COMPLIANCE,
Spätestens nachdem Ihnen einige Data Breaches passiert sind sollten Sie sich die Frage stellen, wie man deren Entstehung verhindern kann. Dies gilt umso mehr, wenn immer wieder dieselben Konstellationen zur Datenschutzverletzung führen. Letzteres wäre ein Zeichen für systemische Fehler in Ihrer Organisation hinsichtlich des Schutzes personenbezogener Daten.
Dreh- und Angelpunkt Ihres Datenschutz-Management-Systems ist freilich das Verzeichnis von Verarbeitungstätigkeiten (Artikel 30 DSGVO). Haben Sie noch kein „VV“ oder „VVT“ wäre dies ein starkes Indiz für einen Betriebsprüfer, dass in Ihrem Unternehmen kein angemessener und wirksamer Datenschutz herrscht.
Idealerweise lassen sich aus dem Verarbeitungsverzeichnis – je Verarbeitungstat – die Risiken des Betroffenen ablesen. Diese Risiken können sich auf die Vertraulichkeit, Verfügbarkeit und Integrität erstrecken. Die Vertraulichkeit und Verfügbarkeit wäre zum Beispiel beim Verlieren von Personendaten gefährdet. Unter Integrität können Sie sich etwa die Vollständigkeit und Richtigkeit vorstellen. Ist das Risiko einer Personendatenverarbeitung hoch begründet dies absolute Priorität.
Denken Sie zum Beispiel an Bewerbungsunterlagen. Deren Fehlleitung bzw. Offenlegung könnte dazu führen, dass der aktuelle Dienstgeber den Betroffenen nicht mehr für Projekte, Beförderungen sowie Gehaltserhöhungen berücksichtigt (Vertraulichkeit). Kommt es zur unvollständigen Übertragung – fehlender Lebenslauf – kann eine Absage die Folge sein (Integrität). Die Verfügbarkeit wäre beim – heutzutage unüblichen – Einsenden von Original-Zeugnissen zu schützen. Freilich würde der Untergang einer Bewerbung auch dazu führen, den angestrebten Job nicht zu bekommen. Dass dem betroffenen Bewerber Unannehmlichkeiten bis hin zu Vermögensschäden drohen, liegt auf der Hand. Haben Sie als Datenschutzkoordinator also die höchsten Risiken ausgemacht geht es um deren Senkung oder gar Vermeidung. Um bei unserem Beispiel zu bleiben, kommen insbesondere folgende Vorkehrungen in Frage:
- Verschlüsseltes Bewerberportal mit Upload-Funktion
- Aufforderung, keine Original-Zeugnisse per Post einzusenden
- Aufforderung, keine unverschlüsselten E-Mails zu schicken
- Stark eingeschränkte Zugriffsberechtigung (HR)
- Kein Ausdrucken
- Kein Speichern auf mobilen Datenträgern
- Kein internes Weiterleiten via E-Mail
- Vertraulichkeits-Vereinbarung mit Mitarbeitern
- Datenschutz-Schulungen
- Automatisiertes Löschen bei Absage nach 6-7 Monaten
In diesem Zusammenhang muss noch erwähnt werden, dass der Datenschutz „indisponibel“ ist. Dies bedeutet – da Datenschutz eine gesetzliche Pflicht des Verantwortlichen ist – kann dieser nicht vertraglich abbedungen werden. Daher kann man einen Bewerber nicht rechtswirksam zu unsicheren Personendatenverarbeitungen wie zB einer unverschlüsselten Übertragung oder immerwährenden Speicherung von Bewerbungsunterlagen „zustimmen“ lassen.
Wie lassen sich also Datenschutzverletzungen verhindern? Durch geeignete technische sowie organisatorische Maßnahmen, welche in Anbetracht des jeweiligen Risikos angemessen und wirksam gesetzt werden. Hohe Risiken für Betroffene können auch eine Pflicht zur Datenschutz-Folgenabschätzung begründen. In Kürze erfahren Sie mehr über anerkannte Kriterien bei der Risikobewertung.
