Question 1

Wie hoch kann ein Bußgeld wegen Datenschutzverstößen ausfallen?

Accepted Answer

Der Europäische Datenschutzausschuss nennt zwei Höchstbeträge. Der erste liegt bei 10 Millionen Euro oder 2 Prozent des weltweiten Gesamtumsatzes im vorangegangenen Geschäftsjahr, zum Beispiel bei Verletzung von „Privacy by design and by default“, bei Nichteinhaltung der Verpflichtung zum Abschluss einer Datenverarbeitungsvereinbarung, bei Nichtdurchführung einer Datenschutz-Folgenabschätzung oder bei Verstößen im Zusammenhang mit der Ernennung eines Datenschutzbeauftragten (Art. 83.4 DSGVO).

Der zweite liegt bei 20 Millionen oder 4 Prozent des weltweiten Gesamtumsatzes im vorangegangenen Geschäftsjahr, zum Beispiel bei Verletzung der Grundprinzipien der Verarbeitung, bei unrechtmäßiger Verarbeitung ohne Rechtsgrundlage oder bei Verstößen gegen Rechte der betroffenen Person (Art. 83.5 DSGVO). Die Bundesbeauftragte für den Datenschutz beschreibt den oberen Rahmen ebenso: bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 Prozent des weltweiten Jahresumsatzes.

Die Leitlinien zur Bußgeldzumessung sehen für die Höhe im Einzelfall ein Verfahren aus fünf Schritten vor, das vor allem die Art und Schwere der Verstöße sowie den Umsatz der betreffenden Unternehmen berücksichtigt.

Question 2

Wann muss ein Unternehmen einen Datenschutzbeauftragten benennen?

Accepted Answer

Nach § 38 BDSG müssen der Verantwortliche und der Auftragsverarbeiter einen Datenschutzbeauftragten benennen, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Unabhängig von der Zahl der Beschäftigten gilt die Pflicht, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen oder wenn personenbezogene Daten geschäftsmäßig zur Übermittlung, zur anonymisierten Übermittlung oder für die Markt- oder Meinungsforschung verarbeitet werden.

Das Bayerische Landesamt für Datenschutzaufsicht nennt zwei weitere Auslöser aus Artikel 37 Absatz 1: eine Kerntätigkeit in umfangreicher, regelmäßiger und systematischer Überwachung betroffener Personen und eine Kerntätigkeit in umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten.

Die Hauptverantwortung wandert nicht mit. Sie verbleibt nach Angabe des Landesamts stets bei der Organisation beziehungsweise deren Leitung.

Question 3

Wie unabhängig ist der Datenschutzbeauftragte und welchen Schutz genießt er gegen Abberufung und Kündigung?

Accepted Answer

Die Organisation hat nach Angabe des Bayerischen Landesamts für Datenschutzaufsicht sicherzustellen, dass der Datenschutzbeauftragte seine Aufgaben in unabhängiger Weise ausüben kann. Der Europäische Datenschutzausschuss präzisiert: Das Haus darf ihm keine Weisungen hinsichtlich der Erfüllung seiner Aufgaben erteilen und ihn nicht für die Erfüllung seiner Aufgaben bestrafen oder entlassen.

Für nichtöffentliche Stellen erklärt § 38 Absatz 2 BDSG die Regelungen aus § 6 Absatz 4, 5 Satz 2 und Absatz 6 für anwendbar, Absatz 4 jedoch nur bei verpflichtender Benennung. Danach ist die Abberufung nur in entsprechender Anwendung des § 626 des Bürgerlichen Gesetzbuchs zulässig. Die Kündigung des Arbeitsverhältnisses ist unzulässig, es sei denn, ein wichtiger Grund berechtigt zur Kündigung ohne Einhaltung einer Kündigungsfrist. Nach dem Ende der Tätigkeit gilt das noch ein Jahr lang.

Interessenkonflikte sind ausgeschlossen. Der Datenschutzbeauftragte kann keine Position haben, in der er die Zwecke und Mittel der Verarbeitungstätigkeiten bestimmt. Widersprüchliche Funktionen sind nach dem Ausschuss hauptsächlich Führungspositionen, darunter die Vorstandsvorsitzenden.

Question 4

Was müssen Unternehmen mit den Kontaktdaten ihres Datenschutzbeauftragten tun?

Accepted Answer

Bei bestehender Benennpflicht hat die Organisation nach Artikel 37 Absatz 7 der Datenschutz-Grundverordnung zwei Dinge zu erledigen: die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der zuständigen Datenschutzaufsicht Meldung zu machen. Die Veröffentlichung allein genügt nicht: Die Aufsichtsbehörde muss die Kontaktdaten erhalten.

Die Meldung führt grundsätzlich der Verantwortliche selbst durch. Er darf eine andere Person damit beauftragen. Das Bayerische Landesamt für Datenschutzaufsicht verlangt, dass jeder Verantwortliche den eigenen Datenschutzbeauftragten meldet, auch wenn mehrere Verantwortliche innerhalb eines Konzerns denselben Datenschutzbeauftragten haben. Sein Meldeportal kann keine Sammelmeldung durchführen.

Verantwortliche außerhalb des Zuständigkeitsbereichs des Landesamts bittet dieses, sich an die eigene zuständige Datenschutzaufsichtsbehörde zu wenden.

Question 5

Wer muss ein Verarbeitungsverzeichnis führen und welche Angaben gehören hinein?

Accepted Answer

Behörden und Unternehmen müssen nach der Bundesbeauftragten für den Datenschutz grundsätzlich ein Verzeichnis über ihre Verarbeitungstätigkeiten führen, Artikel 30 der Datenschutz-Grundverordnung. Die Datenschutzkonferenz hat dafür einheitliche Hinweise und Musterformulare entwickelt, getrennt für Verantwortliche und für Auftragsverarbeiter.

Der Europäische Datenschutzausschuss nennt je Verarbeitungsvorgang folgende Angaben: den Zweck der Verarbeitung, die Kategorien der verarbeiteten Daten, die Empfänger der Daten, gegebenenfalls die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums, nach Möglichkeit die Speicherdauer und wenn möglich eine allgemeine Beschreibung der Sicherheitsmaßnahmen.

Die Aufzeichnung fällt in die Verantwortung des Managers der Organisation. Sie muss der Datenschutzbehörde auf Anfrage vorliegen.

Question 6

Wann ist eine Datenschutz-Folgenabschätzung Pflicht?

Accepted Answer

Eine Datenschutz-Folgenabschätzung ist nach Artikel 35 Absatz 1 der Datenschutz-Grundverordnung immer dann erforderlich, wenn eine geplante Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Artikel 35 Absatz 3 nennt drei Klassen, in denen sie in jedem Fall durchzuführen ist: die systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die Rechtswirkung entfaltet oder in ähnlich erheblicher Weise beeinträchtigt, die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Nach Artikel 35 Absatz 4 veröffentlichen die Aufsichtsbehörden Listen mit Verarbeitungsvorgängen, für die eine Folgenabschätzung Pflicht ist. Die Datenschutzkonferenz hat eine gemeinsame Liste für den nichtöffentlichen Bereich verabschiedet. Fehlt eine Verarbeitung auf dieser Liste, folgt daraus nicht zwingend, dass keine Folgenabschätzung nötig ist.

Eine Folge steht in § 38 BDSG: Unterliegen Verarbeitungen einer Folgenabschätzung, ist unabhängig von der Beschäftigtenzahl ein Datenschutzbeauftragter zu benennen.

Question 7

Was muss ein Vertrag zur Auftragsverarbeitung regeln?

Accepted Answer

Die Beziehung zwischen Verantwortlichem und Auftragsverarbeiter muss nach dem Europäischen Datenschutzausschuss durch einen Vertrag geregelt sein, in dem die Verarbeitungsvorgänge und -mittel dokumentiert sind. Der Vertrag muss festlegen, dass der Auftragsverarbeiter die Daten nur auf Anweisung des Verantwortlichen verarbeitet, auch bei einer Übermittlung in ein Land außerhalb des EWR, und dass er die Sicherheit der Verarbeitung gewährleistet.

Hinzu kommen die Vertraulichkeitsverpflichtung der befugten Personen, die Genehmigung des Verantwortlichen vor dem Einsatz eines weiteren Auftragsverarbeiters, die Unterstützung bei Betroffenenrechten, bei der Meldung von Datenschutzverletzungen und bei Folgenabschätzungen, die Löschung oder Rückgabe der Daten nach Ende der Dienstleistung sowie Informationen zum Nachweis und Audits.

Das Bayerische Landesamt für Datenschutzaufsicht lässt schriftliche oder elektronische Form zu und nennt Standardvertragsklauseln der EU-Kommission oder der Aufsichtsbehörde. Vorab prüft der Verantwortliche, ob der Auftragsverarbeiter hinreichende Garantien bietet.

Die Haftung bleibt beim Haus. Ein Verantwortlicher haftet auch für die Einhaltung des gewählten Auftragsverarbeiters. Verstößt dieser gegen seine Pflichten, kann der Verantwortliche zur Verantwortung gezogen und gegebenenfalls mit Geldbußen belegt werden.

Question 8

Bis wann ist eine Datenpanne der Aufsicht zu melden?

Accepted Answer

Eine Datenpanne ist der zuständigen Datenschutzbehörde so bald wie möglich und innerhalb von 72 Stunden nach Kenntnisnahme zu melden. Die Frist beginnt mit der Kenntnis. Als bekannt gilt der Vorfall, wenn ein angemessenes Maß an Sicherheit besteht, dass er aufgetreten ist und personenbezogene Daten kompromittiert wurden. Gelingt die Meldung nicht innerhalb der Frist, verlangt der Europäische Datenschutzausschuss eine Begründung für die Verzögerung.

Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für Einzelpersonen führt. Liegen nach 72 Stunden noch nicht alle Angaben vor, wird zunächst die erste Benachrichtigung eingereicht, weitere Informationen folgen phasenweise. Das Bayerische Landesamt für Datenschutzaufsicht nimmt dafür eine vorläufige Meldung mit Risikoschätzung entgegen und danach eine Folgemeldung.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich. Betroffene Personen sind unverzüglich zu benachrichtigen, wenn ein hohes Risiko für ihre Rechte und Freiheiten zu erwarten ist.

Question 9

Was ist ein Informationssicherheits-Managementsystem und was bietet der IT-Grundschutz des BSI dafür?

Accepted Answer

Der BSI-Standard 200-1 definiert allgemeine Anforderungen an ein Managementsystem für Informationssicherheit (ISMS) und ist kompatibel zum ISO-Standard 27001. Der BSI-Standard 200-2 bildet die Basis der Methodik. Er etabliert drei Vorgehensweisen: Basis-Absicherung, Kern-Absicherung und Standard-Absicherung.

Mit der Standard-Absicherung lässt sich ein kompletter Sicherheitsprozess umsetzen, sie ist kompatibel zur ISO 27001-Zertifizierung. Wer ein ISMS aufbauen, überprüfen oder erweitern will, kann nach Darstellung des BSI mit dem Standard 200-2 und den erforderlichen Bausteinen aus dem IT-Grundschutz-Kompendium arbeiten.

Der BSI-Standard 200-3 bündelt alle risikobezogenen Arbeitsschritte bei der Umsetzung des IT-Grundschutzes. Der Standard 200-4 behandelt das Business Continuity Management.

Question 10

Was regelt der BSI-Standard zum Notfallmanagement und was sind Business-Impact-Analyse und Wiederanlaufzeit?

Accepted Answer

Der BSI-Standard 200-4 bietet eine praxisnahe Anleitung, um ein Business Continuity Management System (BCMS) im eigenen Haus aufzubauen und zu etablieren. Er geht auf mögliche Synergiepotentiale mit Informationssicherheit und Krisenmanagement ein und gilt dem BSI als zentraler Bestandteil zur organisatorischen Resilienz. Ein Anforderungskatalog fasst alle MUSS- und SOLLTE-Anforderungen des Standard-BCMS zusammen.

Die Business-Impact-Analyse ermittelt nach dem BSI-Webkurs Notfallmanagement, dessen Glossar aus dem BSI-Standard 100-4 stammt, potentielle direkte und indirekte Folgeschäden, die durch einen Notfall und den Ausfall von Geschäftsprozessen entstehen.

Die Wiederanlaufzeit (WAZ) gibt an, in welcher Zeit der Notbetrieb aufgenommen werden sollte. Die maximal tolerierbare Ausfallzeit (MTA) gibt an, wann ein Prozess spätestens wieder anlaufen muss, damit die Überlebensfähigkeit nicht gefährdet ist. Beide Werte legt die Analyse je Geschäftsprozess fest.

Question 11

Wie hängen Schutzbedarfsfeststellung, Business-Impact-Analyse und Risikoanalyse zusammen?

Accepted Answer

Die Schutzbedarfsfeststellung fragt, welcher Schaden entstehen kann, wenn für ein Zielobjekt Vertraulichkeit, Integrität oder Verfügbarkeit verletzt werden. Die IT-Grundschutz-Methodik empfiehlt dafür die Kategorien normal, hoch und sehr hoch. Ihr Ergebnis dient dazu, die Festlegung der Sicherheitsanforderungen und die Auswahl angemessener Sicherheitsmaßnahmen für die einzelnen Zielobjekte des betrachteten Informationsverbundes zu steuern.

Weiteren Analysebedarf sieht das BSI nur in drei Fällen. Einer davon ist ein hoher oder sehr hoher Schutzbedarf in mindestens einem der drei Grundwerte. Für solche Fälle ist die Risikoanalyse das grundlegende Verfahren, der BSI-Standard 200-3 bietet dafür eine effiziente Methodik. Voraussetzung ist bei der Standard-Absicherung, dass der Schutzbedarf der Zielobjekte festgestellt ist.

Die Business-Impact-Analyse setzt anders an. Im Unterschied zur Schutzbedarfsfeststellung betrachtet sie nicht nur die Gesamthöhe des Schadens, sondern vor allem auch dessen zeitliche Entwicklung. Der BSI-Webkurs Notfallmanagement nennt als Planungsschritte eine Business-Impact-Analyse, eine Risikoanalyse und die Kontinuitätsstrategie. Kleine Häuser können bei den Verfügbarkeitsanforderungen eventuell auf Ergebnisse der Schutzbedarfsfeststellung zurückgreifen.

FAQ: Datenschutz, Informationssicherheit und Notfallmanagement

Datenschutz, Informationssicherheit und Notfallmanagement

FAQ: Datenschutz, Infor­ma­ti­ons­si­cher­heit und Not­fall­ma­nage­ment

Datenschutz, Infor­ma­ti­ons­si­cher­heit und Not­fall­ma­nage­ment

FAQ: Datenschutz, Informationssicherheit und Notfallmanagement

Datenschutz, Informationssicherheit und Notfallmanagement