersicherheitsrahmen zielt darauf ab, die personenbezogenen Daten aller Menschen in der Europäischen Union zu schützen.

Mit der DSGVO wird die Europäische Menschenrechtskonvention von 1950 aktualisiert, um sie für das digitale Zeitalter relevant zu machen. In Artikel 8 der Konvention heißt es, dass jeder das Recht hat, sein privates Familienleben zu achten. In der analogen Ära, in der dieser Artikel geboren wurde, waren die Grenzen zwischen öffentlichem und privatem Leben kühn und leicht zu erkennen. Heute sind sie mehrdeutig und verschwommen. Ohne einen klaren und durchgesetzten Standard wie die DSGVO können Kunden nie sicher sein, dass ihre privaten Daten und damit ihr Privatleben respektiert werden.

Ergänzend zu den Bemühungen zur Risikominderung im Rahmen der DSGVO legt die Prudential Regulation Authority in der Aufsichtserklärung SS2/21 ihre Standards für das Risikomanagement von Drittanbietern dar.

Was gilt nach der EU-DSGVO als personenbezogene Daten?

Gemäß Artikel 4 der DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Mit anderen Worten, personenbezogene Daten sind alle Daten, die mit der Identität einer lebenden Person verknüpft sind.

Personenbezogene Daten sind formatunabhängig und umfassen Bilder, Videos, Audiodateien, Ziffern und Wörter. Dazu gehören nicht nur direkte Assoziationen, wie Finanzinformationen und Adressen, sondern auch indirekte Verknüpfungen, wie z.B. Bewertungen, die sich auf die Verhaltensmuster einer Person beziehen.

Ungenaue Informationen über betroffene Personen gelten nach wie vor als personenbezogene Daten, da diese Informationen mit einer Identität verknüpft sind. Wenn die Informationen jedoch mit einer fiktiven Entität verknüpft sind, gelten sie nicht als personenbezogene Daten. Wenn Sie sich beispielsweise auf eine fiktive Figur beziehen, die sich an einem fiktiven Ort befindet, gilt dies nicht als personenbezogene Daten.

Erfahren Sie mehr über personenbezogene Daten >

Für wen gilt die DSGVO?

Die DSGVO betrifft jede Organisation, die Waren und Dienstleistungen für Menschen in der EU anbietet. Dazu gehören auch Unternehmen, die nicht in der EU ansässig sind. Wenn Sie ein Online-Geschäft betreiben, wissen Sie nie mit Sicherheit, ob die Personen, mit denen Sie Geschäfte tätigen, in der EU ansässig sind. Aus diesem Grund sollten alle Online-Unternehmen als Schutzmaßnahme DSGVO-konform sein.

Personenbezogene Daten werden in zwei Kategorien eingeteilt - diejenigen, die die Daten kontrollieren, und diejenigen, die die Daten verarbeiten (Verantwortliche vs. Auftragsverarbeiter).

Verantwortliche für die Datenverarbeitung

Die DSGVO definiert einen Verantwortlichen als jede Person, Behörde, Einrichtung oder andere Stelle, die über den Zweck und die Verarbeitung personenbezogener Daten entscheidet. Die Verantwortlichen entscheiden, wie personenbezogene Daten verarbeitet werden.

Eine Musikschule verwendet beispielsweise einen digitalen Bildschirm, um die Eltern im Wartezimmer zu benachrichtigen, wenn jeder Lehrer bereit ist. Auf dem Bildschirm werden der Name jedes Kindes und die Raumnummer seiner Musikstunde angezeigt.

Die Musikschule wird als "Verantwortlicher" für personenbezogene Daten eingestuft, da sie entscheidet, wie das Meldesystem alle Daten verarbeiten soll.

Auftragsverarbeiter

Die DSGVO definiert jede Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Da Auftragsverarbeiter die vom für die Verarbeitung Verantwortlichen festgelegten Datenverarbeitungsregeln ausführen, treffen sie keine Entscheidungen darüber, wie mit personenbezogenen Daten umgegangen wird.

Beispiel: Ein Softwareunternehmen stellt einen Vermarkter für eine bevorstehende E-Mail-Kampagne ein. Dem Vermarkter werden die Namen und E-Mail-Adressen aller Leads zur Verfügung gestellt, so dass personalisierte Kaltakquise-E-Mails an jeden einzelnen gesendet werden können.

Das Softwareunternehmen wird als Verantwortlicher für personenbezogene Daten eingestuft, da es bestimmt, wie mit den Daten umgegangen werden soll. Der Vermarkter wird als "Verarbeiter" eingestuft, da er die Datenverarbeitungsanweisungen des Softwareunternehmens ausführt.

Auch wenn Prozesse den Anweisungen des Verantwortlichen folgen, wird von ihnen erwartet, dass sie neben den Prozessen auch DSGVO-konform sind, da sie mit personenbezogenen Daten umgehen.

10-Schritte-Checkliste zur Einhaltung der DSGVO

Die folgende Checkliste zur Einhaltung der DSGVO hilft Unternehmen, ihren aktuellen DSGVO-Compliance-Status zu bewerten und schlechte Praktiken im Umgang mit Daten zu reformieren, um die Vorschriften zu verbessern. Die Einhaltung der DSGVO wird Unternehmen dabei helfen, ihre Entscheidungsprozesse zu formulieren und bessere Informationssicherheitsmaßnahmen zum Schutz personenbezogener Daten zu entwickeln.

1. Kennen Sie alle Daten, die Ihr Unternehmen sammelt

Wenn Sie nicht wissen, wie personenbezogene Daten durch Ihre internen Systeme fließen, wissen Sie nicht, wie sie kontrolliert werden. Hier ist ein einfaches 7-Kategorien-Framework für die Zuordnung aller Datenquellen mit einem Beispiel für einen E-Book-Download-Prozess:

Quelle

• E-Book-Download-Formular

Gesammelte Daten

• Vollständiger Name.
• E-Mail-Adresse.
• Name des Unternehmens

Grund für die Datenerhebung

• Erstellen von Vertriebs-Leads

Wie werden die erhobenen Daten verarbeitet?

• Gespeichert in der Mailchimp-Datenbank.
• Zugriff durch interne E-Mail-Vermarkter.

Wann werden die Daten vernichtet?

• Alle abgemeldeten Leads werden alle 30 Tage manuell aus Mailchimp gelöscht.

Haben Sie eine Einwilligung zur Erhebung dieser Daten?

• Ja, das E-Book-Download-Formular enthielt eine Meldung, dass alle Einträge zur E-Mail-Liste hinzugefügt wurden.

Enthalten die gesammelten Daten sensible Informationen?

• Ja, vollständige Namen und zugehörige E-Mail-Adressen.

Dieses Filterprotokoll sollte auf alle internen Daten angewendet werden, bis Sie den Lebenszyklus aller Daten-Feeds sicher abbilden können.

Da sich die DSGVO auf den Schutz sensibler Daten konzentriert, ist es wichtig, alle Instanzen zu identifizieren und jeden Datensatz nach Vertraulichkeitsgrad zu klassifizieren.

Je höher die Datensensibilität, desto einfacher ist es, eine Person zu identifizieren und zu kompromittieren. Personenbezogene Daten (PII) gelten als sehr sensibel und sollten mit dem höchsten Maß an Cybersicherheit geschützt werden.

Werden IP-Adressen als personenbezogene Daten eingestuft?

IP-Adressen werden als personenbezogene Daten eingestuft, wenn sie mit der Identität einer Person in Verbindung gebracht werden können. Wenn beispielsweise die IP-Adresse eines Benutzers zusammen mit seiner E-Mail-Adresse erfasst wird, wird dies als personenbezogene Daten betrachtet, da die Identität der Person mit ihrer E-Mail-Adresse verknüpft ist.

Alle personenbezogenen Daten in der EU unterliegen streng der Einhaltung der DSGVO. Wenn Sie sich nicht sicher sind, ob die von Ihnen erfassten IP-Adressen als personenbezogene Daten eingestuft werden, wenden Sie sich an die Aufsichtsbehörde in Ihrem EU-Staat.

2. Ernennen Sie einen Datenschutzbeauftragten (DSB)

Artikel 37 der DSGVO besagt, dass sowohl die für die Verarbeitung Verantwortlichen als auch die Prozesse einen Datenschutzbeauftragten (DSB) ernennen müssen, der die Datenschutzstrategie überwacht. Beachten Sie, dass auch von Prozessen erwartet wird, dass sie über eine Datenschutzstrategie verfügen, obwohl sie nur den von den Prozessoren festgelegten Anweisungen zur Datenverarbeitung folgen.

Gemäß der DSGVO muss eine Organisation einen DSB oder eine Datenschutzbehörde ernennen, wenn eine der folgenden Bedingungen erfüllt ist:

• Wenn eine Behörde die Daten verarbeitet
• Werden die erhobenen Daten systematisch überwacht,
• Wenn gesammelte Daten in großem Umfang verarbeitet werden
• Wenn "besondere Kategorien" von Daten erhoben werden (Profiling-Daten wie Rasse, ethnische Zugehörigkeit, Gesundheitsinformationen, biometrische Daten, politische Zugehörigkeit, Religion usw.)

Es ist wichtig zu beachten, dass die DSGVO nicht definiert, was "groß angelegt" ist. Aufgrund dieser Mehrdeutigkeit ernennen viele Organisationen Datenschutzbeauftragte, um sicher zu sein.

Unternehmen sollten Datenschutzbeauftragte ernennen, wenn ihre Datenverarbeitungsvorgänge zentralisiert sind, auch wenn sie sich außerhalb der EU befinden. Wenn eine Organisation in der EU ansässig ist, sollte ein DSB in dem Mitgliedstaat stationiert sein, in dem sich der Hauptsitz des Unternehmens befindet.

Im Idealfall sollte der DSB die gleichen Sprachen sprechen wie die DSGVO-Regulierungsbehörden in diesem Bundesstaat. Dies wird Unternehmen helfen, die DSGVO-Nuancen dieses Staates zu verstehen und daher einzuhalten.

Artikel 39 der DSGVO besagt, dass ein DSB in der Lage sein sollte, die folgenden Aufgaben zu erfüllen:

• Selbstbewusste Beratung sowohl der Verantwortlichen als auch der Prozesse über die besten DSGVO-Compliance-Praktiken
• Überwachung der Datenverarbeitung, um die Einhaltung der DSGVO sicherzustellen
• Genaue Beratung zu Datenschutz-Folgenabschätzungen
• Agieren Sie als primärer Ansprechpartner für alle Anfragen zur Datenverarbeitung
• Fungieren Sie als primärer Ansprechpartner zwischen dem Unternehmen und den DSGVO-Aufsichtsbehörden
• Verschaffen Sie sich ein klares Bild von allen potenziellen Risiken, die mit verschiedenen Verarbeitungsvorgängen verbunden sind.

Um diese Aufgaben effektiv wahrnehmen zu können, sollte ein DSB über Expertenwissen über die Gesetze und Best Practices der DSGVO verfügen. Um die Bemühungen von Datenschutzbeauftragten zu unterstützen, sollten Unternehmen eine Lösung zur Überwachung der Angriffsfläche einführen, um Schwachstellen zu identifizieren, die die verarbeiteten Daten offenlegen könnten.

3. Erstellen Sie ein DSGVO-Tagebuch

Ein DSGVO-Tagebuch oder ein Datenregister ist eine umfassende Aufzeichnung der Art und Weise, wie ein Unternehmen die Einhaltung der DSGVO praktiziert. Diese müsste nach Identifizierung der Datenquellen erstellt werden (Punkt 1 in dieser Liste).

Ein DSGVO-Tagebuch sollte den Datenfluss durch Ihr Unternehmen abbilden. Je mehr Details aufgenommen werden können, desto besser. Im Falle eines Audits dient das DSGVO-Tagebuch als Nachweis für die Einhaltung. Wenn Ihr Unternehmen bei der Einrichtung eines Compliance-Frameworks eine Datenschutzverletzung erleidet, kann das DSGVO-Tagebuch als Nachweis für die Fortschritte bei der Verbesserung der Datensicherheit verwendet werden.

Eine Lösung eines Drittanbieters zur Überwachung der Angriffsfläche hilft Unternehmen, alle Schwachstellen bei Datenschutzverletzungen in ihrem Anbieternetzwerk zu identifizieren und zu beheben. Die frühzeitige Implementierung einer solchen Lösung zeigt das Engagement eines Unternehmens für den Schutz von Kundendaten.

4. Bewerten Sie Ihre Anforderungen an die Datenerfassung

Um DSGVO-konform zu sein, sollten Unternehmen nur Daten sammeln, die unbedingt erforderlich sind. Die Anhäufung sensibler Daten ohne zwingenden Grund läutet die Alarmglocken für die Aufsichtsbehörde, die Ihre Compliance überwacht.

Alle Datenanforderungen sollten im Rahmen einer Datenschutz-Folgenabschätzung (PIA) und einer Datenschutz-Folgenabschätzung (DSFA) überprüft werden. Diese Folgenabschätzungen sind obligatorisch, wenn es sich bei den erhobenen Daten um hochsensible Daten handelt.

Die Klassifizierung von "Sensibilität" ist manchmal subjektiv. Um Verwirrung zu vermeiden, sind hier einige Fälle, die den Abschluss einer DSFA erfordern würden.

• Wenn Ihr Unternehmen neue Technologien einsetzt
• Wenn Sie den Standort von Personen verfolgen
• Wenn Sie das Verhalten von Einzelpersonen verfolgen
• Wenn Ihre Daten mit untergeordneten Elementen verknüpft sind
• Wenn Sie Daten für automatisierte Entscheidungen verwenden, die rechtliche Konsequenzen haben können
• Wenn Sie öffentlich zugängliche Bereiche überwachen
• Wenn Sie personenbezogene Daten verarbeiten, wie z. B.:

• Religiöse Ansichten
• Ethnische Herkunft und Identitäten
• Politische Meinungen
• Mitgliedschaften
• Genetische Daten
• Biometrische Daten
• Philosophische Überzeugungen
• Gesundheitsakten
• Sexuelle Orientierungen

Vorlage für eine Datenschutz-Folgenabschätzung (DSFA)

Das Information Commissioner's Office für das Vereinigte Königreich hat eine DSFA-Vorlage erstellt, die als Leitfaden für Datenschutzbewertungen verwendet werden kann. Diese Vorlage bietet einen tieferen Kontext zu den Aktivitäten, für die eine DSFA erforderlich ist, um Ihnen bei der Entscheidung zu helfen, ob Ihre spezielle Verarbeitungsaktivität eine Bewertung erfordert.

5. Melden Sie Datenschutzverletzungen sofort

Die unverzügliche Benachrichtigung über Datenschutzverletzungen ist eine zwingende Anforderung der DSGVO. Gemäß Artikel 33 der DSGVO müssen sowohl Verantwortliche als auch Auftragsverarbeiter Datenschutzverletzungen innerhalb von 72 Stunden melden.

Die hierarchische Berichtsstruktur sieht wie folgt aus:

Auftragsverarbeiter müssen Datenschutzverletzungen an die für die Verarbeitung Verantwortlichen melden, und die für die Verarbeitung Verantwortlichen müssen sich an eine Aufsichtsbehörde wenden.

Eine Aufsichtsbehörde, auch bekannt als Data Protection Association oder DPA, ist für die Überwachung und Durchsetzung der Einhaltung der DSGVO verantwortlich. Sie sind auch der Hauptansprechpartner für alle DSGVO-Anfragen für ein Unternehmen.

Aufsichtsbehörden befinden sich in der Regel in dem EU-Staat, in dem eine Organisation ihren Sitz hat. Die DSGVO ermächtigt Datenschutzbehörden, Geldbußen bei Nichteinhaltung sowohl gegen Verantwortliche als auch gegen Auftragsverarbeiter zu verhängen.

6. Seien Sie transparent über die Motive der Datenerhebung

Ihre Kunden müssen sich über alle Daten im Klaren sein, die Sie über sie sammeln. Eine heimliche Datenerfassung führt nur zu einer saftigen Geldstrafe bei Nichteinhaltung.

Die Bestätigung der Datenerfassung muss an jedem Datenerfassungspunkt deutlich sichtbar angezeigt werden - bevor Daten erhoben werden.

Hier sind einige gängige Website-Standorte, auf denen Benachrichtigungen zur Datenerfassung angezeigt werden:

Website-Formulare

In den Formularen auf der Website sollte klar angegeben sein, wie alle gesammelten Daten verwendet werden. Vermeiden Sie komplexe Formulierungen oder die Verwendung von Fachjargon, Ihre Botschaften sollten klar und prägnant sein.

Vorab angekreuzte Einwilligungsfelder sind nicht zulässig. Einzelpersonen sollten sich immer darüber im Klaren sein, dass sie mit der Datenerfassung einverstanden sind.

Hinweise zur Cookie-Sammlung

Die DSGVO klassifiziert Cookies, die Benutzer als Sammler personenbezogener Daten identifizieren. Daher müssen sie reguliert werden. Organisationen können weiterhin Cookie-Daten verwenden, sofern sie die folgenden DSGVO-Anforderungen erfüllen:

• Der Nutzer muss der Verwendung von Cookies ausdrücklich zustimmen, BEVOR Cookies verwendet werden
• Organisationen müssen klar festlegen, wie Cookie-Daten verwendet werden
• Alle Einwilligungen der Nutzer müssen dokumentiert und gespeichert werden
• Der Zugriff auf die Website sollte nicht behindert werden, wenn keine Zustimmung zur Verwendung von Cookies erteilt wird
• Nutzer sollten die Möglichkeit haben, die Einwilligung zur Verwendung von Cookies nahtlos zu widerrufen

Hier ist ein Beispiel für einen Cookie-Hinweis, der angibt, wie Cookie-Daten verwendet werden. Diese Erklärung ermöglicht es den Nutzern, die vollständige Kontrolle über die spezifischen Cookie-Daten zu haben, die sie bereit sind aufzugeben.

7. Überprüfen Sie das Alter aller Nutzer, die der Datenverarbeitung zustimmen

Die DSGVO erlaubt die Verarbeitung personenbezogener Daten nur für Personen, die mindestens 16 Jahre alt sind. Um rechtmäßig personenbezogene Daten von jüngeren Personen zu erheben, muss die Zustimmung des Trägers der elterlichen Verantwortung für das Kind erteilt werden.

Wenn die Möglichkeit besteht, dass EU-Bürger unter 16 Jahren mit Ihrer Website interagieren, müssen Sie einen Altersverifizierungsprozess einführen, um das Alter der Nutzer zu überprüfen, bevor Daten erfasst werden. Wenn die Verarbeitung personenbezogener Daten von minderjährigen Nutzern erforderlich ist, ist ein separates Verfahren zur elterlichen Zustimmung erforderlich.

8. Fügen Sie ein Double-Opt-in für alle neuen E-Mail-Listenanmeldungen hinzu

Um sicher zu bestätigen, dass alle Ihre Abonnenten zugestimmt haben, sich in Ihre E-Mail-Liste einzutragen, sollten Sie für alle neuen Anmeldungen ein Double-Opt-In-Verfahren einschließen.

Wenn Double-Opt-In aktiviert ist, wird eine Person erst dann zu einer E-Mail-Liste hinzugefügt, wenn sie ihre Zustimmung zweimal bestätigt hat. Die erste Einwilligung erfolgt, wenn das Anmeldeformular ausgefüllt ist, und die zweite Einwilligung, wenn ein Benutzer auf den Bestätigungslink in der E-Mail klickt, die ihm nach dem Ausfüllen des Formulars automatisch zugesandt wird.

Die DSGVO schreibt nicht explizit vor, dass ein Double-Opt-In-Verfahren verpflichtend ist, wird aber dringend empfohlen. Durch die Implementierung eines Double-Opt-ins für alle neuen E-Mail-Anmeldungen stellen Sie sicher, dass die Nutzer damit einverstanden sind, ihre Daten preiszugeben, was Ihr Engagement für die von der DSGVO festgelegten Datenschutzstandards zeigt.

9. Halten Sie Ihre Datenschutzerklärung auf dem neuesten Stand

Ihre Datenschutzerklärung muss auf Ihrer Website leicht zugänglich und immer auf dem neuesten Stand sein. Wann immer eine Aktualisierung vorgenommen wird, müssen alle Kunden eine aktualisierte Datenschutzerklärung und alle zusätzlichen Änderungen in einer E-Mail erhalten.

In einer Datenschutzerklärung sollte klar dargelegt werden, welche Daten erhoben werden und wie sie verwendet werden. Es wird eine Rechtsberatung empfohlen, um eine korrekte Datenschutzerklärung zu erstellen, die DSGVO-konform ist.

Werfen Sie zum Beispiel einen Blick auf die Datenschutzerklärung auf der DSGVO-Website.

10. Bewerten Sie regelmäßig alle Risiken von Drittanbietern

Die DSGVO erwartet von Unternehmen, dass sie sich kontinuierlich aller Sicherheitsrisiken bewusst sind und für jedes von ihnen Abhilfemaßnahmen ergreifen. Um diese Anforderungen effektiv zu erfüllen, sollten Unternehmen eine Lösung für Sicherheitsbewertung und Risikobewertung implementieren - idealerweise DSGVO-spezifische Risikobewertungen.

UpGuard VendorRisk stellt das Sicherheitsrisiko jedes Anbieters mit einer Sicherheitsbewertung dar. Dies ermöglicht es Unternehmen, ihre Vendor Due Diligence durchzuführen, indem sie sofort alle Sicherheitslücken jedes Anbieters identifizieren und bei der Behebung unterstützen. Anbieter mit schlechten Sicherheitsbewertungen werden als hochriskant eingestuft, was Unternehmen hilft, Abhilfemaßnahmen zu priorisieren oder den Anbieter zu wechseln.

VendorRisk enthält auch eine umfassende Bibliothek von Risikobewertungen, einschließlich eines DSGVO-Standard-Sicherheitsfragebogens, um sicherzustellen, dass alle Dritten die Vorschriften einhalten.

Der Schlüssel zu einem sicheren Ökosystem liegt darin, Schwachstellen konsequent zu überwachen und sofort zu beheben. Wenn Ihr Unternehmen nicht über das notwendige Fachwissen oder die Ressourcen für eine solche dedizierte Anstrengung verfügt, kann es den gesamten Umfang der Sicherheit Ihres Anbieters in Ihrem Namen verwalten.

UpGuard unterstützt Unternehmen bei der Einhaltung der DSGVO, indem es spezifische Sicherheitslücken identifiziert und behebt, die sich auf die Verordnung auswirken. Mit unserer DSGVO-Fragebogenvorlage können Unternehmen und Organisationen damit beginnen, ihre eigene DSGVO-Konformität sowie alle Dritten, mit denen sie innerhalb ihrer Lieferkette zusammenarbeiten, zu bewerten.

UpGuard ermöglicht es Unternehmen auch, die Einhaltung gängiger Vorschriften durch Dritte zu verfolgen, indem es die Reaktionen auf die Risikobewertung mit Sicherheitskontrollen abgleicht. Dabei werden Compliance-Lücken aufgezeigt, die Dritte einem erhöhten Risiko von Bußgeldern und Datenschutzverletzungen aussetzen.