DSGVO (GDPR)

Was ist die DSGVO?

Die DSGVO (Datenschutz-Grundverordnung), Verordnung (EU) 2016/679, ist die europäische Verordnung zur Verarbeitung personenbezogener Daten. Seit dem 25. Mai 2018 anwendbar, bindet sie jede Organisation, die personenbezogene Daten von Personen in der Europäischen Union verarbeitet, unabhängig davon, wo diese Organisation selbst niedergelassen ist. Sie legt Grundsätze, Betroffenenrechte und Pflichten für Verantwortliche wie für Auftragsverarbeiter fest.

Die Pflichten, die Identität und Zugriffe unmittelbar berühren

• Artikel 5 Absatz 1 Buchstabe f: personenbezogene Daten sind mit angemessener Sicherheit zu verarbeiten, einschliesslich des Schutzes vor unbefugtem Zugriff.
• Artikel 30: Verantwortliche und Auftragsverarbeiter führen ein Verzeichnis von Verarbeitungstätigkeiten, was voraussetzt zu wissen, welche Systeme personenbezogene Daten verarbeiten.
• Artikel 28: ein Auftragsverarbeiter darf nur auf vertraglicher Grundlage tätig werden, das ist der Auftragsverarbeitungsvertrag, den jeder SaaS-Anbieter bereitstellen sollte.
• Artikel 32: angemessene technische und organisatorische Massnahmen, gemessen an Risiko, Kosten und Stand der Technik.
• Artikel 33: Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde binnen 72 Stunden.

Man kann nicht dokumentieren, was man nicht aufgedeckt hat

Das Verzeichnis nach Artikel 30 setzt voraus, die Tools aufzulisten, die personenbezogene Daten verarbeiten. Jede ausserhalb der IT gekaufte und nie gemeldete Anwendung ist eine Lücke in diesem Verzeichnis, und das Unternehmen weiss nicht, dass die Lücke existiert. Genau hier hört Schatten-IT auf, ein IT-Ärgernis zu sein, und wird zu einer regulatorischen Exposition: Eine Aufsichtsbehörde, die das Verzeichnis anfordert, erhält ein aufrichtiges und unvollständiges Dokument.

Beispiele und Anwendungsfälle

Ein Unternehmen führt ein sorgfältiges Verzeichnis nach Artikel 30 über 40 Anwendungen. Die Aufdeckung findet 118 in aktiver Nutzung, darunter ein Transkriptionstool, das Aufzeichnungen von Kundengesprächen verarbeitet, und einen KI-Assistenten am geteilten Laufwerk, beide nirgends im Verzeichnis. Nichts wurde absichtlich verschwiegen. Das Verzeichnis entstand aus dem, wonach der Datenschutzbeauftragte zu fragen wusste. Corma liefert die fortlaufende Aufdeckung, die das Verzeichnis am tatsächlichen Bestand ausrichtet statt am Gedächtnis.

Verwandte Begriffe

• Volle Transparenz gegen Schatten-IT
• Automatisierte Identity Governance und Administration
• Automatisiertes SaaS-Management

FAQ

Verlangt die DSGVO Zugriffsüberprüfungen?

Nicht namentlich. Artikel 32 verlangt angemessene Sicherheitsmassnahmen und Artikel 5 Absatz 1 Buchstabe f den Schutz vor unbefugtem Zugriff, und eine dokumentierte Zugriffsüberprüfung ist der übliche Weg, beides nachzuweisen.

Was ist ein Auftragsverarbeitungsvertrag?

Der nach Artikel 28 vorgeschriebene Vertrag zwischen Verantwortlichem und Auftragsverarbeiter, der Gegenstand, Dauer, Zweck, Pflichten und die Regeln zu weiteren Auftragsverarbeitern festlegt.

Gilt die DSGVO auch für nichteuropäische Unternehmen?

Ja. Nach Artikel 3 gilt sie, sobald eine Organisation Personen in der Union Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet. Die Niederlassung in Europa ist nicht das Kriterium.

Wie hoch kann ein DSGVO-Bussgeld ausfallen?

Bis zu 20 Millionen Euro oder 4 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. In Deutschland verhängen die Landesdatenschutzbehörden diese Sanktionen.

Demo anfragen