Datenschutz im mittelständischen Unternehmen - wie umsetzen?

Transkript

1 Datenschutz im mittelständischen Unternehmen - wie umsetzen? Stefan Michl Dipl. Infrm. (FH) Externer Datenschutzbeauftragter Infrmatinssicherheitsbeauftragter ITAGO-Systems GmbH Jhann Vaillant-Str Rding Tel Fax stefan.michl@itag.de, Dipl. Infrm. (FH) Stefan Michl Flie 1

2 ITAGO-Systems GmbH IT-Dienstleister für den Mittelstand - IT Slutins, Virtualisierung - Server & Strage - IT Security Externer Datenschutzbeauftragter - Externer Datenschutzbeauftragter seit Bayerischer IT-Sicherheitscluster e.v. seit Arbeitskreise: Datenschutz, IS und DS, ISA+ Infrmatinssicherheitsbeauftragter - Zertifizierter Infrmatinssicherheitsbeauftragter (OTH Regensburg) - Akkreditierter Berater Infrmatinssicherheitsanalyse (ISA+) Dipl. Infrm. (FH) Stefan Michl Flie 2

3 Die Agenda für heute 1. Fragestellungen bei Start des Datenschutzes Welcher Teilnehmerkreis Organisatrisches am Anfang Erster Überblick IST-Stand im Datenschutz 2. Weitere Einzelfragen zum Datenschutz Private Nutzung IT- / Infrmatinssicherheit / security awareness Infrmatins-Sicherheits-Analyse ISA+ 3. Umsetzung des Datenschutzes Am Beispiel eines mittelgrßen Prduktinsbetriebes Dipl. Infrm. (FH) Stefan Michl Flie 3

4 Privatsphäre liegt im Trend! Die tragbare Datenschutzmuschel Dipl. Infrm. (FH) Stefan Michl Flie 4

5 Organisatrisches Fragestellungen zum Start Welcher Teilnehmerkreis Geschäftsführer bzw. Vertreter IT-Leiter / IT-Verantwrtlicher QM-Verantwrtlicher Cntrller, Bür- / Persnalchef Wer ist Ansprechpartner des Datenschutzbeauftragten (DSB)? Wer arbeitet wie aktiv an der Umsetzung mit? Datenschutzunterlagen: elektrnisch / Papier, Lg, Design? Dipl. Infrm. (FH) Stefan Michl Flie 5

6 Erster Überblick Fragestellungen zum Start IST-Stand im Datenschutz Gibt es eine Persnalvertretung, einen Betriebsrat? Existieren Betriebsvereinbarungen/Mitarbeitervereinbarungen, Dienst-Anweisungen, AAs etc.? Sind in irgendeiner Frm Zertifikate, Zertifizierungen, Akkreditierungen, Ntfallpläne, QM-Unterlagen etc. vrhanden? Clud-Dienste, Clud-Nutzung (Spamfilter, Datev, Drpbx ) Sind im Datenschutz bereits Aktivitäten erflgt? Z.B.: Verpflichtung auf das Datengeheimnis, Einwilligungen, besndere Arten pb-daten, IT- /Smartphne-Nutzung Dipl. Infrm. (FH) Stefan Michl Flie 6

7 Weitere Einzelfragen zum Datenschutz Private Nutzung Wie ist die aktuelle Regelung zur Nutzung der ITK-Systeme? Private Nutzung vn Internet und erlaubt? Ist die Regelung den Mitarbeitern bekannt? Ist BYOD ein Thema? (Private Geräte, Smartphnes, PCs, Laptps, Tablets, Ftapparate ) Werden mbile persnenbezgene Speicher der Verarbeitungsmedien ausgegeben bzw. verwendet (Externe Festplatten, USB-Sticks, Speicherkarten ) Achtung: Außendienst, Hme-Arbeitsplätze! Dipl. Infrm. (FH) Stefan Michl Flie 7

8 Weitere Einzelfragen zum Datenschutz IT- / Infrmatinssicherheit / security awareness IT-Sicherheit hat in der Datenschutz-Grundverrdnung einen höheren Stellenwert erhalten IT-Sicherheit, Infrmatinssicherheit, Datenschutz rücken immer weiter zusammen Dipl. Infrm. (FH) Stefan Michl Flie 8

9 Weitere Einzelfragen zum Datenschutz IT- / Infrmatinssicherheit / security awareness Weitere Anfrderungen kmmen hinzu! Dipl. Infrm. (FH) Stefan Michl Flie 9

10 Weitere Einzelfragen zum Datenschutz Infrmatins-Sicherheits-Analyse ISA+ Bedarfsanalyse zur Infrmatinssicherheit speziell für kleinere und mittlere Unternehmen Fragenkatalg mit 50 Fragen zur Infrmatinssicherheit Einfacher, übersichtlicher Einstieg in die Infrmatinssicherheit Dipl. Infrm. (FH) Stefan Michl Flie 10

11 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb Kurzbeschreibung des Prduktinsbetriebs Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind z. B.: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online-Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 11

12 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 1. Datenschutzbeauftragter (DSB) Muss ein DSB vm dem Unternehmen benannt werden? ja Erläuterung: nein Weniger als 10 Persnen im regelmäßigen Umgang mit persnenbezgenen Daten Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 12

13 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 2. Verzeichnis vn Verarbeitungstätigkeiten Ist ein slches Verzeichnis erfrderlich? ja Erläuterung: nein Wegen der regelmäßigen Verarbeitung persnenbezgener Daten Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 13

14 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 3. DS-Verpflichtung vn Beschäftigten Ist eine slche Verpflichtung durchzuführen? ja Erläuterung: nein Die Mitarbeiter, die mit persnenbezgenen Daten umgehen nicht die in der Prduktin Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 14

15 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 4. Infrmatins- und Auskunftspflichten Bestehen irgendwelche Infrmatinspflichten? ja Erläuterung: nein Bei den Beschäftigten und Kunden swie auf der Webseite in der Datenschutzerklärung Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 15

16 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 5. Löschen vn Daten Gibt es eine Anfrderung zur Datenlöschung? ja Erläuterung: nein Aber erst nach Ablauf gesetzlicher Aufbewahrungspflichten Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 16

17 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 6. Sicherheit Müssen die Daten besnders gesichert werden? ja Erläuterung: nein Etablierte Standardmaßnahmen sind ausreichend, um die Daten effektiv zu schützen Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 17

18 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 7. Auftragsverarbeitung Ist ein Vertrag zur Auftragsverarbeitung ntwendig? ja Erläuterung: nein Mit dem Hsting-Anbieter für die Website des Betriebs Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 18

19 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 8. Datenschutzverletzungen Müssen bestimmte Vrfälle gemeldet werden? ja Erläuterung: nein Aber nur bei relevanten Risiken eine einfache Online-Meldung beim BayLDA ist möglich Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 19

20 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 9. Datenschutz-Flgenabschätzung (DSFA) Muss eine DSFA vm Betrieb durchgeführt werden? ja Erläuterung: nein Da kein hhes Risik bei der Datenverarbeitung dieser Art besteht Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 20

21 Umsetzung des Datenschutzes Beispiel: Prduktinsbetrieb 10. Videüberwachung Besteht eine Ausschilderungspflicht? ja Erläuterung: nein Im Versandbereich ist u. a. eine entsprechende Beschilderung erfrderlich Ein Prduktinsbetrieb für Spielwaren verkauft direkt an Verbraucher. Der Betrieb hat: 60 Beschäftigte in der Prduktin am Band, sechs Beschäftigte im Versandbereich, welche die Waren verpacken und adressieren swie acht Beschäftigte in der Verwaltung, welche die Finanzbuchhaltung, die IT, das Persnal swie Werbeaktivitäten betreuen und smit regelmäßig persnenbezgene Daten der Beschäftigten und der Kunden verarbeiten. Wesentliche Verarbeitungstätigkeiten sind: Lhnabrechnung, Finanzbuchhaltung Werbeaussendungen per Brief der /Newsletter Betrieb einer Website für Online- Bestellungen Videüberwachung im Versandbereich zum Diebstahlsschutz bei Selbstabhlern Dipl. Infrm. (FH) Stefan Michl Flie 21

22 Und zum Schluss Dipl. Infrm. (FH) Stefan Michl Flie 22

23 Vielen Dank für Ihre Aufmerksamkeit! Stefan Michl Dipl. Infrm. (FH) Externer Datenschutzbeauftragter Infrmatinssicherheitsbeauftragter ITAGO-Systems GmbH Jhann Vaillant-Str Rding Tel Fax stefan.michl@itag.de, Dipl. Infrm. (FH) Stefan Michl Flie 23