Praktischer Datenschutz Heiko Behrendt Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Kiel ULD72@datenschutzzentrum.de CAU - Praktischer Datenschutz 1 Überblick Behördlicher und betrieblicher Datenschutzbeauftragter, Bestellung, Fachkunde, Aufgaben 2. Datenschutz- bzw. IT-Sicherheitskonzept 3. Auftragsdatenverarbeitung 4. Audit CAU - Praktischer Datenschutz 2
Bestellung Datenschutzbeauftragter 4f BDSG bzw. 10 LDSG SH Schriftlich, intern: förmliches Schreiben, extern: Vertrag Externer oder interner Datenschutzbeauftragter Unabhängig, kein Interessenkonflikt, Stabsstelle Fachkunde und Zuverlässigkeit Kontaktfreudig und offensiv Kooperativ und konstruktiv Analytisches Denkvermögen CAU - Praktischer Datenschutz 3 Aufgaben des Datenschutzbeauftragten Überwachung der ordnungsgemäßen Datenverarbeitung Durchführung von Prüfungen, Audits und Sicherheitschecks Vorabkontrolle Verfahrensverzeichnis Schulung und Sensibilisierung der Mitarbeiter Beratung der Fachbereiche Unterrichtung der Unternehmens- bzw. Behördenleitung Mitwirkung in Projekten CAU - Praktischer Datenschutz 4
Aufgaben des Datenschutzbeauftragten Bearbeitung von Eingaben Erstellung von Dokumentationen (Datenschutzkonzept) Kontrolle der Auftragnehmer bei Auftragsdatenverarbeitung Erarbeitung von Stellungnahmen Berichten und informieren Kommunikation mit der Datenschutzaufsichtsbehörde Erstellung von Tätigkeitsberichten Fortbildung, Aufbau der Fachkompetenz CAU - Praktischer Datenschutz 5 Organigramm CAU DSB CAU - Praktischer Datenschutz 6
Informationen und Fortbildung für den DSB Berufsverband der Datenschutzbeauftragten (Das berufliche Leitbild des Datenschutzbeauftragten) www.bvdnet.de Gesellschaft für Datenschutz und Datensicherheit www.gdd.de Ulmer Akademie für Datenschutz und Datensicherheit www.udis.de Datenschutzakademie des ULD CAU - Praktischer Datenschutz 7 2. Datenschutz-/IT-Sicherheitskonzept Verbindliches Regelwerk über den Datenschutz und die IT- Sicherheit innerhalb der Organisation Gilt als internes Gesetz Voraussetzung für ein Datenschutz- und IT- Sicherheitsmanagement Dient als Kontrollinstrument Beschreibt das Datenschutzniveau Definiert Datenschutz- und IT-Sicherheitsprozesse CAU - Praktischer Datenschutz 8
2. Bestandsaufnahme Voraussetzung für die Erstellung eines Datenschutz- bzw. IT-Sicherheitskonzepts ist eine Bestandsaufnahme der Infrastruktur Aufbau- und Ablauforganisation Hard- und Software Vernetzung Fachanwendungen Datenkommunikationsprozesse Gesetze, Richtlinien, Anweisungen, Systemdokumentation CAU - Praktischer Datenschutz 9 2. Inhalt - Datenschutz-/IT-Sicherheitskonzept Abgrenzung der Datenverarbeitung Ermitteln der Gefährdungen Mögliche Schäden: Gefahr für Leib und Leben, Finanzieller Schaden, Imageverlust, Beeinträchtigung der Arbeit Festlegung des Schutzbedarfs Grundwerte: Vertraulichkeit, Integrität, Verfügbarkeit Maßnahmenkatalog Technische und organisatorische Maßnahmen (TOMs) Restrisikoanalyse Noch vorhandene Schwachstellen bewerten Überwachung, Kontrolle CAU - Praktischer Datenschutz 10
2. Inhalt - Datenschutz-/IT-Sicherheitskonzept Inhaltsverzeichnis I. Grundlagen und Aufbau Zielrichtung 2. Zuständig- und Verantwortlichkeiten 3. Überwachung 4. Fortschreibung II. Schutzbedarf / Gefährdungen Höhere Gewalt 2. Organisatorische Mängel 3. Menschliche Fehlhandlungen 4. Technisches Versagen 5. Vorsätzliche Handlungen III. TOMs für die allgemeine Datenverarbeitung Schulung der Mitarbeiter 2. Tür- und Fenstersicherung 3. Aktenführung und Aktenaufbewahrung 4. Archiv und Aufbewahrungsfristen 5. Reinigungspersonal 6. Publikumsverkehr 7. Auskünfte, Datenübermittlung IV. TOMs für die automatisierte Datenverarbeitung Zuständigkeiten 2. Betriebssicherheit 3. Server 4. Arbeitsstation 5. Datenbestände 6. Datensicherung 7. Externe Datenträger 8. Arbeitsumgebung 9. Nutzung der IT- Geräte 10. Nutzung der Verfahren 1 Systemprotokollierung 12. Verfahrensdokumentation 13. Externe Dienstleister V. TOMs für die Internetnutzung Allgemein 2. Firewall 3. E-Mail 4. WWW VI. Restrisikoanalyse Verfügbarkeit der Systeme 2. Integrität der Software und der Daten 3. Internet-Dienste/ CAU - Praktischer Datenschutz 11 3. Auftragsdatenverarbeitung Auslagerung von Datenverarbeitungsprozessen ( 11 BDSG, 17 LDSG) Die Datenverarbeitende Stelle bleibt verantwortlich für die Daten Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen: - Vorlage des Datenschutz- bzw. Sicherheitskonzepts - Kontrolle vor Ort Der Auftrag ist schriftlich (Vertrag) zu erteilen! Beispiele: - Lohnabrechnung - Papierentsorgung - Call-Center - Betrieb von Fachanwendungen in Rechenzentren CAU - Praktischer Datenschutz 12
3. 11 Absatz 2 BDSG -Vertragsinhalte Gegenstand und die Dauer des Auftrags, 2. Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen, 3. die nach 9 BDSG zu treffenden Maßnahmen, 4. die Berichtigung, Löschung und Sperrung von Daten, 5. die nach 11 Absatz 4 BDSG bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen, 6. die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen, 7. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers, 8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen, 9. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält, 10.die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags. CAU - Praktischer Datenschutz 13 4. Audit Einhaltung des Datenschutzkonzepts, der Richtlinien und Gesetze Datenverarbeitungsprozesse begutachten, Soll-Ist-Abgleich Vorgehensweise (Methode): Abgrenzung des Auditgegenstands 2. Beteiligte und Geschäftsleitung informieren 3. Konzepte, Richtlinien und Gesetze anfordern u. analysieren 4. Erstellung eines Prüfplans 5. Prüfung der Dokumentation auf Vollständigkeit und Qualität (Soll) 6. Vor-Ort-Prüfung - Umsetzung der TOMs (Ist) 7. Datenschutzrechtliche Bewertung der Sachverhalte 8. Ergebnisse den Verantwortlichen mitteilen 9. Erstellung des Gutachtens 10. Abweichungen bzw. Verstöße beseitigen CAU - Praktischer Datenschutz 14
4. Audit - Prüfung - Sicherheitscheck Audit Prüfung / Kontrolle Sicherheitscheck Pflichtaufgabe des DSB Abgrenzung Überprüfung Dokumenten- und Vorortprüfung Einhaltung von Vorschriften Soll-Ist-Abgleich Prozessüberprüfung Vorgehensweise / Methode Einbeziehung der Leitungsebene Positiver Ansatz Gutachten Zertifizierung / Zertifikat Prüfbericht Konsequenzen bei Abweichungen CAU - Praktischer Datenschutz 15 Zusammenfassung Wie wird man Datenschutzbeauftragter? 2. Welche Primäraufgaben hat der Datenschutzbeauftragte nach dem BDSG wahrzunehmen? 3. Was ist Ziel und Inhalt eines Datenschutz- bzw. Sicherheitskonzepts? 4. Wie stelle ich als Datenschutzbeauftragter die Eignung eines Auftragnehmers im Rahmen der Auftragsdatenverarbeitung fest? 5. Welche wesentlichen Schritte werden bei einem Audit durchgeführt? CAU - Praktischer Datenschutz 16
Mögliche Antworten! Durch schriftliche Bestellung oder bei externen DSB durch Vertrag, wenn Fachkunde und Zuverlässigkeit nachgewiesen werden kann. 2. Die ordnungsgemäße Datenverarbeitung überwachen sowie Mitarbeiter über den Datenschutz schulen. 3. Festlegung des Datenschutz- bzw. Sicherheitsniveaus. Es enthält Aussagen über die Gefährdungen, den Schutzbedarf, die festgelegten TOMs und die Restrisiken. 4. Durch Vorlage des Datenschutz- bzw. Sicherheitskonzepts und der Kontrolle der Umsetzung der TOMs vor Ort? 5. Prüfung der für Datenschutz und IT-Sicherheit erstellten Dokumentation (Soll), Umsetzung der Regelungen (TOMs) prüfen (IST), festgestellte Sachverhalte in einem Bericht darstellen und datenschutzrechtlich bewerten. CAU - Praktischer Datenschutz 17