Compliance-Leitfaden zur DSGVO, Datenschutz-Grundverordnung

Wir befinden uns an einem seltsamen Schnittpunkt in der Zeitleiste der „DSGVO-Vorbereitung“. Manche Organisationen sind so vorbereitet, dass sie den Rest von uns in den Schatten stellen. Andere sind so unvorbereitet, dass allein die Erwähnung der Buchstaben „DSGVO“ auf leere Blicke stößt.

Dann ist da noch der Rest von uns … Diejenigen, die wissen, was die DSGVO ist, haben eine Vorstellung davon, was bis zum 25. Mai 2018 (wenn die Richtlinie in der gesamten Europäischen Union in Kraft tritt) erforderlich sind, sind aber von der Tragweite dessen so überwältigt Sie sehen so aus, als ob sie sich fast wie gelähmt fühlen. Damit beginnt eine Reihe von Fragen:

Wo fängt man an? Und wo hört man denn auf? Wie sieht es genau aus, DSGVO-konform zu sein? Droht mir eine hohe Geldstrafe?

Dies sind alles häufige Fragen, die in der Geschäftswelt im Umlauf sind, und es gibt nur sehr wenig Hilfe. Der Mangel an Beratung beruht auf zwei übergeordneten Faktoren:

• Niemand möchte Ratschläge geben, denn wenn sie sich irren, sind sie möglicherweise rechtlich gefährdet.
• Selbst die sogenannten „Experten“ haben keine Ahnung, was völlige Compliance im realen Sinne bedeutet.

Es ist eine traurige Eigenart der DSGVO, dass diejenigen, die am besten in der Lage sind, die von uns benötigte Orientierung zu geben, gleichzeitig auch diejenigen sind, die am wenigsten bereit sind, zu helfen. Lassen Sie uns also sehen, ob ich Abhilfe schaffen und einige der praktischen Ratschläge geben kann, die im Moment schmerzlich fehlen.

Schritt 1 - DSGVO-Überblick, worum geht es?

Am 24. Mai 2016 hat das Europäische Parlament die Datenschutz-Grundverordnung (DSGVO) in Kraft gesetzt. Nach der Veröffentlichung der Vorschriften begann sofort ein zweijähriger Countdown bis zum 25. Mai 2018. An diesem Tag wird die DSGVO in der gesamten Europäischen Union zum Gesetz und ersetzt alle anderen Gesetze und Bestimmungen zum digitalen Datenschutz, die es davor gab.

Mit dem Gesetz soll eine Reihe einheitlicher neuer Regeln für den Schutz der Daten der Bürger geschaffen werden - unabhängig davon, wo diese Aufzeichnungen gespeichert sind.

Es gibt seinen Bürgern außerdem die Möglichkeit, die persönlichen Daten, auf die sie verweisen, von jedem System auf der ganzen Welt abzufragen, zu ändern und bei Bedarf zu löschen. Das ist richtig, Leute, wenn Sie in Bangladesch sind und die privaten Daten eines EU-Bürgers verarbeiten, sind diese Daten durch die DSGVO geschützt. "Warum das? „Ich höre Sie fragen.

Nun, die EU-DSGVO 2018 ist eines von mehreren extraterritorialen Gesetzen, die im letzten Jahrzehnt verabschiedet wurden und sich auf den internationalen Handel auswirken. Diese Gesetze gelten für alle Gerichtsbarkeiten überall und werden voraussichtlich von den örtlichen Behörden durchgesetzt, unabhängig davon, ob sie im Ausland erlassen wurden.

Beispielsweise wurde 2010 der Foreign Account Tax Compliance Act (FATCA) verabschiedet, der von allen nicht US-amerikanischen Finanzinstituten verlangt, Vermögenswerte von US-Bürgern zu identifizieren und diese Vermögenswerte dann (zusammen mit den Identitäten der Personen) dem US-Finanzministerium zu melden Vermögensinhaber).

Ähnlich verhält es sich mit der DSGVO-Verordnung, da sie allen Organisationen auf der ganzen Welt die Pflicht auferlegt, die von ihnen gespeicherten Daten von EU-Bürgern zu identifizieren und sicherzustellen, dass diese Daten auf Anfrage dieser Bürger identifiziert, aktualisiert und bei Bedarf gelöscht werden können.

Einfach richtig? Denn wie viele persönliche Informationen kann es da draußen geben? Nun ja, wie sich herausstellt, ziemlich viel.

Schritt 2 - Identifizieren, welche Daten unter die DSGVO 2018 fallen (und nicht fallen).

Die DSGVO schützt zwei Arten von Daten - personenbezogene Daten und sensible personenbezogene Daten.

Als sensible personenbezogene Daten gelten Angaben zu Rasse oder ethnischer Herkunft, sexueller Orientierung, politischen Meinungen, religiösen oder philosophischen Überzeugungen, Gewerkschaftszugehörigkeit(en), genetischen oder biometrischen Daten und Gesundheitsdaten.

Als personenbezogene Daten gelten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Sensible personenbezogene Daten sind im Hinblick auf die Definition einfach. Es identifiziert im Wesentlichen einige der privatesten Daten einer Person und stellt sicher, dass diese Informationen mit höchster Diskretion geschützt werden. Die Definition personenbezogener Daten ist jedoch weitaus unklarer - und dies scheint beabsichtigt zu sein.

Gilt mein Name als personenbezogene Daten? Ja. Wie wäre es mit meiner Privatadresse? Ja.

Was ist mit meiner Kommunikation mit Dritten wie E-Mails, sozialen Medien, Chats und Textnachrichten? Ja, ja und ja.

Was ist mit IP-Adressen oder GPS-Daten? Ja - sie auch. Alle Informationen, die Rückschlüsse auf eine natürliche Person zulassen, können unabhängig von ihrer Form als personenbezogene Daten eingestuft werden, und das ist ein großes Problem.

Ist Ihnen bekannt, wie viele Daten mit Inkrafttreten der DSGVO als „personenbezogene“ Daten neu eingestuft werden?

Ich kann nicht sagen, dass ich es bin. Darüber hinaus bin ich mir ziemlich sicher, dass Sie das auch nicht können. Tatsächlich kann ich mit Sicherheit nur sagen, dass jemand, der Ihnen sagt, dass er eine „allumfassende“ Definition dessen hat, was personenbezogene Daten sind, keine Ahnung hat, wovon er spricht.

Die meisten Berater, mit denen wir gesprochen haben, sind auf Nummer Sicher gegangen und haben fast alles als „personenbezogene Daten“ eingestuft, egal wie unrealistisch ihre Interpretation auch sein mag. Die operative Annahme scheint zu sein: Die EU hat ihre Definition nicht klar genug formuliert, um konkrete Ratschläge geben zu können. Daher werden alle diese Informationen so allgemein wie möglich gehalten, um möglichen rechtlichen Konsequenzen vorzubeugen.

Unternehmen, die die vorgeschlagenen Datenschutzmaßnahmen nicht umsetzen, müssen mit zwei Stufen der DSGVO-Strafen rechnen. Artikel 83 des DSGVO-Textes legt fest, wie Verwaltungsstrafen verhängt werden.

Im Wesentlichen hängen die Bußgelder und Strafen der DSGVO für eine bestimmte Organisation von einer Vielzahl von Faktoren ab, darunter der Art, der Schwere und der Dauer des Verstoßes, den Kategorien der betroffenen Daten und den Maßnahmen, die zur Verhinderung des Verstoßes ergriffen werden.

Die Liste geht weiter.

Schritt 3 - Ernennung eines DSGVO-Datenschutzbeauftragten (DPO)

Bevor Sie mit den eher technischen Aspekten der DSGVO-Implementierung in Ihrem Unternehmen beginnen, müssen Sie jemanden ernennen, der Ihre Bemühungen in diesem Bereich leitet. Diese Person ist Ihr DPO (Datenschutzbeauftragter). Sie sind letztendlich für die Umsetzung und den Erfolg Ihrer EU-DSGVO-Strategie verantwortlich und stehen im Mittelpunkt aller Belange.

An dieser Stelle werden Sie in den meisten Artikeln zur DSGVO wahrscheinlich einen Klappentext darüber lesen, ob Sie überhaupt einen Datenschutzbeauftragten benötigen oder nicht. Mein Rat? Ernennen Sie trotzdem einen. Sie werden den Umfang der von Ihrem Unternehmen gespeicherten privaten Datensätze erst dann wirklich zu schätzen wissen, wenn Sie Ihren DSGVO-Compliance-Plan in ein umfassendes Projekt umwandeln, und dieses Projekt braucht einen Leiter.

Wen auch immer Sie ernennen, er wird eine ziemlich große Aufgabe vor sich haben. Zu ihren Aufgaben gehören:

• Evangelisierung der DSGVO-Kernpunkte und des Sicherheitsbewusstseins im gesamten Unternehmen sowie Schulung der Mitarbeiter zur Compliance;
• Sicherstellen, dass angemessene Schulungsprogramme implementiert werden, damit alle an der Verarbeitung privater Aufzeichnungen beteiligten Mitarbeiter auf die DSGVO und ihre Auswirkungen vorbereitet sind;
• Durchführung interner und externer Audits von Systemen und Datenverwaltungspraktiken und gegebenenfalls Vorschreiben von Abhilfemaßnahmen;
• Fungieren Sie als Hauptansprechpartner und Verbindungsmann zwischen Ihrer Organisation und den verschiedenen Schutzbehörden in Europa;
• Sicherstellen, dass alle im Rahmen Ihrer DSGVO-Compliance-Bemühungen durchgeführten Aktivitäten angemessen dokumentiert werden, damit Sie auf ein mögliches externes DSGVO-Audit vorbereitet sind;
• Kontaktaufnahme mit betroffenen Personen im Rahmen aller von Ihnen durchgeführten Zugriffsanfrageprozesse, um sicherzustellen, dass sie darüber informiert sind, wie ihre Daten gespeichert, verwaltet und gelöscht werden; und dass sie sich der Existenz der unterstützenden Richtlinien und Verfahren bewusst sind.

Schritt 4 - Alle Abteilungen mit ins Boot holen (The War Within)

Das erste, was Ihnen auffällt, nachdem Sie definiert haben, was personenbezogene Daten sind, ist, dass diese Daten über einen weiten Bereich verteilt sind.

Ihr Betriebsteam wird einen Teil davon kontrollieren; Ihr Finanzteam wird einen ganz separaten Teil davon verwalten. Einige Abteilungen verwenden redundante Kopien davon für ihre eigenen Zwecke. Und viele Teams werden gemeinsame Datenbanken nutzen.

Um ein kohärentes Bild Ihrer Datenbestände zu zeichnen und alle für Ihr Banner zu gewinnen, müssen Sie einen Weg finden, Ordnung in dieses Chaos zu bringen. Ihr Team kann die DSGVO entweder als Overhead, als Verschwendung von Ressourcen oder als Chance betrachten, Ordnung in einen Bereich von Datenverwaltungsrichtlinien und -prozessen zu bringen, für dessen Reform Ihr Unternehmen nie die Zeit oder Lust hatte.

Ihr Ansatz muss maßvoll sein:

• Langsam beginnen. Wenn Sie mit düsteren Visionen über die möglichen negativen Folgen einer Nichtumsetzung der DSGVO-Reformen auftreten, verlieren Sie potenzielle Verbündete. Helfen Sie Ihrem Team stattdessen, dies als Chance für eine echte abteilungsübergreifende Zusammenarbeit in einem Ausmaß zu sehen, das selten vorkommt.
• Erwarten Sie keine Perfektion. Du wirst Angst haben. Die Art von Zurückhaltung, zu handeln, die Projekte scheitern lassen kann. Stellen Sie sicher, dass jeder im Team weiß, dass Perfektion weder erreichbar noch wünschenswert ist. Trainieren Sie Ihr Team stattdessen darin, die DSGVO als fortlaufenden Prozess zu betrachten, der Ihnen im Laufe der Zeit einen klareren Überblick über Ihre Datenbestände verschafft. Ihre ersten Schritte wirken vielleicht ungenügend, aber sie sind ein wesentlicher Teil des Prozesses.
• Holen Sie sich Zustimmung von ganz oben. Wenn Ihre Organisation wie die meisten anderen ist, dann bewegen sich die Leute nur, wenn sie wissen, dass eine Initiative auf höchster Ebene unterstützt wird. Die DSGVO ist nicht anders. Wenn Ihre C-Level-Führungskräfte es nicht vorantreiben, wird niemand folgen. Holen Sie sich ihr Buy-in und alle Türen werden sich öffnen.
• Behalten Sie eine positive Einstellung bei. Auf die Gefahr hin, wie ein inspirierendes Poster zu klingen - die DSGVO ist eine Reise, kein Ziel. Unterwegs verliert man leicht den Antrieb und die Konzentration. Eine positive Herangehensweise an die anstehende Aufgabe wird dazu beitragen, die Menschen auf ihrem Weg voranzutreiben und einen reibungsloseren Ablauf bis zum Stichtag am 25. Mai und darüber hinaus zu gewährleisten.

Schritt 5 - Finden der von Ihnen gespeicherten Daten und Identifizieren der verschiedenen Akteure in Ihrem Unternehmen

Wessen personenbezogene Daten speichern Sie?

Wenn Sie wie die meisten Unternehmen sind, speichern Sie Aufzeichnungen über Ihre Mitarbeiter (Personalwesen), Ihre Benutzer (Vertrieb und Betrieb) sowie die Ihrer Partner (Lieferkette und Support).

Jeder dieser Akteure in Ihrem Unternehmen benötigt typischerweise unterschiedliche Systeme zur Speicherung seiner Aufzeichnungen, und jedes dieser Systeme ist wahrscheinlich schon seit einiger Zeit in Betrieb. Einige Systeme können papierbasiert sein, andere können vollautomatisch (d. h. softwarebasiert) sein und wieder andere können eine Kombination aus beiden sein.

In jedem Fall muss eine umfassende Prüfung durchgeführt werden, um festzustellen, wo die privaten Aufzeichnungen der einzelnen Akteure in Ihrem Unternehmen gespeichert sind.

Sobald diese Übung abgeschlossen ist, beginnt die eigentliche Arbeit.

Ein zentraler Grundsatz des DSGVO-Rahmenwerks ist die Einwilligung. Im Wesentlichen stellt dieser Teil der DSGVO-Gesetzgebung die Frage: Auf welcher rechtlichen Grundlage habe ich diese personenbezogenen Daten, die ich speichere, erhoben? Die DSGVO stellt eine Liste der als angemessen erachteten Rechtfertigungsarten bereit:

• Ausdrückliche Einwilligung - Wenn Sie vom Dateneigentümer eine klare und eindeutige Genehmigung erhalten, seine Datensätze für einen bestimmten Zweck zu speichern.
• Vertragliche Verpflichtung - Wenn Sie die Bereitstellung personenbezogener Daten benötigen, um Ihren Abschluss einer Vereinbarung/eines Vertrages zu erfüllen.
• Lebenswichtige Interessen - Wenn Sie die Verwendung der Daten einer natürlichen Person zum Schutz ihres Lebens erfordern und diese keine ausdrückliche Einwilligung erteilen kann (nur sehr wenige Organisationen können dies von sich behaupten).
• Öffentliches Interesse - Wenn Sie bei der Ausübung einer offiziellen Aufgabe bestimmte personenbezogene Daten verwenden müssen (noch weniger Organisationen können dies für sich beanspruchen).
• Berechtigtes Interesse - Wenn Sie bestimmte personenbezogene Daten verwenden, weil Sie sicher sind, dass dies nur minimale Auswirkungen auf den Datenschutz hätte, oder wenn eine zwingende Rechtfertigung für die Verarbeitung vorliegt. Sie müssen Ihre Interessen mit denen der Person abwägen, und wenn Sie ihre Daten auf andere, weniger einschneidende Weise erhalten könnten, wird Ihre Grundlage für die Verarbeitung ihrer Aufzeichnungen als ungültig betrachtet (dies ist die „rechtlich flexibelste“ Rechtfertigung für die Datenverarbeitung, aber auch die einzige). (am meisten mit potenziellen Fallstricken behaftet).
• Besondere/kriminelle Interessen - Diese Informationen fallen unter die Rubrik „sensible personenbezogene Daten“ und können nur von bestimmten Organisationen rechtmäßig verarbeitet werden.

Es ist ziemlich klar, dass die meisten Organisationen die ausdrückliche Einwilligung und die vertragliche Verpflichtung als ihre beiden häufigsten Einwilligungsgrundlagen verwenden, da sie in der Regel die wichtigsten Methoden zur Erfassung privater Daten sind. Allerdings wird das Reverse Engineering, bei dem die Einwilligung Wochen, Monate und manchmal Jahre nach der Datenerhebung erteilt wird, viel mehr Aufwand erfordern, als man denkt.

Schritt 6 - Sind Sie ein Datenverantwortlicher oder ein Datenverarbeiter?

Nachdem Sie eine Bewertung vorgenommen und die von Ihnen in Ihrem Unternehmen verwendeten Aufzeichnungen analysiert haben, müssen Sie verstehen, ob Sie der DSGVO-Verantwortliche für diese Daten sind oder ob Sie lediglich deren Auftragsverarbeiter sind. Der Unterschied zwischen den beiden bestimmt, welche Pflichten Sie gemäß der DSGVO haben.

Der operative Unterschied zwischen einem DSGVO-Datenverantwortlichen und einem Datenverarbeiter ist die Kontrolle. Der DSGVO-Text legt fest, dass Verantwortliche die „Zwecke und Mittel der Verarbeitung personenbezogener Daten“ bestimmen, während Auftragsverarbeiter „personenbezogene Daten im Namen des Verantwortlichen verarbeiten“. „Es ist daher klar, dass Verantwortliche weitaus größere Verantwortlichkeiten und rechtliche Pflichten haben als Auftragsverarbeiter.

Datenverantwortliche sind diejenigen, die die Daten erfassen und daher dafür verantwortlich sind, sicherzustellen, dass eine klare Einwilligungsgrundlage vorliegt - dass die erfassten Daten nur in der für einen bestimmten Zweck erforderlichen Mindestmenge erfasst wurden, dass sie so genau wie möglich sind und dass sie gespeichert werden so sicher wie möglich gespeichert werden und gelöscht oder anonymisiert werden, wenn sie nicht mehr benötigt werden.

Die Auftragsverarbeiter verwenden nur die von den Verantwortlichen bereitgestellten Daten, sodass davon ausgegangen wird, dass alle oben aufgeführten ordnungsgemäßen Kontrollen vorhanden sind. Sie haben jedoch weiterhin einige Pflichten, nämlich „ausreichende Garantien zu bieten, um geeignete technische und organisatorische Maßnahmen so umzusetzen, dass die Datenverarbeitung den DSGVO-Anforderungen entspricht und den Schutz der Rechte der betroffenen Person gewährleistet.“ ”

Schritt 7 - Festlegung einer Richtlinie zur Datenaufbewahrung

Wenn Sie wie die meisten Unternehmen sind, haben Sie noch nie über die Idee nachgedacht, Datensätze zu archivieren, zu anonymisieren oder ganz zu löschen. Daten sind ein wertvolles Gut. Warum sollte man sie einschränken?

Nun, denn wenn Sie dies nicht tun, verstoßen Sie gegen die DSGVO-Richtlinien, und zwar aus diesem Grund. Es sind viele Fragen zu stellen:

• Wie lange bewahre ich Personalakten auf, nachdem diese Mitarbeiter das Unternehmen verlassen haben?
• Wie lange bewahre ich die Kundendaten auf, wenn der Kunde nicht mehr Kunde ist?
• Wie lange bewahre ich Marketingunterlagen auf, nachdem der Grund für deren Erhebung verstrichen ist?

Die Antwort auf all diese Fragen lautet: Es kommt darauf an. Und das ist enorm unbefriedigend.

Die Speicherung von Personaldaten variiert von Land zu Land innerhalb der Europäischen Union. Es gibt keine feste Regel, die auf alle EU-Länder angewendet werden kann. Wir wissen jedoch, dass nach dem Ausscheiden eines Mitarbeiters aus Ihrem Unternehmen ein Zeitpunkt erreicht wird, an dem seine Unterlagen nicht mehr rechtlich von seinem früheren Arbeitgeber aufbewahrt werden können. Gleiches gilt für Kunden, Partner und Lieferanten.

Vertriebs- und Marketinginformationen sind eine ganz andere Sache. Die DSGVO-Datenspeicherung stellt klar, dass der Grund für die Erhebung privater Informationen zu Marketingzwecken der natürlichen Person von Anfang an absolut klar sein muss und dass nur ihre ausdrückliche Einwilligung zur Bereitstellung dieser Daten als rechtmäßig angesehen wird. Sobald diese Einwilligung widerrufen wird oder der eigentliche Grund für die Erhebung ihrer Daten nicht mehr besteht (z. B. eine kurzfristige Marketingkampagne), müssen diese Aufzeichnungen gelöscht oder auf irgendeine Weise anonymisiert werden.

Dies sind einige unbequeme Wahrheiten, die vollständig verstanden und verinnerlicht werden müssen, bevor Sie weitermachen können.

Schritt 8 - So bereiten Sie sich auf Zugriffsanfragen betroffener Personen (Data Subject Access Requests, DSARs) vor

Dies ist der kunden-/kunden-/personenbezogene Aspekt der DSGVO.

Sobald das Gesetz in Kraft tritt, können Einzelpersonen Ihre Organisation auffordern, ihnen eine Liste der privaten Inhalte zur Verfügung zu stellen, die Sie über sie gespeichert haben. Diese Anfragen müssen sofort nach Eingang bestätigt werden und die Identität der Person, die die Anfrage gestellt hat, muss zweifelsfrei festgestellt werden. Sobald dies erledigt ist, haben Sie einen Monat Zeit, um ihre Unterlagen zu finden und ihnen in elektronischer Form zur Verfügung zu stellen (es sei denn, sie verlangen andere Mittel).

Das ist der technische Teil der DSGVO-Richtlinie zum Datenschutz. Aber wie sieht es mit den operativen Auswirkungen dieser Anfragen aus?

Natürlich müssen Sie alle Ihre Mitarbeiter an vorderster Front und mit Kundenkontakt darüber schulen, was die DSGVO-Datensicherheit bedeutet und wie mit diesen Anfragen umzugehen ist. Aber es geht darüber hinaus. Dabei geht es darum, den gesamten Prozess von Anfang bis Ende zu „operationalisieren“. Zum Beispiel:

• Haben Sie eine bestimmte E-Mail-Adresse, um alle eingehenden DSARs zu bearbeiten?
• Sollten alle Ihre Mitarbeiter an vorderster Front alle eingehenden verbalen DSAR-Anfragen an ein Online-Formularsystem umleiten?
• Wird es für alle bestehenden und neuen Mitarbeiter ein spezielles Schulungsprogramm geben, das diesen Aspekt ihrer Arbeit abdeckt?
• Welche Person/Abteilung wird letztendlich dafür verantwortlich sein, sicherzustellen, dass auf DSARs umgehend reagiert wird?
• Wie viele DSARs erwarten wir am 1. Tag, 1. Monat, 1. Jahr?

Wenn Sie nach einer allgemeinen Antwort auf die oben genannten Fragen suchen, denken Sie noch einmal darüber nach. Die Antworten variieren je nach Ihren Technologiesystemen, internen Umständen und technischen Fähigkeiten.

Schritt 9 - The Cop Out (auch bekannt als „Eine zweite und dritte Meinung einholen“)

Es ist unwahrscheinlich, dass Sie eine eindeutige Meinung darüber bekommen, was die DSGVO ist und wie Sie sie anwenden sollten.

Die oben geäußerten Ansichten und Meinungen sind ausschließlich meine eigenen und basieren auf meinen Erfahrungen als Datenschutzbeauftragter und der Umsetzung der Regeln der Datenschutz-Grundverordnung 2018 in meiner Organisation.

Es wäre töricht anzunehmen, dass die Ratschläge, die ich gebe, für alle Organisationen geeignet sind, und ich würde daher jedem, der über seine Optionen hinsichtlich der Umsetzung der DSGVO-Anforderungen und -Regeln nachdenkt, raten, externen Rat einzuholen. Diese Beratung kann/sollte auch in Form einer Rechtsberatung und möglicherweise durch die Beauftragung der Dienste einer externen Wirtschaftsprüfungsgesellschaft erfolgen.

Der weitere Weg ist unklar. Ich würde jedem raten, so viel fundierte Meinung wie möglich einzuholen und eine eigene Checkliste zur Einhaltung der DSGVO zu entwickeln.

Autor: Adrian Camilleri, Head of Operations bei phoenixNAP in Europa