Erfolgsfaktor Datenqualität Datenschutz und Datensicherheit in der Versandapotheke

Transkript

1 Erfolgsfaktor Datenqualität Datenschutz und Datensicherheit in der Versandapotheke Seite 1

2 Inhalt Ziele des Vortrages Infos über die Gesetzes- und Rechtslage Anwendungen der Gesetzes- und Rechtslage im Unternehmen Praktische Beispiele und Hinweise Klärung von Fragen im Zusammenhang Seite 2

3 Inhalt Bereich 1 - Basis des Datenschutzes Bereich 2 - Schutz der Personenbezogenen Daten gem. BDSG Bereich 3 - Unternehmensrisiken Bereich 4 - Haftungsrisiken der Geschäftsleitung Bereich 5 - Private Nutzung Bereich 6 - technisch / organisatorische Maßnahmen Bereich 7 - Ihre Fragen und Diskussion Bereich 8 - Unsere Lösungsvorschläge Seite 3

4 Bereich 1 - Basis des Datenschutzes Datenschutz Datensicherheit Seite 4

5 Bereich 1 - Basis des Datenschutzes Datenschutz und Datensicherungs-Maßnahmen Zutrittskontrolle Zugangskontrolle Zugriffskontrolle Weitergabekontrolle Eingabekontrolle Auftragskontrolle Verfügbarkeitskontrolle Trennungskontrolle Seite 5

6 Bereich 1 - Basis des Datenschutzes Das Bundesdatenschutzgesetz Das Landesdatenschutzgesetz EU-Richtlinien Seite 6

7 Bereich 1 - Basis des Datenschutzes Das Datenschutzgesetz gilt für alle. Der Unternehmer oder die Person haftet bei Verstoß mit bis zu bzw. bis zu persönlich. Ein Datenschutzbeauftragter muss bestellt werden, wenn im Unternehmen personenbezogene Daten mit elektronischen Medien von mehr als 4 Mitarbeitern bearbeitet werden Seite 7

8 Die Stellung, Verpflichtung, Ausbildung des Datenschutzbeauftragten: Der DSB ist im Sinne seiner Aufgabe weisungsfrei von der Geschäftsleitung zu bestellen (Kündigungsschutz und Zugriff auf interne, sensible Daten). Der DSB ist persönlich haftbar. Der DSB darf nicht Mitglied der GL oder IT-Abteilung sein. Der DSB muss seine Fachkunde nachweisen und diese regelmäßig ergänzen. Der DSB darf, wenn extern bestellt, nicht vom Unternehmen wirtschaftlich abhängig sein Seite 8

9 Die Aufgaben des Datenschutzbeauftragten: Seite 9

11 Bereich 2 - Schutz der Personenbezogenen Daten gem. BDSG Schutzbedarf für Daten Art und Umfang von Datensicherungsmaßnahmen richten sich unter anderem nach der Schutzwürdigkeit der gespeicherten personenbezogenen Daten. Daten werden nach Schutzbedarfsklassen kategorisiert und entsprechend ihrer Schutzwürdigkeit unterschiedlich behandelt Die Schutzbedarfsklassen werden von A bis E definiert Seite 11

12 Online-Apotheke!!! Bereich 2 - Schutz der Personenbezogenen Daten gem. BDSG Stufe A: frei zugängliche Daten, in die Einsicht gewährt wird, ohne dass der Einsichtnehmende ein berechtigtes Interesse geltend machen muss. Beispiel: Adressbücher Mitgliederverzeichnisse Benutzerkataloge in Bibliotheken Seite 12

13 Online-Apotheke!!! Bereich 2 - Schutz der Personenbezogenen Daten gem. BDSG Stufe B: Daten, deren Missbrauch zwar keine besondere Beeinträchtigung erwarten lässt, deren Kenntnisnahme jedoch an ein berechtigtes Interesse des Einsichtnehmenden gebunden ist. Beispiel: Beschränkt zugängliche öffentliche Dateien Verteiler für Unterlagen Seite 13

14 Online-Apotheke!!! Bereich 2 - Schutz der Personenbezogenen Daten gem. BDSG Stufe C: Daten, deren Missbrauch den Betroffenen in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigen kann (Ansehen). Beispiel: Betriebswirtschaftliche Daten des Unternehmens Kennzahlen des Unternehmens Mitarbeiterdaten (außer Gesundheitsdaten) Seite 14

15 Online-Apotheke!!! Bereich 2 - Schutz der Personenbezogenen Daten gem. BDSG Stufe D: Daten, deren Missbrauch die gesellschaftliche Stellung oder die wirtschaftlichen Verhältnisse des Betroffenen erheblich beeinträchtigen kann (Existenz). Beispiel: Gesundheitsdaten Seite 15

16 Online-Apotheke!!! Bereich 2 - Schutz der Personenbezogenen Daten gem. BDSG Stufe E: Daten, deren Missbrauch Gesundheit, Leben oder Freiheit des Betroffenen beeinträchtigen kann. Beispiel: Daten über Personen, die mögliche Opfer einer strafbaren Handlung sein können. Daten der Schutzstufe E dürfen niemals auf mobilen Datenträgern in jedweder Form ohne hochsichere Verschlüsselung transportiert werden (Notebook, PDA, CD, Memory-Stick etc.) Seite 16

17 Bedeutung für den realen Nutzer Stufe A und B (unkritische Daten) Die Daten können auch auf mobilen Speichermedien transportiert und auch extern genutzt werden Stufe C und D (sensible Daten) Die Daten können auch auf mobilen Speichermedien transportiert werden Voraussetzung ist eine verschlüsselte Speicherung Stufe E (hochsensible Daten) Die Daten können auf mobilen Speichermedien nur innerhalb der Unternehmung transportiert werden. Auch hier ist eine sichere Verschlüsselung unabdingbar Seite 17

18 Inhalt Bereich 1 - Basis des Datenschutzes Bereich 2 - Schutz der Personenbezogenen Daten gem. BDSG Bereich 3 - Unternehmensrisiken Bereich 4 - Haftungsrisiken der Geschäftsleitung Bereich 5 - Private Nutzung Bereich 6 - Technisch / organisatorische Maßnahmen Bereich 7 - Ihre Fragen und Diskussion Bereich 8 - Unsere Lösungsvorschläge Seite 18

19 Bereich 3 - Unternehmensrisiken Veruntreuung von Betriebsinformationen -(Bsp. Weitergabe von Kundenlisten) Kosten von Systemausfällen Ausfall von Arbeitszeit Versicherungsproblem Datenschutz -(Bsp. Ausfall durch Viren oder techn. Defekt) -(Bsp. Privates surfen oder private ) -(Versicherungsleistungen im Schadensfall) -(Bsp. Bestellung eines Datenschutzbeauftragten) Zivilrechtliche Haftung Vertragliche Haftung Deliktische Haftung (Unternehmen und Geschäftsleitung) -(Bsp. Vertragsstrafe infolge Verzug) -(Bsp. Schaden durch Viren bei Dritten) Seite 19

20 Unternehmensumfeld: Banken Nach KWG und Basel II ( 25a KWG Abs1 / 24C 5/6 (Kreditkonditionen sind abhängig vom erreichten Risikomanagement) Wirtschaftsprüfer IDW PS 330 Prüfungsstandard (Neubewertung der Bilanzen und Abschlüsse ) Wettbewerber / Kunden Wettbewerbsvorteile / Vertrauen Versicherungen (Risiken von Abmahnungen oder Einstweiligen Verfügungen) Versicherungsleistungen im Schadensfall (Grundlage: Sorgfalt eines ordentlichen Kaufmanns) Seite 20

22 Bereich 4 - Haftungsrisiken der Geschäftsleitung Verrat von Geschäfts- und Betriebsgeheimnissen Ausspähen von Daten Verletzung von Privatgeheimnissen Verwertung fremder Geheimnisse Computerbetrug Datenveränderung Computersabotage Urheberrechtsgesetz Seite 22

23 Bereich 4 - Haftungsrisiken der Geschäftsleitung Verrat von Geschäfts- und Betriebsgeheimnissen (Gesetz gegen den unlauteren Wettbewerb (UWG) 17 ) Beispiel Weitergabe von Informationen über Mitarbeiter, Kunden, Patienten, Mandanten, wirtschaftliche Verhältnisse Gesetz Wer als eine bei einem Unternehmen beschäftigte Person ein Geschäfts- oder Betriebsgeheimnis, das ihr im Rahmen des Dienstverhältnisses anvertraut worden oder zugänglich geworden ist, während der Geltungsdauer des Dienstverhältnisses unbefugt an jemand zu Zwecken des Wettbewerbs, aus Eigennutz, zugunsten eines Dritten oder in der Absicht, dem Inhaber des Unternehmens Schaden zuzufügen, mitteilt, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft Risiko Beschlagnahme der zentralen EDV-Systeme und Arbeitstationen durch den Staatsanwalt Seite 23

24 Bereich 4 - Haftungsrisiken der Geschäftsleitung Ausspähen von Daten (Strafgesetzbuch (StGB) 202a ) Beispiel Weitergabe von Informationen über Mitarbeiter, Kunden, Patienten, Mandanten, wirtschaftliche Verhältnisse Gesetz Wer unbefugt Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, sich oder einem anderen verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft. Risiko Beschlagnahme der zentralen EDV-Systeme und Arbeitstationen durch den Staatsanwalt Seite 24

25 Bereich 4 - Haftungsrisiken der Geschäftsleitung Verletzung von Privatgeheimnissen (Strafgesetzbuch (StGB) 203) Beispiel Weitergabe von Informationen über Kunden, Patienten, Mandanten, wirtschaftliche Verhältnisse Gesetz Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als 1. Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert, 2. Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlussprüfung,.. anvertraut worden oder sonst bekannt geworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Risiko Beschlagnahme der zentralen EDV-Systeme und Arbeitstationen durch den Staatsanwalt Seite 25

26 Bereich 4 - Haftungsrisiken der Geschäftsleitung Verwertung fremder Geheimnisse (Strafgesetzbuch (StGB) 204) Beispiel Weitergabe von Informationen über Kunden, Patienten, Mandanten, wirtschaftliche Verhältnisse gegen einen Vorteil (Geld etc.) Gesetz Wer unbefugt ein fremdes Geheimnis, namentlich ein Betriebs- oder Geschäftsgeheimnis, zu dessen Geheimhaltung er nach 203 verpflichtet ist, verwertet, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft Risiko Beschlagnahme der zentralen EDV-Systeme und Arbeitstationen durch den Staatsanwalt Seite 26

27 Bereich 4 - Haftungsrisiken der Geschäftsleitung Computerbetrug (Strafgesetzbuch (StGB) 263a) Beispiel Manipulation von Abrechnungsdaten bei der Kassenabrechnung einer Apotheke Gesetz Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, daß er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflusst, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft Risiko Beschlagnahme der zentralen EDV-Systeme und Arbeitstationen durch den Staatsanwalt Seite 27

28 Bereich 4 - Haftungsrisiken der Geschäftsleitung Datenveränderung (Strafgesetzbuch (StGB) 303) Beispiel Löschung von Mails oder virenbehafteten Dateien Gesetz Wer rechtswidrig Daten ( 202a Abs. 2) löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft Risiko Beschlagnahme der zentralen EDV-Systeme und Arbeitstationen durch den Staatsanwalt Seite 28

29 Bereich 4 - Haftungsrisiken der Geschäftsleitung Unerlaubte Verwertung urheberrechtlich geschützter Werke (Urheberrechtsgesetz 106) Beispiel Downloads von mp3 Dateien oder Kinofilmen ins Firmennetzwerk Bereitstellung von mp3 Dateien oder Kinofilmen aus dem Firmennetzwerk (ESEL ) Gesetz Wer in anderen als den gesetzlich zugelassenen Fällen ohne Einwilligung des Berechtigten ein Werk oder eine Bearbeitung oder Umgestaltung eines Werkes vervielfältigt, verbreitet oder öffentlich wiedergibt, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft. Risiko Beschlagnahme der zentralen EDV-Systeme und Arbeitstationen durch den Staatsanwalt Seite 29

30 Bereich 4 - Haftungsrisiken der Geschäftsleitung Bundesdatenschutzgesetz (Bußgeldvorschriften 43 ) Beispiel Nachlässigkeiten bei der Bestellung des DSB oder im Umgang mit den relevanten Daten Gesetz Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind,erhebt oder verarbeitet, 2. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, zum Abruf mittels automatisierten Verfahrens bereithält, 3. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, abruft oder sich oder einem anderen aus automatisierten Verarbeitungen oder nicht automatisierten Dateien verschafft, 4. die Übermittlung von personenbezogenen Daten, die nicht allgemein zugänglich sind, durch unrichtige Angaben Die Ordnungswidrigkeit kann im Fall des Absatzes 1 mit einer Geldbuße bis zu fünfundzwanzigtausend Euro, in den Fällen des Absatzes 2 mit einer Geldbuße bis zu zweihundertfünfzigtausend Euro geahndet werden Seite 30

32 Bereich 5 - Private Nutzung Risiko :Private Nutzung Verlorene Arbeitszeit Telekommunikationsprovider Verbot der Protokollierung nach Bundesdatenschutzgesetz Beweisverwertungsverbot Seite 32

33 Bereich 5 - Private Nutzung Risiko :Private Nutzung Verbot nur über persönlich unterschriebene Erklärung möglich Ausnahmen (auch geringste) führen zu vollständiger Unwirksamkeit Seite 33

35 Bereich 5 - Technische / organisatorische Massnahmen Seite 35

36 Bereich 5 - technisch / organisatorische Maßnahmen Seite 36

37 Bereich 5 - technisch / organisatorische Maßnahmen Seite 37

38 Bereich 5 - technisch / organisatorische Maßnahmen Sicherheits Konzept Erstellung eines Sicherheits - Konzeptes Dienstanweisungen Formblätter Erstellung von: -Dienstanweisungen -Verpflichtungserklärungen -Verträgen mit Fremdunternehmen etc Seite 38

39 Bereich 5 - technisch / organisatorische Maßnahmen Erklärung gem. IDW-PS-330 Risk Management gem. KWG Transparenz gem. KonTraG Zertifikat nach ISO Nutzung Internet Nutzung Datenschutzerklärung Verpflichtungs- Erklärung Seite 39

41 Fragen???? Seite 41

42 Vielen Dank für Ihre Aufmerksamkeit Seite 42

43 Inhalt Bereich 8 - Unsere Lösungsvorschläge Technik IT-Security Systemcheck IT-Security Basis Check Organisation IT-Security Advanced Audit IT-Security Dienstanweisungen IT-Security Professional Package IT-Security Coaching Recht Externer Datenschutzbeauftragter IT-Security Recht Seite 43

44 IT-Security Basis Check Ziel: Beteiligte Funktionen: Ergebnis: Nutzen: Analyse und Beurteilung der wichtigsten Kernelemente der IT-Landschaft eines Unternehmens in Hinblick auf Effizienz, Sicherheit und Rechtskonformität. - IT-Security Consultant - Dokumentation des aktuellen Standes -Bewertung -Erläuterung zur Bewertung - Übersicht und Transparenz -Dokumentierter Status Kosten: werden projektspezifisch definiert Seite 44

45 Bereich 8 - Datenschutz und Datensicherheit Eine Managementaufgabe! IT-Security Advanced Audit Ziel: Beteiligte Funktionen: Ergebnis: Nutzen: Kosten: IT Security Advanced Audit gem. BSI zum Nachweis Risikomanagement für Wirtschaftsprüfung und Basel II Rating bzw. KWG - Senior IT-Security Consultant -Systemspezialist - Dokumentation des aktuellen Standes -Bewertung -Erläuterung zur Bewertung -Maßnahmenkatalog - Übersicht und Transparenz -Erfüllung der Anforderungen der Finanzbehörde und des Finanzwesens. -Dokumentierter Status Werden projektspezifisch definiert Seite 45

46 Bereich 8 - Datenschutz und Datensicherheit Eine Managementaufgabe! IT-Security Professional Package Ziel: - Ganzheitliches IT-Betriebskonzept zum kostenoptimierten Einsatz. -Erfüllung der Prüfungsstandards - Risk-Management für Wirtschaftsprüfer und Banken. -Rechtliche Absicherung des Unternehmens und der Geschäftsleitung. Beteiligte Funktionen: -Senior IT-Security Consultant -Rechtsanwalt -Systemspezialist Ergebnis: Nutzen: - Sicherheitsrichtlinie -Sicherheitskonzept -Dienstanweisungen -Verpflichtungserklärungen -Formdokumente - Kostenoptimiertes Betriebskonzept -Übersicht undtransparenz -Erfüllung der Anforderungen der Finanzbehörden, des Finanzwesens -Erfüllung der Anforderungen und des Gesetzgebers. -Dokumentierter Status Kosten: werden projektspezifisch definiert Seite 46

47 Bereich 8 - Datenschutz und Datensicherheit Eine Managementaufgabe! IT-Security Coaching Ziel: Beteiligte Funktionen: Ergebnis: Nutzen: Kosten: Unterstützung des Unternehmens bei der eigenständigen Erarbeitung der erforderlichen Elemente. - Senior IT-Security Consultant -IT-Security Consultant -Rechtsanwalt -Systemspezialist - Angepasste Lösung - Kostenoptimierung - Sicht eines Dritten -Fachliche Anleitung -Know How Transfer werden projektspezifisch definiert Seite 47

48 Bereich 8 - Datenschutz und Datensicherheit Eine Managementaufgabe! Externer Datenschutzbeauftragter Ziel: Beteiligte Funktionen: Ergebnis: Nutzen: Kosten: Risikoverlagerung im Bereich Datenschutz -Rechtssichere Aufstellung des Unternehmens -TÜV-zertifizierter Datenschutz Auditor -Rechtsanwalt -Senior IT-Security Consultant - Einwandfreie Formdokumente -Definierte Handlungsrahmen für Mitarbeiter -Arbeits- und datenschutzrechtlich abgesicherte Dokumente mit Freizeichnung durch einen Fachanwalt. - Professionelle und unabhängige Beratung durch erfahrene Datenschutzbeauftragte. -Keine Einarbeitung eigener Mitarbeiter -Keine arbeitsrechtliche Kündigungsproblematik -Keine regelmäßige Fortbildung durch Seminare, Workshops und Konferenzen auf Kosten des Unternehmens -Vermeidung teilweise erheblicher Risiken (z.b. Schadensersatz, Bußgeld) -Datenschutzkonformes Verhalten des Unternehmens - Werbewirksamkeit gegenüber Kunden -Geringe und fix kalkulierbare Kosten (Initial- und Folgekosten) werden projektspezifisch definiert Seite 48

49 Bereich 8 - Datenschutz und Datensicherheit Eine Managementaufgabe! IT-Security Systemcheck Ziel: Neutrale Analyse und Beurteilung der IT-Sicherheit durch Fachleute auf technischer Ebene. Beteiligte Funktionen: - Senior IT-Security Consultant -Systemspezialist Ergebnis: - Beurteilung der Wirksamkeit der vorhandenen Einrichtungen. -Beurteilung der Vollständigkeit der vorhandenen Einrichtungen. -Massnahmenkatalog Nutzen: Kosten: - Beurteilung eines Spezialisten -Verifikation bestehender Standards - Sicht eines Dritten -Dokumentierter Status - werden projektspezifisch definiert Seite 49

50 Bereich 8 - Datenschutz und Datensicherheit Eine Managementaufgabe! IT-Security Dienstanweisungen Ziel: Beteiligte Funktionen: Ergebnis: Nutzen: Kosten: Geführte und rechtssichere Arbeitsweise im Unternehmen - Senior IT-Security Consultant -Rechtsanwalt - Einwandfreie Formdokumente -Definierte Handlungsrahmen für Mitarbeiter -Arbeits- und datenschutzrechtlich abgesicherte Dokumente mit Freizeichnung durch einen Fachanwalt. - Vermeidung wiederholter Einweisung von Mitarbeitern. -Transparenz für die Mitarbeiter -Arbeitsrechtliche Absicherung -Zivilrechtliche Absicherung -Strafrechtliche Absicherung werden projektspezifisch definiert Seite 50

51 Bereich 8 - Datenschutz und Datensicherheit Eine Managementaufgabe! IT-Security Recht Erstellung und Prüfung von Verträgen Erstellung und Prüfung von Verpflichtungerklärungen Erstellung und Prüfung von Dienstanweisungen Erstellung und Prüfung von Dienstanweisungen Erstellung und Prüfung von AGB Prüfung des rechtskonformen Internetauftritts Vertretung des Unternehmens gegenüber Dritten Weitere Dienstleistung im rechtlichen Umfeld Ziel: Beteiligte Funktionen: Ergebnis: Nutzen: Kosten: Rechtssicherheit im Unternehmen -Vertretung durch einen Fachanwalt Rechtsanwalt Rechtssichere, geprüfte Dokumente und Freizeichnung durch einen Fachanwalt Arbeitsrechtliche Absicherung -Zivilrechtliche Absicherung -Strafrechtliche Absicherung werden projektspezifisch definiert Seite 51

52 Bereich 8 - Datenschutz und Datensicherheit Eine Managementaufgabe! Telefax 0231/ Fax-Feedback Bei Interesse füllen Sie bitte folgendes Antwort-Fax aus und senden uns dieses zu Ich möchte mehr Informationen zu diesem Thema! o Ja, bitte melden Sie sich beim mir zu einem persönlichen Gespräch Ich möchte über gesetzliche Neuerungen, Fachseminare informiert werden! oja o Nein (wenn ja, per o o Fax) Mich interessiert besonders: o IT-Security -Systemcheck o IT-Security -Basis Check o IT-Security -Advanced Audit o IT-Security -Professional-Package o Externer Datenschutzbeauftragter o IT-Security Coaching o IT-Security Recht o IT-Security Dienstanweisungen Ihre Kontaktdaten Ihr Stempel (Bitte vor Rücksendung stempeln) Seite 52