Datenschutz im Unternehmen: Zugriff, Geräte und Nachweise

Datenschutz ist ein Prozess, keine einzelne Einstellung

Datenschutz umfasst rechtmäßige, faire und transparente Verarbeitung personenbezogener Daten: festgelegte Zwecke, Datenminimierung, Richtigkeit, Speicherbegrenzung und Betroffenenrechte. IT-Schutzmaßnahmen unterstützen diese Grundsätze, ersetzen sie aber nicht. Das Unternehmen muss zudem Rechenschaft ablegen können.

Was tat­säch­lich den Datenschutz von Benutzern oder Kunden verletzt

Bei einem Verstoß kann es sich nicht nur um ein Datenbankleck handeln. Ein weiteres Problem ist ein zu weitreichender Zugriff eines Mitarbeiters, ein öffentlicher Link zum Dokument, das Versäumnis, das Konto nach dem Verlassen des Unternehmens zu löschen, ein unkontrollierter Berichtsexport, eine Anwendung, die zu viele Daten sammelt, oder Protokolle mit personenbezogenen Daten ohne festgelegte Aufbewahrungsfristen.

Verletzung des Datenschutzes der Nutzer im Internet

Der Internetnutzer hinterlässt technische Daten und Verhaltensdaten: IP-Adresse, Cookie-Kennungen, Geräteparameter, Verlauf der besuchten Websites, Browsersprache, Betriebssystem, Zeitzone und Bildschirmauflösung. Mithilfe von Browser-Fingerprinting lassen sich daraus Aktivitätsprofile bilden und Nutzer wiedererkennen, auch wenn diese ihren Vor- und Nachnamen nicht angegeben hat.

• Cookies und Sitzungskennungen zeigen an, wenn Sie zur Website zurückkehren, welche Produkte Sie ansehen und wie Sie auf der Website navigieren.
• Beim Fingerprinting werden Browser-, Geräte- und Netzwerkparameter kombiniert, um einen technischen Fingerabdruck ähnlich einem Benutzerprofil zu erstellen. Prüfen Sie vor Tracking mit Datenschutzverantwortlichen die geltenden Kommunikations- und Datenschutzanforderungen einschließlich Information und erforderlicher Einwilligung; technische Identifizierbarkeit allein erlaubt kein Tracking.
• Öffentliche Links, falsch konfigurierte Formulare und redundante Protokolle können Daten ohne einen klassischen Hack offenlegen.
• Unternehmen sollten den Umfang der Datenerfassung, Protokollaufbewahrung und den Zugriff auf Analyse- und Marketingtools einschränken.

Verletzungen des Datenschutzes in der Cloud

Die Migration von Daten in die Cloud entbindet ein Unternehmen nicht von seiner Verantwortung für den Datenschutz. Der Unterschied zwischen einer lokalen und einer Cloud-Datenbank besteht in der Aufteilung der Verantwortlichkeiten: Ein Teil der Sicherheit wird vom Plattformanbieter bereitgestellt, die Konfiguration von Konten, Berechtigungen, Sicherung, Aufbewahrung, Verschlüsselung und Freigaben verbleibt jedoch normalerweise bei der Organisation.

Wann ist ein Vorfall eine Datenschutzverletzung?

Nicht jeder IT-Vorfall ist eine Datenschutzverletzung. Sie umfasst versehentliche oder unrechtmäßige Vernichtung, Verlust, Veränderung, Offenlegung oder Zugriff auf personenbezogene Daten. Vertraulichkeit, Integrität oder Verfügbarkeit können betroffen sein. Umfang, Folgen für Betroffene und Pflichten nach Art. 33–34 DSGVO prüfen.

• Verantwortliche melden der Behörde unverzüglich und möglichst innerhalb von 72 Stunden ab Kenntnis, sofern ein Risiko für Rechte und Freiheiten nicht unwahrscheinlich ist. Verzögerungen begründen.
• Bei hohem Risiko sind Betroffene unverzüglich zu benachrichtigen; Ausnahmen nach Art. 34 DSGVO berücksichtigen.
• Auftragsverarbeiter informieren den Verantwortlichen unverzüglich über eine Verletzung.
• Jede Verletzung mit Folgen, Risikobewertung und Maßnahmen dokumentieren, auch ohne Behördenmeldung.

Eine praktische Entscheidungskarte zum Datenschutz

Zunächst müssen Sie feststellen, welche Daten kritisch sind und wo sie verarbeitet werden. Nur dann macht die Auswahl der Werkzeuge Sinn. Andernfalls investiert das Unternehmen in Sicherheitsmaßnahmen, die kritische Informationen nicht schützen.

• Daten: Identifizieren Sie Datenkategorien, Standorte, Verantwortliche, Verarbeitungsgrundlagen und erforderliche Aufbewahrungsfristen.
• Zugriff: Überprüfen Sie privilegierte Konten, MFA, Rollen, Gruppen, inaktive Konten und den Prozess zum Widerrufen von Berechtigungen.
• Systeme: E-Mail, Endpunkte, Cloud, Backup, Protokolle, SaaS-Anwendungen, API-Integrationen und mobile Geräte auswerten.
• Nachweis: Führen Sie Aufzeichnungen über Überprüfungen, Entscheidungen, Vorfälle, Backup-Tests und Korrekturmaßnahmen.

Ein 30/60/90-Plan für ein Unternehmen, das den Datenschutz regeln möchte

Dringende Datenexpositionen, schwache Zugriffe und Lücken der Vorfallreaktion von Beginn an behandeln. Gesetzliche Fristen haben Vorrang. Die folgenden 30/60/90-Tage-Prüfungen messen den Fortschritt und verschieben weder Schutzmaßnahmen noch Meldungen.

Wie Virtline beim Datenschutz unterstützt

Virtline betrachtet den Datenschutz aus der Perspektive von Infrastruktur, Cybersicherheit und Compliance. Wir prüfen, ob Daten nur dort sichtbar sind, wo sie sein sollen, ob Konten geschützt sind, ob Backups funktionieren, ob Protokolle nützlich sind und ob das Unternehmen über die von der Geschäftsführung, dem Kunden oder dem Wirtschaftsprüfer benötigten Prüfnachweise verfügt.

Verwandte Dienstleistungen und nächste Schritte

Wenn Datenschutz eine betriebliche Angelegenheit ist, ist es sinnvoll, die Prüfung rechtlicher Anforderungen mit einer technischen Überprüfung der Umgebung zu kombinieren.

Datenschutz muss in Systemen funktionieren, nicht nur in Dokumenten

Rufen Sie +48 12 200 27 10 an, wenn Ihr Unternehmen personenbezogene Daten in E-Mail, Teams, SharePoint, lokalen Systemen, Backups oder Cloud-Werkzeugen speichert. Virtline identifiziert Verarbeitungsorte, Verantwortliche, Risiken und kurzfristig wirksame Kontrollen.

• Die technische Prüfung umfasst vereinbarte Systeme, Zugriffe und Kontrollnachweise.
• Erkenntnisse aus Datenschutzaudits und Prüfungen der Zugriffskontrolle
• Ergebnis: Datenlandkarte, Prioritäten, Entscheidungsverantwortliche und ein Datenschutzverbesserungsplan

Leistungen für den Datenschutz

Datenschutz erfordert ein abgestimmtes Vorgehen bei Klassifizierung, MFA, Microsoft 365 und Cybersicherheit.