Source: http://docplayer.org/68231239-Herausforderungen-und-konsequenzen-der-eu-dsgvo-fuer-it-infrastrukturen.html
Timestamp: 2020-07-14 19:10:33
Document Index: 305640423

Matched Legal Cases: ['Art. 56', 'Art.25', 'Art.25', 'Art.17', 'Art.17', 'Art.20', 'Art. 35', 'Art.36', 'Art. 33', 'Art.25', 'Art.25', 'Art.28', 'Art.28', 'Art.37', 'Art. 39', 'Art. 39', 'Art.42', 'Art. 83', 'Art.5', 'Art. 1', 'Art. 1', 'Art. 6', 'Art.5', 'Art. 25']

Herausforderungen und Konsequenzen der EU-DSGVO für IT-Infrastrukturen - PDF Kostenfreier Download
Download "Herausforderungen und Konsequenzen der EU-DSGVO für IT-Infrastrukturen"
1 Digitalisierung braucht IT-Security! Herausforderungen und Konsequenzen der EU-DSGVO für IT-Infrastrukturen Roger Palm Berlin,
2 Übersicht 1. Grundlegendes zur Datenschutzgrundverordnung Was ist neu? Technisch-organisatorische Maßnahmen To do s Aufgaben zur Implementierung 11 Seite 2
3 Werdegang EU-Datenschutz-Grundverordnung Mehr als 6 Jahre vom Entwurf bis zur Anwendbarkeit Entwurf durch die EU- Kommission EU- Ministerrat tagt zur EU- DSGVO LIBE- Ausschuss nimmt Anträge an 2. Entwurf des EU- Parlaments 3. Entwurf des EU- Parlaments 1.Trilog- Treffen Letztes Trilog- Treffen Inkrafttreten Anwendung Bereits in Kraft! Aktuell: Übergangszeit! noch 198 Tage bis zur Anwendbarkeit! Seite 3
4 Jedes dritte Unternehmen hat sich noch nicht mit der DS-GVO beschäftigt, Bitkom Seite 4
5 EU-DSGVO - Übersicht 99 Artikel und 173 Erwägungsgründe ca. dreimal so viele Artikel und doppelt so viele Erwägungsgründe wie die Datenschutz-Richtlinie 95/46/EG ca. doppelt so viele Artikel wie das BDSG Paragrafen Wortlaut der DSGVO darf im deutschen Ausführungsgesetz nicht wiederholt werden. Entwurf des BMI zu einem A-BDSG Seite 5
6 EU-DSGVO Was ist neu? 1. Marktortprinzip: Zugang zum zum europäischen Markt Markt nur nur bei bei hier hier geltenden Regeln 2. One-Stop-Shop (Art. (Art. 56): 56): Eine Eine zuständige Aufsichtsbehörde am am jeweiligen Hauptsitz in in der der EU EU 3. Neue Definitionen besonderer Daten: Genetische Daten, Biometrische Daten, Profiling, Neue Gesundheitsdaten, Definitionen besonderer Daten von Daten: Kindern, Genetische etc. Daten, Profiling, Daten von Kindern, etc. 4. Privacy by by Design und und Privacy by Default by Default (Art.25) (Art.25) 5. Rechte von Betroffenen: Recht auf Vergessenwerden / Löschung / Löschung (Art.17), (Art.17), Prinzip Prinzip der der Datenportabilität (Art.20) 6. Pflicht zur Datenschutz-Folgenabschätzung (Art. (Art. 35) 35) 7. Pflicht zur Konsultation der der Aufsichtsbehörden statt statt nur nur der der Möglichkeit (Art.36) 8. Meldepflichten bei bei Datenschutzverletzungen binnen h (Art. h (Art. 33) 33) 9. Neue Bedeutung der technisch-organisatorische Maßnahmen: (TOM): Datenschutz Datenschutz durch Technik-gestaltung durch gestaltung 32) (Art.25, 32) (Art.25, 10. Erweiterte Definition Auftragsdatenverarbeitung / / Auftragsverarbeiter (Art.28) (Art.28) 11. Pflichtzur zur Bestellung eines behördlichen (wie bisher) oder betrieblichen Datenschutz-beauftragten (Art.37) 12. Stärkere Einbindung des des Datenschutzbeauftragten, Verantwortlichkeiten festlegen festlegen (Art. 39) (Art. 39) 13. Sicherheits-Standards und Zertifizierung (Art.42) 14. Rechenschaftspflicht: Erweiterte Dokumentations- und und Nachweispflichten Nachweis eines eines Konzepts zur Einhaltung des Datenschutzes 15. Höherer Bußgeldrahmen : : Gestaffelte Bußgelder bis bis zu 20 zu Mio 20 Mio oder oder falls falls höher höher bis bis 4% 4% des des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres (Art. 83) Seite 6
7 Grundprinzipien der Datenverarbeitung (Art.5) Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten (Art. 1 Abs. 2 DSGVO) und der freie Verkehr personenbezogener Daten (Art. 1 Abs. 3 DSGVO) sollen erreicht werden durch: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz Verarbeitung soll auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbare Weise geschehen (Art. 6) Zweckbindung Die Verarbeitung darf nur für im vorhinein festgelegte Zwecke erfolgen und nicht in einer nicht mit diesem Zweck zu vereinbarenden Weise weiterverarbeitet werden Datenminimierung Verarbeitung muss dem Zweck angemessen und auf das notwendige Maß beschränkt sein Richtigkeit Daten müssen richtig und auf aktuellem Stand sein. Unrichtige Daten müssen unverzüglich berichtigt oder gelöscht werden Speicherbegrenzung Daten dürfen nur so lange gespeichert werden, wie es für den betreffenden Zweck erforderlich ist Integrität und Vertraulichkeit Es müssen geeignete Technisch Organisatorische Maßnahmen (TOM) ergriffen werden, um einen ausreichenden Schutz gegen unbefugte oder unrechtmäßige Verarbeitung, zufälligem Verlust, zufälliger Zerstörung oder Schädigung sicherzustellen Rechenschaftspflicht (Accountability) Einhaltung der o.g. Prinzipien muss durch Unternehmen nachgewiesen werden Kapitel II Art.5 analog den Prinzipien des BDSG Seite 7
8 Neue Bedeutung der TOM s: Datenschutz durch Technikgestaltung (Art. 25 & 32) Berücksichtigung nicht nur von Art, Umfang und Zweck der Verarbeitung, Stand der Technik und Kosten, sondern auch die Eintrittswahrscheinlichkeit und die Risiken für die Betroffenen. deutlich konkretisierter, risikobasierter Ansatz! Risikobewertung der Verfahren erforderlich! Sicherstellen der Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer Schutzziele eines ISMS - ähnlich wie BDSG Sicherstellen der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei physischen oder technischen Zwischenfällen rasch wiederherstellen zu können. Business Continuity Management-Konzept (Datensicherungs-, Notfall-/Recovery-Konzept ), Identity- und Access-Management (IAM) Einführung der Pseudonymisierung und Verschlüsselung personenbezogener Daten Einführung eines Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung (neu) Etablierung eines ein Managementsystems zur Datensicherheit im Unternehmen ISO Anforderungen? Datenschutzbeauftragter = informeller Informationssicherheitsbeauftragter? Weitere Maßnahmen durch 14 Gewährleistungsziele gemäß 64 des Gesetzesentwurfs zur DSAnpUG-EU (ABDSG) Seite 8
9 Überarbeitete Gebote nach 64 (A)BDSG neu 1. Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle) 2. Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern (Datenträgerkontrolle) 3. Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle) 4. Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle) 5. Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben (Zugriffskontrolle) 6. Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle) 7. Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind (Eingabekontrolle) 8. Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden (Transportkontrolle) 9. Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellbarkeit) 10.Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit) 11.Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität) 12.Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle) 13.Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle) 14.Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können (Trennbarkeit) Seite 9
10 ISMS & DSGVO Schutz aller Informationen (Geschäftsdaten, Organisation, Prozesse) Informationssicherheit ISMS IT-Sicherheit Infrastruktur HW / SW Datenschutz Rollen & Organisation DS Management DS Prozesse Schutz der datenverarbeitenden Technik Schutz personenbezogener Daten Seite 10
11 To do s Aufgaben zur Implementierung Rollen, Organisation und Verantwortlichkeiten Verfahrensverzeichnis, neues Verzeichnis der Verarbeitungstätigkeiten, Datenverarbeitungsprozesse Verfahren zur Durchführung der Datenschutz-Folgenabschätzung (DSFA) Verfahren zur schnellen Meldung aller Verstöße Update Einwilligungserklärungen, Widerruf der Einwilligung, Betriebsvereinbarungen Datenschutz-Risikomanagement-System mit abgeleiteten Maßnahmen (Risikoanalyse und Folgenabschätzung) Nachweis durch Zertifizierung: PDCA- Zyklus Aufbau formelles Datenschutz-Managementsystem Prüfung Technisch-Organisatorische Maßnahmen (TOM) Penetrationstest Portabilitätsverpflichtung: Verfahren zur Bereitstellung von Daten Privacy by Design: Datenschutz bei Produktentwicklung Update Datenschutzerklärungen Update Vereinbarungen zur Auftragsdatenverarbeitung Schulungen zu den Neuerungen der DS-GVO und den eigenen Prozessen (Betroffenenrechte, Informationspflichten) Seite 11
12 Empfehlungen.ansonsten: Ruhig bleiben und alles Weitere im Blick behalten! Eine perfekte Umsetzung der EU-DSGVO wird am 25. Mai 2018 von niemandem erwartet. Bitkom_Leitfaden-EU-DS-GVO-FAQ-03.pdf Wichtig ist allerdings, dass Unternehmen nachweisen können, sich bereits eingehend mit der Thematik befasst zu haben. Seite 12
13 Kontakt ROGER PALM Bergheimer Str Berlin Seite 13