„Datenschutz ist nur Bürokratie und verhindert Digitalisierung“ – Schluss mit solchen Vorurteilen!

Die Anzahl der Geräte, Anwendungen und (Online-)Dienste, mit denen personenbezogene Daten verarbeitet werden, ist in den vergangenen Jahren stark angestiegen. Auch werden die Daten zunehmend zwischen Dienstleistern und Partnern ausgetauscht.

Da ist es kaum überraschend, dass es vielen Unternehmen schwerfällt, den Überblick zu behalten und alles so zu organisieren, dass die Daten sicher, vertraulich und gesetzeskonform verarbeitet werden. Dazu gehört auch, dass für den „Fall der Fälle“ ein funktionelles, aktuelles und vollständiges Back-up vorhanden ist. Sich einen Überblick zu verschaffen ist zwar aufwendig, aber ähnlich wie eine Buchhaltung eben erforderlich. Denn wie soll sonst der Überblick über die Lizenzkosten, Verträge und auch die Sicherheit, einschließlich Back-up, bewahrt werden?

Die DSGVO bietet hier eine Lösung, die meist verpflichtend ist, darüber hinaus aber auch sehr hilfreich sein kann: das Verzeichnis von Verarbeitungstätigkeiten. Dieses bietet einen entsprechenden Überblick und kann, etwas erweitert, dazu beitragen, dass keine relevanten Anwendungen und Dienstleister übersehen werden. Jenseits der Erfüllung der Datenschutzvorgaben können so z. B. auch Risiken identifiziert werden.

Beispiele hierfür: Die Daten werden in einer Onlineanwendung eines kleineren Dienstleisters verarbeitet. Was geschieht, wenn der Anbieter in die Insolvenz geht? Sind die Daten dann noch zugänglich? Oder es sollen Onlineanwendungen von Microsoft 365 genutzt werden. Wurde daran gedacht, dass diese Daten zwar in mehreren Rechenzentren gespeichert werden, aber kein Back-up durchgeführt wird? Darum muss sich der Microsoft-365-Kunde, also beispielsweise Ihr Unternehmen, selbst kümmern!

Keine schlaflosen Nächte mehr wegen mangelnder IT-Sicherheit

Hat eine Organisation alle ihre eingesetzten Anwendungen, Dienste und Geräte im Blick, können diese auch systematisch abgesichert werden. Die Anbieter stellen hierfür teilweise sogar kostenlose Möglichkeiten bereit. So verfügen viele Betriebssysteme für PCs und Laptops über eine einfach zu nutzende Festplattenverschlüsselung. Einige Onlineanbieter ermöglichen eine Absicherung der Anmeldung mit einem zweiten Faktor, z. B. via Smartphone-App oder SMS. Fällt dann ein Mitarbeiter im Stress auf eine Phishing-E-Mail hinein und übermittelt einem Cyberkriminellen die Zugangsdaten für eine Onlineanwendung, erhält dieser dank des zweiten Faktors dennoch keinen Zugriff und kann auch entsprechend keinen (finanziellen) Schaden anrichten. Geht ein Notebook verloren oder wird gestohlen, sind die Daten wegen eines durchdachten Back-ups in nahezu aktueller Fassung vorhanden und niemand kann durch die aktivierte Festplattenverschlüsselung die Daten auf dem Notebook einsehen. Im letzteren Fall könnte dies sogar der Grund sein, dass die betroffenen Personen, deren Daten auf dem Notebook gespeichert waren, nicht vom Unternehmen benachrichtigt werden müssen.

Beseitigen Sie Missverständnisse mit dem Datenschutzbeauftragten

Wie Sie an den oben genannten Beispielen gesehen haben, verhindert der Datenschutz oftmals keine Digitalisierungsprojekte. Im Gegenteil: Manche Projekte, wie das Beispiel der Juniorchefin, sorgen als Nebeneffekt für einen besseren Datenschutz. Bei anderen Projekten kann der Datenschutzbeauftragte durch sein Wissen um mögliche Risiken dazu beitragen, dass neue Verarbeitungen nicht nur gesetzeskonform, sondern auch sicher erfolgen. Welches Unternehmen möchte das nicht – in Zeiten, in denen Cyberkriminelle aktiv sind?

Immer wieder kommt es durch unterschiedliche Sichtweisen zu Missverständnissen. Dabei stellen sich die Verantwortlichen und der Datenschutzbeauftragte häufig teilweise grundlegend die gleichen Fragen.

Nutzen Sie als Verantwortlicher für Verarbeitungen oder entsprechende Projekte diesen Vorteil und binden Sie Ihren Datenschutzbeauftragten frühzeitig und aktiv mit ein. Fragen Sie im Zweifel nach, worauf eine Frage Ihres Datenschutzkollegen abzielt. Denn häufig versucht dieser nur, erforderliche Sachverhalte zu klären, oder prüft bereits gedanklich bestimmte Sicherheitsrisiken. Gemeinsam lassen sich so großartige, sichere und auch datenschutzkonforme Verarbeitungen realisieren.