Source: https://www.bmg-edv.de/service/dsgvo-toms-mit-einem-it-fachmann-umsetzen
Timestamp: 2020-08-07 18:38:33+00:00

Document:
DSGVO-TOMs mit einem IT Fachmann umsetzen - Service
DATENSCHUTZ GRUNDVERORDNUNG (EU - DSGVO)
Alle Unternehmen und Organisationen, die Waren oder Dienstleistungen anbieten!
Adressen, Vorname-Nachname, Telefonnummern, Ausweisnummer, Bankverbindungen, Fotos, E-Mail-Adresse, Krankheit, Religion,IP-Adressen, Standortinformationen, Website-Verhalten, etc., die in Zusammenhang mit einer Person gebracht werden können.
Was macht der Datenschutz Beauftragte gemäß der neuen EU DSGVO?
Daten, die nicht zur Ausführung der Tätigkeit benötigt werden, müssen gelöscht werden. Der betroffene der personenbezogenen Daten hat das Recht auf „Vergessen“ seiner Daten.
Er hilft bei der Dokumentation aller Abläufe und bei der Erstellung des „Verzeichnisses aller Verarbeitungstätigkeiten“.
Er überprüft regelmäßig die Einhaltung der Verarbeitungstätigkeiten.
Jedermann hat das Recht, innerhalb von 1 Monat Auskunft über die Daten zu bekommen, die zu seiner Person gespeichert bzw. verarbeitet werden.
In welcher Form kann ein Datenschutz Beauftragter tätig werden ?
1. interner Datenschutzbeauftragter.
3. Berater des internen Datenschutzbeauftragten
BMG EDV Systeme steht Ihnen bei der Umsetzung in Form als fachkundiger Berater für Ihren internen/externen
Datenschutzbeauftragten zur Seite.
Wichtig ist, dass Sie sämtliche Schritte zeitnah umsetzen und einen geeigneten Datenschutzbeauftragten (DSB) suchen.
Wir helfen Ihnen gerne dabei und schützen Sie vor hohen Bußgeldern.
Auch kleine Firmen sind von der EU-DSGVO betroffen, unabhängig von der Anzahl an relevanten Daten.
Denn es gilt: die DSGVO tritt ein, sobald im Betrieb personenbezogene Daten ganz oder zum Teil automatisiert gespeichert und / oder verarbeitet werden oder in einem Dateisystem gespeichert sind.
Die in der EU-DSGVO definierten Bußgelder können bis zu 20 Mio. Euro betragen (oder bis zu 4% des weltweiten Umsatzes).
Dementsprechend empfehlen wir das Thema Datenschutz frühzeitig anzugehen und datenschutzkonform zu arbeiten.
Viele denken, dass ab dem 25.05.2018 zunächst die Umsetzungsfrist beginnt. Diese Information ist leider falsch.
Die EU-DSGVO ist bereits seit 2016 in Kraft getreten und ab dem 25.05.2018 anzuwenden!
Wir helfen Ihnen die Anforderungen und Vorgaben umzusetzen, ohne dabei den Fokus auf das normale Tagesgeschäft zu verlieren.
Auch als Geschäftsführer haben Sie im Zweifel eines Verstoßes die Verantwortung und können persönlich haftbar gemacht werden, sofern die DSGVO Vorgaben nicht eingehalten werden.
Aus diesem Grund ist das Einhalten von Dokumentationspflichten sehr wichtig um gegenüber der Aufsichtsbehörde eindeutige Nachweise zu haben, dass rechtskonform gehandelt wurde.
Bestandsaufnahme machen - DSGVO Art. 30
Um sich im Dschungel der Datenschutzgesetze zurecht zu finden, hilft eine Bestandsaufnahme der im Unternehmen verarbeiteten personenbezogenen Daten. Das sogenannte Verfahrens-verzeichnis ist für viele Unternehmen verpflichtend.
Gesetz: DSGVO Art. 30, Erwägungsgründe 13 und 82.
Rechtsgrundlagen prüfen - DSGVO Art. 6 ff.
Für jede Kategorie von er-hobenen Daten sollte geklärt werden, auf welche Rechts-grundlage sich die Verarbeitung stützt, denn bezüglich Datenerhebung spricht man auch vom „Verbot mit Erlaubnisvorbehalt".
Gesetz: DSGVO Art. 6 ff., Erwägungsgründe 39-50
Datenschutz umsetzen - DSGVO Art. 5, 7 und 25
IT-Sicherheit, Datenschutz und Geschäftsführung stimmen sich ab, wo man schon konform ist und wo mit welchen Maßnahmen jetzt gehandelt werden muss, um Rechtssicherheit zu erlangen.
Gesetz: DSGVO Art. 5, 7 und 25 sowie Erwägungsgründe 42 und 78.
Verträge checken - DSGVO Art. 28
Unternehmerische Verant-wortung gilt auch für Daten, die im Auftrag außer Haus bearbeitet werden. Jetzt gilt es Dienstleisterverträge zu prüfen und sich abzusichern, ob die Anbieter DSGVO-konform arbeiten.
Gesetz: DSGVO Art. 28 und Erwägungsgrund 81.
Datenschutzbeauftragten benen.- DSGVO Art. 33, 36, 37
Wenn das Unternehmen einen Datenschutzbeauf-tragten braucht, dann muss dieser der Aufsichtsbehörde des Bundeslandes mitgeteilt werden. Externe Dienstleister sind eine sinnvolle Option
Gesetz: DSGVO Art. 33, 36 und 37
Informationspflichten vorbereiten - DSGVO Art. 12-21
Natürlich Personen haben gegenüber Unternehmen, die ihre Daten verarbeiten Rechte. Wie das Unternehmen auf die Wahrnehmung solcher Rechte reagiert, sollte strukturell angelegt und vorbereitet sein.
Gesetz: DSGVO Art. 12-21
BMG EDV-SYSTEME setzt die Technischen und organisatorischen Maßnahmen (TOM) i.S.d. Art. 32 DSGVO für Sie um:
1.	Vertraulichkeit - 1.1.	Zutrittskontrolle
Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren. Als Maßnahmen zur Zutrittskontrolle können zur Gebäude- und Raumsicherung unter anderem automatische Zutrittskontrollsysteme, Einsatz von Chipkarten und Transponder, Kontrolle des Zutritts durch Pförtnerdienste und Alarmanlagen eingesetzt werden. Server, Telekommunikationsanlagen, Netzwerktechnik und ähnliche Anlagen sind in verschließbaren Serverschränken zu schützen. Darüber hinaus ist es sinnvoll, die Zutrittskontrolle auch durch organisatorische Maßnahmen zu stützen.
1.	Vertraulichkeit - 1.2.	Zugangskontrolle
Mit Zugangskontrolle ist die unbefugte Verhinderung der Nutzung von Anlagen gemeint. Möglichkeiten sind beispielsweise Bootpasswort, Benutzerkennung mit Passwort für Betriebssysteme und eingesetzte Softwareprodukte, Bildschirmschoner mit Passwort, der Einsatz von Chipkarten zur Anmeldung wie auch der Einsatz von CallBack-Verfahren. Darüber hinaus können auch organisatorische Maßnahmen notwendig sein, um beispielsweise eine unbefugte Einsichtnahme zu verhindern (z.B. Vorgaben zur Aufstellung von Bildschirmen, Herausgabe von Orientierungshilfen für die Anwender zur Wahl eines „guten“ Passworts).
1.	Vertraulichkeit - 1.3.	Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Zugriffskontrolle kann unter anderem gewährleistet werden durch geeignete Berechtigungskonzepte, die eine differenzierte Steuerung des Zugriffs auf Daten ermöglichen. Dabei gilt, sowohl eine Differenzierung auf den Inhalt der Daten vorzunehmen als auch auf die möglichen Zugriffsfunktionen auf die Daten. Weiterhin sind geeignete Kontrollmechanismen und Verantwortlichkeiten zu definieren, um die Vergabe und den Entzug der Berechtigungen zu dokumentieren und auf einem aktuellen Stand zu halten (z.B. bei Einstellung, Wechsel des Arbeitsplatzes, Beendigung des Arbeitsverhältnisses). Besondere Aufmerksamkeit ist immer auch auf die Rolle und Möglichkeiten der Administratoren zu richten.
1.	Vertraulichkeit - 1.4.	Trennungskontrolle
2.	Integrität - 2.1. Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Zur Gewährleistung der Vertraulichkeit bei der elektronischen Datenübertragung können z.B. Verschlüsselungstechniken und Virtual Private Network eingesetzt werden. Maßnahmen beim Datenträgertransport bzw. Datenweitergabe sind Transportbehälter mit Schließvorrichtung und Regelungen für eine datenschutzgerechte Vernichtung von Datenträgern.
2.	Integrität - 2.2. Eingabekontrolle
Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. Eingabekontrolle wird durch Protokollierungen erreicht, die auf verschiedenen Ebenen (z.B. Betriebssystem, Netzwerk, Firewall, Datenbank, Anwendung) stattfinden können. Dabei ist weiterhin zu klären, welche Daten protokolliert werden, wer Zugriff auf Protokolle hat, durch wen und bei welchem Anlass/Zeitpunkt diese kontrolliert werden, wie lange eine Aufbewahrung erforderlich ist und wann eine Löschung der Protokolle stattfindet.
3.1.	Verfügbarkeitskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Hier geht es um Themen wie eine unterbrechungsfreie Stromversorgung, Klimaanlagen, Brandschutz, Datensicherungen, sichere Aufbewahrung von Datenträgern, Virenschutz, Raidsysteme, Plattenspiegelungen etc
4.1.	Datenschutz-Management
4.2.	Incident-Response-Management
Unterstützung bei der Reaktion auf Sicherheitsverletzungen.
4.3.	Datenschutzfreundliche Voreinstellungen
(Art. 25 Abs. 2 DSGVO);
4.4.	Auftragskontrolle
(Outsourcing an Dritte)
Maßnahmen, die gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Unter diesen Punkt fällt neben der Datenverarbeitung im Auftrag auch die Durchführung von Wartung und Systembetreuungsarbeiten sowohl vor Ort als auch per Fernwartung. Sofern der Auftragnehmer Dienstleister im Sinne einer Auftragsverarbeitung einsetzt, sind die folgenden Punkte stets mit diesen zu regeln.

References: Art. 30
 Art. 30
 Art. 6
 Art. 6
 Art. 5
 Art. 5
 Art. 28
 Art. 28
 Art. 33
 Art. 33
 Art. 12
 Art. 12
 Art. 32