Die DSGVO verlangt einen umfassenden Schutz personenbezogener Daten und stellt dies über umfangreiche Dokumentations- und Nachweispflichten sicher. Im Kern lässt sich dies auf eine Maßgabe eindampfen: Die DSGVO verlangt hinsichtlich des Datenschutzes von Unternehmen Demonstrating Compliance.
Um die Einhaltung der Datenschutzvorgaben jederzeit nachweisen zu können, sind klar definierte Prozesse und Strukturen, wie Daten verarbeitet werden, essentiell. Daher spielen gerade die Struktur und der Aufbau von Daten- bzw. Dokumentenmangementsystemen eine entscheidene Rolle.
2. Gesetzlicher Rahmen/Anforderungen an DSGVO-konformes Dokumentenmanagement
Im Folgenden geben wir Ihnen einen kurzen Überblick über den gesetzlichen Rahmen und die wesentlichen Anforderungen für ein datenschutzkonformes Dokumentenmanagement.
a) Normen
- DSGVO
- BDSG, KDG (Katholisches Datenschutzgesetz), EKD-Datenschutzgesetz, andere nationale Datenschutzvorgaben
- Spezialvorgaben z.B. KritisVO, HIPAA, FISA etc.
b) Grundsätze der Datenverarbeitung
(Datenminimierung, Zweckbindung, Rechtmäßigkeit (relevant für Löschen), Integrität, Vertraulichkeit, Need-to-Know-Prinzip (-> Berechtigungskonzept), Rechenschaftspflicht)
Die DSGVO definiert einige Grundsätze für die Verarbeitung personenbezogener Daten. Diese Grundsätze geben bei Entscheidungen zum Aufbau eines Daten- oder Dokumentenmanagementsystems eine gute Orientierung.
Zunächst einmal sind personenbezogene Daten rechtmäßig, transparent und unter Beachtung von Treu und Glauben zu verarbeiten. Weiterhin dürfen sie nur für festgelegte, eindeutige sowie legitime Zwecke erhoben werden. Die Verarbeitung von Daten unterliegt einer Zweckbindung, das betrifft auch die Weiterverarbeitung. Nach dem Prinzip der Datenminimierung ist die Datenverarbeitung auf das notwendige Maß zu beschränken. Der Grundsatz der Richtigkeit erfordert, dass personenbezogene Daten sachlich richtig und aktuell sein müssen. In zeitlicher Hinsicht gibt es eine Speicherbegrenzung für den Zeitraum, für den die entsprechenden personenbezogenen Daten im Hinblick auf den Zweck der Datenverarbeitung benötigt werden.
Schließlich gelten auch die Grundsätze der Integrität und Vertraulichkeit im Hinblick auf die Datenverarbeitung, was geeignete technische und organisatorische Maßnahmen umfasst, die die verarbeiteten Daten vor Verlust, unrechtmäßiger Verarbeitung, vor Zerstörung oder Schädigung schützen sollen. Insgesamt ist der Verantwortliche zur Rechenschaft über die Einhaltung der oben genannten Bedingungen verpflichtet.
c) Wirtschaftlichkeit/Praktikabilität Erwägungen
- Datenschutz soll risikobasiert stattfinden
- Schutzmaßnahmen müssen dem Risiko angemessen sein, wobei auch wirtschaftliche Erwägungen in die Entscheidung, welche Maßnahmen getroffen werden, einbezogen werden dürfen (vgl. Art. 32 Abs. 1, Art. 25 Abs. 1 DSGVO)
- Datenmanagement soll die Grundsätze des Datenschutzes erfüllen, zugleich aber auch wirtschaftlich und in die Prozesse des Unternehmens effizient integrierbar sein
d) Individuelle Bedürfnisse des Unternehmens bewerten
- Welche Risiken bestehen für Datensubjekte?
- Welche Risiken bestehen für das Unternehmen?
- Sind bereits Schwierigkeiten im Daten-/Dokumentenmanagement bekannt?
3. DSGVO-Werkzeugkasten aufzeigen: DSB (extern/intern)
- Management-System (Plan-Do-Check-Act-Lifecycle)
Datenschutz verlangt die kontinuierliche Umsetzung, Überprüfung und Verbesserung der getroffenen Maßnahmen – also ein fortlaufendes Abgleichen des Plans mit der Realität und die Umsetzung der erforderlichen Maßnahmen, um den Plan zu erfüllen.
- Datenschutz / Compliance Software (z.B. Proliance 360)
• Prozesse, Strukturen, Schulungen und Vorlagen für das gesamte Unternehmen
- TOMs (tech. und organisatorische Maßnahmen, um Daten zu schützen)
• Einsatz von DRACOON, um Daten zu strukturieren, Zugriffe zu regeln, Daten sicher aufzubewahren, Daten sicher zu teilen
- (Ext.) DSB
• Berät, überwacht und unterstützt bei der Einhaltung und Umsetzung der Anforderungen des Datenschutzes
4. DRACOON-Prozess – Sicherheitsmechanismen
DRACOON ist so konzipiert, dass Sie einen mächtigen Werkzeugkasten an der Hand haben, mit dem Sie die Organisation der Dateien im Unternehmen sinnvoll, nachhaltig und sicher gestalten können. Dazu gibt es Features, welche dafür sorgen, dass User zu jeder Zeit genau die Möglichkeiten haben, an Dateien zu arbeiten, die für ihre konkrete Aufgabe nötig sind – nicht weniger, aber auch nicht mehr.
