Reicht die buchstabengetreue Umsetzung des Datenschutzgesetzes für die Compliance aus?

Wenn ihr tolle Richtlinien schreibt, aber die Passkopien unverschlüsselt auf dem Server liegen habt, ist das Bußgeld vorprogrammiert. Verschlüsselung auf Spaltenebene in der Datenbank, strikte Zugriffskontrolle auf den Fileservern und lückenlose Logs für Admins sind das absolute technische Minimum.

Erstellt als Erstes ein sauberes Verarbeitungsverzeichnis. Welche Abteilung sammelt welche Daten, wo werden sie gespeichert, an wen weitergegeben und nach wie vielen Monaten gelöscht? Wenn der Prüfer vor der Tür steht, will er genau diese Tabelle sehen, nicht eure hübschen Richtlinien.

Bei unserem internen Audit letzten Monat flog als erstes auf, dass die Personalabteilung Pass- und Visafotos munter über WhatsApp-Gruppen geteilt hat. Da könnt ihr noch so viele Einwilligungen einholen: Wenn Daten operativ unsicher übertragen werden, ist das ein glasklarer Verstoß.

Bitte prüfen Sie die von der SDAIA veröffentlichten Verordnungsanhänge und die Regeln zur grenzüberschreitenden Datenübermittlung sorgfältig. Sollten die Server der in Ihrem Unternehmen genutzten cloudbasierten HR-Software im Ausland stehen, stellt dies einen gesonderten rechtlichen Prozess dar, der eine Ausnahmegenehmigung und eine Risikobewertung erfordert.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

einwilligungserklärungen einsammeln ist noch das leichteste und wenn morgen ein externer mitarbeiter kündigt und verlangt dass seine daten gelöschht werden, müsst ihr technisch wissen, was ihr wo und wie löscht – genau das müsst ihr erstmal klären.

Drei kritische operative Anforderungen, die bei Prüfungen abgefragt werden: 1) Die Benennung eines internen Datenschutzbeauftragten oder -verantwortlichen, 2) Regelmäßige Sensibilisierungsschulungen zur Datensicherheit für die gesamte Belegschaft, 3) Sicherheitsverpflichtungen zur Auftragsverarbeitung in den Verträgen mit Subunternehmern.

Das Gesetzes-PDF zu lesen und in eine Excel-Tabelle zu packen, ist in etwa so, als würde man nach einem Medizinbuch Patienten operieren. Ohne professionelle Beratung bekommt man die juristischen Vorgaben in der IT-Infrastruktur technisch gar nicht sauber abgebildet – wiegen Sie sich da bloß nicht in falscher Sicherheit.

Werden die Ausweis- und Zertifikatsdaten von Hunderten Subunternehmer-Mitarbeitern vor Ort direkt an die Erdölanlagen als Hauptauftraggeber übermittelt? Falls ja: Habt ihr dafür eine Vereinbarung über die gemeinsame Verantwortlichkeit abgeschlossen?

An diesem Punkt widerspreche ich dir. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Nur als Notiz, könnte nützlich sein.

vor zwei Jahren habe ich genau dasselbe erlebt. wenn du das nicht von Anfang an schriftlich festhältst gibt es später Streit.

wenn deine Situation andesr ist, ändert sich das natürlich.

Ich stimme voll und ganz zu. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung. Wenn deine Situation anders ist, ändert sich das natürlich.

Das hatte ich auch schon überlegt. also nur weil alle es tun heißt es nicht, dass es richtig ist.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist reicht ein gestohlenes Passwort allein nicht aus.

Ich stimme zu.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Kurzfassung für Neueinsteiger: Ein automatisierter Scan-Report ist kein Penetrationstest.

Ich hoffe, das hilft dir weiter.

Dabei gibt es einen sehr häufigen Fehler. Wer bei Datenschutzgesetz hetzt stolpert alle an derselben Stelle.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Wer bei Datenschutzgesetz hetzt, stolpert alle an derselben Stelle.

Nur als Notiz, könnte nützlich sein.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Das allein zu versuchen, ist der teuerste Weg.

Wenn deine Situation anders ist ändert sich das natürlich.