Source: https://www.aurasec.de/leistungen/datenschutzmanagement/
Timestamp: 2019-06-27 02:57:05
Document Index: 229052949

Matched Legal Cases: ['Art. 5', 'Art. 5', 'Art. 6', 'Art. 7', 'Art. 9', '§ 22', 'Art. 10', 'Art. 33', '§ 29', 'Art. 32', 'Art. 37', '§ 5', 'Art. 17', '§ 35', 'Art. 24', '§ 11', '§ 80', '§ 8', 'Art. 37', 'Art. 37', 'Art. 37']

Datenschutzmanagement | AuraSec GmbH
© shutterstock.com by Ditty_about_summer
Die Bedeutung des Datenschutzes ist mit der Entwicklung komplexer Informationssysteme und den gesetzlichen Anforderungen stetig gestiegen.
Für die Datenerfassung, Datenverarbeitung und Datenweitergabe werden immer mehr digitale Dienste genutzt. In der Praxis besteht die Herausforderung darin, Innovationen durch sinnvolle und angemessene Maßnahmen des Datenschutzes bzw. der Informationssicherheit so zu flankieren, dass diese rechtssicher realisiert werden können.
DSGVO + BDSG-neu
Anforderungen an ein Datenschutz-Management-System (DSMS)
Die neue Datenschutz-Gesetzgebung stellt Unternehmen vor neue Herausforderungen. Das gilt nicht nur im Hinblick auf die Verschärfung einzelner Vorschriften oder die Höhe möglicher Bußgelder. Vielmehr stellt die Grundverordnung in Art. 5 Abs. 2 klar, dass eine Rechenschaftspflicht besteht („Accountability“).
Neu: Die Rechenschaftspflicht für Unternehmen
Unter „Accountability“ ist nicht nur die Zuständigkeit und Verantwortung für die Einhaltung der festgelegten Prinzipien zur Datenverarbeitung nach Art. 5 Abs. 1 DSGVO zu verstehen, sondern auch eine Nachweispflicht. Das Unternehmen muss nachweisen (können), dass es als Verantwortlicher angemessene und wirksame Maßnahmen ergreift, um die datenschutzrechtlichen Grundsätze und Verpflichtungen der DSGVO umzusetzen.
Worauf bezieht sich die Rechenschaftspflicht?
Die Rechenschaftspflicht erstreckt sich auf alle Anforderungen, die die Grundverordnung an den für die Verarbeitung Verantwortlichen stellt. Dazu zählen die allgemeinen Prinzipien der DSGVO ebenso wie spezifische Anforderungen an den Lebenszyklus der Verarbeitung von personenbezogenen Daten im Unternehmen.
Zunächst zu den allgemeinen Prinzipien der Grundverordnung:
Prinzipien der Verarbeitung von personenbezogenen Daten
Rechtmäßigkeit: Verarbeitung nach Treu und Glauben
Transparenz: Verarbeitung auf rechtmäßige Weise, nach dem Grundsatz von Treu und Glauben und in einer für den Betroffenen nachvollziehbaren Weise
Zweckbindung: Erhebung für festgelegte, eindeutige und rechtmäßige Zwecke, wobei eine Weiterverarbeitung diesen Zwecken nicht zuwiderlaufen darf
Datenminimierung: Beschränkung auf das für den Zweck der Verarbeitung angemessene und sachlich relevante sowie notwendige Maß
Richtigkeit: Sachlich richtige und ggf. aktuellste Daten, Maßnahmen zur unverzüglichen Löschung oder Berichtigung unzutreffender Daten
Speicherbegrenzung: Speicherung mit Personenbezug höchstens so lange, wie es für die Verarbeitungszwecke erforderlich ist
Integrität, Vertraulichkeit, Verfügbarkeit: Geeignete technisch-organisatorische Maßnahmen zum angemessenen Schutz der Daten, insbesondere vor unbefugter oder unrechtmäßiger Verarbeitung, zufälligem Verlust, zufälliger Zerstörung oder Schädigung
Rechtmäßigkeit, Art. 6 DSGVO: Der Verantwortliche muss die Rechtmäßigkeit an den gesetzlich definierten Verarbeitungstatbeständen ausrichten. Dazu zählen v.a. die Voraussetzung einer Einwilligung, Art. 7, 8 DSGVO, Einschränkungen für besondere Datenkategorien und Inhalte, Art. 9, 9 lit. a DSGVO, § 22 BDSG-neu, und die Verarbeitung ohne Bestimmung des Betroffenen, Art. 10 DSGVO.
Verletzung, Art. 33, 34 DSGVO, § 29 BDSG-neu: Verletzungen des Schutzes personenbezogener Daten muss der Verantwortliche an die Aufsichtsbehörde melden. Gegebenenfalls muss er die Betroffenen benachrichtigen.
Datensicherheit, Art. 32 DSGVO: Der Verantwortliche muss risikobasiert durch geeignete Maßnahmen die klassischen IT-Sicherheitsziele Vertraulichkeit, Integrität und Verfügbarkeit bei der Datenverarbeitung sicherstellen („Sicherheitskonzept“).
Datenschutzbeauftragter, Art. 37–39 DSGVO, §§ 5, 38 BDSG-neu: Der Verantwortliche hat unter bestimmten Voraussetzungen einen Datenschutzbeauftragten zu bestellen, dessen Aufgaben v.a. in der Beratung und in der Überwachung des Einhaltens der DSGVO-Vorgaben liegen.
Recht auf Vergessenwerden, Art. 17 DSGVO, § 35 BDSG-neu: Der Verantwortliche hat nicht nur sicherzustellen, dass personenbezogene Daten nur ausnahmsweise nicht „unverzüglich“ gelöscht werden. Er muss – sofern er die Daten publik macht – auch sicherstellen, dass er Dritte darüber informiert.
Fazit: Ohne Datenschutz-Management-System geht es nicht
Der Verantwortliche muss im Ergebnis einen „bunten Blumenstrauß“ an Maßnahmen (risikobasiert) definieren, umsetzen, dokumentieren und kontrollieren. Angesichts der Fülle von Anforderungen einerseits und der Rechenschafts- und Nachweispflicht aus der DSGVO andererseits wird er dabei um ein geordnetes System nicht herumkommen.
Ausblick: Der PDCA-Zyklus
Die Marschrichtung für ein solches System gibt die DSGVO selbst vor. Denn sie greift etablierte Prinzipien aus Management-Systemen anderer Disziplinen wie etwa der Informationssicherheit oder des Risikomanagements auf. Das zeigt besonders deutlich Art. 24 DSGVO.
Danach muss der Verantwortliche unter Berücksichtigung des Kontexts und des Risikos Maßnahmen planen, umsetzen, dokumentieren, prüfen und bei Bedarf verbessern. Nichts anderes besagt im Kern der P(lan)-D(o)-C(heck)-A(ct)-Zyklus als Prinzip eines jeden Management-Systems.
Leistungen rund um das Thema Datenschutzmanagement sowie unsere branchenspezifischen Lösungen:
Die AuraSec GmbH verfügt über einen Pool von hochqualifizierten Fachleuten, die gleichzeitig über ausgeprägte Kompetenz im Bereich des Datenschutzes sowie auch der Informationssicherheit verfügen. Sie können bei der Klärung von hochkomplexen datenschutzrechtlichen und technischen Fragestellungen unterstützen und entsprechende Projekte rechtssicher in ihr Ziel führen. Dabei verfügen unsere Experten über ausgeprägtes Branchen-Know-How, bspw. im Kontext des Sozialdatenschutzes.
Bestandsaufnahme / Datenschutzaudit nach EU-DSGVO, BDSG und SGB
Bei einem Datenschutzaudit erheben und analysieren wir für Sie den aktuellen Sachstand des Datenschutzmanagements in Ihrem Unternehmen. Dabei werden mögliche Nichtkonformitäten zu den gesetzlichen Anforderungen sowie Sicherheitslücken aufgezeigt und Maßnahmen zu deren Behebung empfohlen. Dem Grundsatz folgend, dass nicht jede technisch oder organisatorisch mögliche Maßnahme auch angemessen und effizient ist, wird bei der Auswahl von Maßnahmen im Dialog mit dem Auftraggeber insbesondere nach ökonomisch angemessenen Lösungen gesucht.
Nach dem Audit erhalten Sie einen kompakten und anwendungsbezogenen Bericht mit konkreten und priorisierten Handlungsempfehlungen, um den Datenschutz in Ihrem Unternehmen rechtskonform und effizient zu optimieren.
Stellung eines Datenschutzbeauftragten (DSB)
Gemäß der EU-Datenschutzgrundverordnung und dem Bundesdatenschutzgesetz ist die Bestellung eines Datenschutzbeauftragten (DSB) unter gewissen Voraussetzungen (Unternehmensgröße, Verarbeitung sensibler personenbezogener Daten) notwendig. Abhängig von Ihren konkreten Anforderungen stellen wir einen qualifizierten Experten, der die Rolle des Datenschutzbeauftragten in Ihrem Unternehmen/in Ihrer Organisation übernimmt oder wir unterstützen einen bereits bestellten internen Datenschutzbeauftragten bei seiner Arbeit.
Datenschutzmanagement Unterstützungsleistungen
Wir unterstützen Sie bei der Einführung eines umfassenden gesetzeskonformen, jedoch pragmatischen und effektiven Datenschutzmanagements. Gerne beraten wir Sie auch hinsichtlich der Implementierung eines Datenschutzmanagementsystems, die zunehmend an Bedeutung gewinnt. Mit einem Datenschutzmanagementsystem minimieren Sie die Haftungsrisiken und etwaige Bußgelder für den Fall, dass es einmal zu einem Datenschutzvorfall kommt.
Prüfung der Auftragsdatenverarbeitung / Auftragsverarbeitung
“Nach europäischem und nationalem hat sich der Auftraggeber vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren.” (§ 11 Abs. 2 Satz 4 und 5 BDSG, § 80 Abs. 2 Satz 4 und 5 SGB X, ähnlich lautend auch § 8 Abs. 2 Satz 3 KDO).
Dementsprechend sind die Auftraggeber verpflichtet, in der Regel vor Ort beim Auftragnehmer eine Prüfung der technischen-/organisatorischen Maßnahmen des Auftraggebers durchzuführen. Die Unterlassung dieser Prüfung vor Beginn der Auftragsdatenverarbeitung kann mit einem Bußgeld belegt werden.
Für die sachgerechte Durchführung dieser Prüfungen ist spezifischer Sachverstand erforderlich. Dies gilt insbesondere in dem Fall, dass für die Datenverarbeitung komplexe IT-Systeme eingesetzt werden.
Die Experten der AuraSec GmbH führen jährlich ca. 100 ADV-Prüfungen im Auftrag von rund 70 unterschiedlichen Unternehmen bei verschiedensten Dienstleistern durch.
Stellung eines externen Datenschutzbeauftragten in Fitness- und Gesundheitsstudios
Nach Art. 37 der EU-Datenschutzgrundverordnung (EU-DSGVO) sind Fitness- und Gesundheitsstudios mit mehr als neun Mitarbeitern, die regelmäßig mit automatisierter Datenverarbeitung (Erhebung und Nutzung) zu tun haben und/oder sensible personenbezogene Daten gemäß Artikel 9 (Gesundheitsdaten) erheben und verarbeiten, dazu verpflichtet, einen Datenschutzbeauftragten zu bestellen.
Der Art. 37 sieht ebenfalls vor, dass der Datenschutzbeauftragte auf der Grundlage seiner beruflichen Qualifikation und insbesondere des Fachwissens benannt wird, das er auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt, sowie auf der Grundlage seiner Fähigkeit zur Erfüllung der in Artikel 39 genannten Aufgaben.
Gemäß Art. 37 der EU-DSGVO kann der Datenschutzbeauftragte seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfüllen (externer Datenschutzbeauftragter).
Die AuraSec bietet die Stellung eines externen Datenschutzbeauftragten sowie weitere Unterstützungsleistungen an.
Bereitstellung eines externen Datenschutzbeauftragten inklusive:
– Nennung des Datenschutzbeauftragten auf der Website des Auftraggebers
– Meldung des Datenschutzbeauftragten an die Aufsichtsbehörde [sofern erforderlich]
– Ansprechpartner in Fragen des Datenschutzes insbesondere für die Geschäftsführung und die Mitarbeiter, aber auch in Abstimmung mit dem Geschäftsführer für Kunden, Kooperationspartner, Behörden und Verbände
– Nutzung unseres Online-Portals mit FAQ zu gängigen Fragestellungen. Darin sind sämtliche Dokumente verfügbar, um schnell selbst ein individuelles Datenschutz- und IT-Sicherheitskonzept zu erstellen
– Erstellung eines jährlichen Tätigkeitsberichts
Zusätzliche bzw. optionale Leistungen:
Durchführung einer Bestandsaufnahme, Erstellung eines Maßnahmenplans (nach Aufwand)
Auswertung und Prüfung der vom Studio erstellten Dokumente, Telefonberatung zu datenschutzrechtlichen Fragen und Sachverhalten (nach Aufwand)
Online-Schulung über das AuraSec E-Learning-Portal
Zur Übernahme der Funktion des Datenschutzbeauftragten ist eine Bestandsaufnahme erforderlich. Die Bestandsaufnahme ermittelt die aktuell umgesetzten technischen und organisatorischen Maßnahmen zum Datenschutz und zur IT-Sicherheit und bewertet deren Reifegrad. Aus den Ergebnissen leitet sich der Handlungsbedarf zur Erreichung einer Konformität zu den gesetzlichen Anforderungen gemäß EU-DSGVO bzw. „BDSG neu“ sowie etwaigen spezialgesetzlichen Datenschutzanforderungen ab, und es werden Vorschläge für Verbesserungen mittels eines Maßnahmenplans unterbreitet.
Bei einer Bestandsaufnahme hat der Auftraggeber folgende Wahlmöglichkeiten:
Variante 1: Durchführung vor Ort durch AuraSec
– Durchführung von Interviews
– Prüfung von ausgewählten Dokumenten zum Datenschutz und zur IT-Sicherheit sowie
– Begehung der Räumlichkeiten
– Erstellung einer Maßnahmenübersicht mit Handlungsempfehlungen
Variante 2: Durchführung mittels Checkliste durch den Auftraggeber
– Durchführung der Bestandsaufnahme mittels einer durch AuraSec zur Verfügung gestellten Checkliste
– Prüfung von seitens des Auftraggebers zur Verfügung gestellten Dokumenten und Informationen
Sprechen Sie uns an, wir beraten Sie gerne bzgl. der Vor- und Nachteile beider Varianten und erstellen eine verbindliche Aufwandskalkulation für die mit der Bestandsaufnahme einhergehenden Kosten.
Gerne führen wir auch bei Ihnen ein gesetzeskonformes, effektives und kostengünstiges Datenschutz- und IT-Sicherheitskonzept ein. Kontaktieren Sie uns und lassen Sie sich Ihr persönliches Angebot erstellen: info@aurasec.de
© shutterstock.com by BlueSkyImage