Prozessorientiertes Datenschutz-Managementsystem E-Book

Patrick Walitschek

• Herausgeber: Books on Demand
• Kategorie: Fachliteratur
• Sprache: Deutsch
• Veröffentlichungsjahr: 2018

Seitenzahl: 26

Beschreibung

Ein installiertes und gelebtes Datenschutzmanagementsystem kann dabei helfen, durch eine ständige Neubewertung den eigenen Stand der Technik aufs Neue zu hinterfragen und damit die Organisation in Bezug auf die Anforderungen der DSGVO kontinuierlich zu verbessern. Die daraus entstehende Dokumentation kann bei behördlichen Inspektionen genutzt werden, um detailliert den Prozess der Verarbeitung von personenbezogenen Daten darzustellen und durch die Anwendung von Werkzeugen aus dem Risikomanagement evtl. auftretende Probleme bereits im Vorfeld beheben.

Leseprobe

Prozessorientiertes Datenschutz-Managementsystem

Einleitung und ProblemstellungDie DatenschutzgrundverordnungDatenschutzbeauftragterProzessorientierter AnsatzProzessorientiertes DatenschutzmanagementsystemVerpflichtung der obersten LeitungDokumentationDatenschutzauditBeispielhafte Gliederung eines DatenschutzmanagementsystemsFazitGlossarAbkürzungsverzeichnisLiteraturverzeichnisImpressum

Einleitung und Problemstellung

Personenbezogene Daten sind in Zeiten der digitalen Transparenz durch eine weltweite Vernetzung ein schützenswertes Gut. Der Verdienst der Internetriesen mit Daten geht in die Milliarden und macht über 90 % des Umsatzes von Firmen wie Facebook und Google aus. Die Vorgehensweise dabei ist das ‚Target Advertising‘. Hierbei wird über einen gesteuerten Algorithmus ermittelt, welche Produkte dem Nutzer- und Suchverhalten entsprechen. Darüber können gezielt und individuell Werbeanzeigen geschaltet werden (Bialek, Dörner, Kerkmann & Weddeling, 2017).

Die Europäische Union sieht den Schutz vonpersonenbezogenen Datenals eines der Grundrechte der Bürgerinnen und Bürger und beschreibt die Würdigkeit des Schutzes solcher Daten wie folgt: „Der Schutz natürlicher Personen bei derVerarbeitungpersonenbezogener Daten ist ein Grundrecht. Gemäß Artikel 8 Absatz 1 der Charta der Grundrechte der Europäischen Union [im Folgenden „Charta“]sowie Artikel 16 Absatz 1 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) hat jede Person das Recht auf Schutz der sie betreffendenpersonenbezogenen Daten“ (Datenschutz-Grundverordnung, 2016, ErwGr 1).

Die Datenschutzgrundverordnung (DSGVO) trifft in Europa kleineUnternehmenwie sogenannte ‚One-Man-Shows‘ in gleicher Güte wie auch multinationale Konzerne. Zwischen prozessualen und organisatorischen Möglichkeiten wird durch die Verordnung nicht unterschieden (VPT, 2018).Personenbezogene Daten sind alle Informationen, die dazu führen, dass eine natürliche Person identifiziert werden kann. Dazu zählen unter anderem Daten wie der Name, Adressdaten, Fotos aber auch z.B. das Verhalten, wie das Kaufverhalten, Religionszugehörigkeit und Gesundheitsdaten. In der digitalen Welt können die IP-Adresse (Internetprotokoll-Adresse) und Standortdaten ebenfalls dazu führen, dass eine natürliche Person identifiziert werden kann (Datenschutz-Grundverordnung, 2016, Art. 4, Abs. 1)

Aufbau, Abgrenzung und Zielstellung dieser Arbeit

Die vorliegende Arbeit soll die wesentlichen Forderungen der DSGVO für die Verantwortlichen darstellen und erläutern. Dabei nimmt der Autor keinen Bezug auf Behörden, öffentliche Stellen sowie die Pflichten eines Auftragsverarbeiters. Es sollen die Anforderungen für kleine und mittelständische Unternehmen herausgearbeitet und mit den Prinzipien eines prozessorientieren Managementsystems wie der DIN EN ISO 9001 verknüpft werden. In den Bezügen zur ISO-Norm werden ausschließlich Auszüge behandelt.

Die Datenschutzgrundverordnung

Das Thema Datenschutz ist durch die erste Gesetzgebung im Jahr 1970 durch das Bundesland Hessen aus juristischer Sicht bekannt geworden. In den 1980er Jahren gelangte der Datenschutz durch das Volkszählungsurteil des Bundesverfassungsgerichts in den Fokus der Öffentlichkeit. (BVerfG 1 BvR 209/83, 1 BvR 484/83, 1 BvR 420/83, 1 BvR 362/83, 1 BvR 269/83, 1 BvR 440/83) Das Gericht entschied über die informelle Selbstbestimmung der Bürger, dass eine Volkszählung nicht zulässig sei. Die Datenverarbeitung war durch das Verbot eines Erlaubnisvorbehalts reglementiert. Die Betroffenen mussten der Verarbeitung der Daten im Vorhinein zustimmen. Diese Regelung stammt aus den 80er Jahren. Mit der ‚Erfindung‘ des Internets jedoch wurde die Verarbeitung von Daten der Öffentlichkeit und den privaten Haushalten zugänglich gemacht und war nicht länger an Großrechner gebunden. Diesem rasanten technischen Fortschritt kam die Gesetzgebung seiner Zeit nicht nach (Körner, 2017, S. 5).

Der Whistleblower Edward Snowdon enthüllte im Jahr 2013, dass die US-Geheimdienste über Jahre hinweg personenbezogene Daten von Millionen von Menschen verarbeiten. Weiter berichtete Snowdon, dass auf ähnliche Art und Weise private Unternehmen, über Auswertungsverfahren verfügen, um über diese Datenmengen Zusammenhänge und Trends zu erkennen. Dadurch wäre es möglich, zukünftiges Verhalten von Betroffene