Anwenden von Datenschutzgrundsätzen

Lernziele

Nachdem Sie diese Lektion abgeschlossen haben, sind Sie in der Lage, die folgenden Aufgaben auszuführen:

• Nennen von zehn Grundsätzen des Datenschutzes
  
• Erläutern, wie die Grundsätze in Ihrem Unternehmen implementiert werden können
  

Datenschutzgrundsätze

Nachdem Sie die Grundlagen des Datenschutzes kennengelernt haben, befassen wir uns nun mit einigen Grundsätzen des Datenschutzes und ihrer Anwendung auf Ihr Unternehmen. Obwohl die gesetzlichen Anforderungen weltweit variieren, gibt es einige gängige Grundsätze, die die Grundlage vieler Datenschutzgesetze darstellen. Sehen wir uns diese Grundsätze, die wir in der vorherigen Lektion kurz vorgestellt haben, nun genauer an.

Fairness und Transparenz

Unternehmen sollten personenbezogene Daten stets rechtmäßig, nach Treu und Glauben und transparent verarbeiten.

Ihr Unternehmen kann diesen Grundsatz umsetzen, indem es personenbezogene Daten in Übereinstimmung mit den geltenden Gesetzen und den Verpflichtungen oder Service Level Agreements (SLAs) verarbeitet, die es seinen Kunden und Endbenutzern zugesagt hat. Wie bereits erwähnt, sollten Sie auf Ihrer Website eine Datenschutzerklärung veröffentlichen, die beschreibt, welche personenbezogenen Daten Sie in Ihrer Eigenschaft als Datenverantwortlicher erfassen und warum, und die auch Angaben zu Informationen enthält, die durch Cookies und Analysen erfasst werden. Es ist wichtig, dass Sie in Ihrer Datenschutzerklärung auch angeben, welche Arten von Daten Sie nicht erfassen. Und, last but not least, sollten Sie unabhängig davon, wie Sie die Daten erhalten, vor der Verarbeitung eine entsprechende Zustimmung einholen. 

Zweckbindung

Unternehmen sollten personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke verarbeiten. 

Für Ihr Unternehmen bedeutet dies, dass Sie jedesmal, wenn Sie personenbezogene Daten erfassen, klar kommunizieren, wie die Daten genutzt werden sollen. Wenn Sie die Daten für etwas anderes verwenden wollen als zuvor angegeben, müssen Sie in den meisten Fällen vor der Datenverarbeitung einen rechtlich gültigen Grund vorlegen und die Erlaubnis einholen.

Datenminimierung

Unternehmen sollten nur das Minimum an Daten erfassen, das für den jeweiligen Verarbeitungszweck notwendig ist. 

Ihr Unternehmen sollte nur dann personenbezogene Daten erfassen, wenn dies für die Durchführung der angebotenen Services erforderlich ist. Gemäß der Datenschutz-Grundverordnung (DSGVO) müssen personenbezogene Daten "dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein". Bei HIPAA, dem US-Datenschutzgesetz für das Gesundheitswesen, wird dies als die Regel der "Mindestanforderung" bezeichnet.

Wie funktioniert Datenminimierung? Nehmen wir an, Sie entwickeln eine interne mobile Anwendung für den kostenlosen Shuttle-Busdienst, den Ihr Unternehmen seinen Mitarbeitern anbietet. Zu den Daten, die die Anwendung erfassen und verarbeiten muss, gehören personenbezogene Daten der Mitarbeiter, z. B. ihre Privat- und Büroadresse und andere grundlegende Informationen (wie Name und Telefonnummer). Für die Anwendung sind jedoch weder das Geburtsdatum noch die ethnische Zugehörigkeit oder Gesundheits- bzw. Finanzdaten der Mitarbeiter notwendig. Da diese zusätzlichen Informationen nicht erforderlich sind, sollten Sie sie auch nicht erfassen.

Genauigkeit

Personenbezogene Daten sollten richtig und auf dem neuesten Stand sein.

Als Serviceanbieter für Ihre Kunden muss Ihr Unternehmen sicherstellen, dass Ihre Systeme korrekte Angaben enthalten und durch den Kunden vorgenommene Datenänderungen widerspiegeln, sobald diese auftreten. Für alle Daten, die als unrichtig gelten, muss es Mechanismen geben, damit sie sofort gelöscht oder korrigiert werden.

Datenlöschung und -aufbewahrung

Unternehmen sollten personenbezogene Daten nur so lange speichern, wie es zur Erfüllung des ursprünglichen Zwecks erforderlich ist.

Ihr Unternehmen sollte Daten nicht auf unbestimmte Zeit aufbewahren, selbst wenn sie in Zukunft eventuell noch einmal genutzt werden. Es sollte ein klarer Zeitrahmen für die Löschung von Daten gelten und zudem begründet werden, warum die Daten so lange aufbewahrt werden. So kann es beispielsweise erforderlich sein, Dateien mit Sicherheitsprotokollen über einen bestimmten Zeitraum aufzubewahren, um böswilliges Verhalten von Angreifern aufzuspüren und nachzuverfolgen. Der Zeitraum muss jedoch ebenfalls begrenzt sein und begründet werden. Sie sollten auch die Gesetze zur Datenaufbewahrung für bestimmte Datentypen, wie etwa juristische Dokumente, in dem Land kennen, in dem Ihr Unternehmen seine Leistung erbringt.

Sicherheit

Unternehmen sollten geeignete technische und organisatorische Sicherheitsmaßnahmen ergreifen, um personenbezogene Daten vor unbefugter Verarbeitung, unbeabsichtigter Offenlegung, Verlust, Vernichtung oder Veränderung zu schützen. 

Ihr Unternehmen muss sicherstellen, dass seine Sicherheitssysteme die Daten ausreichend schützen. Auch Sie können durch bestimmte Methoden zur Verbesserung des Datenschutzes zur Sicherheit der von Ihnen gespeicherten Daten beitragen. Im Folgenden sehen wir uns einige dieser Methoden an.

• Datentrennung: Hier werden Daten in verschiedene Datenkategorien unterteilt, um den Zugriff auf verschiedene Datenklassen aufzuteilen bzw. zu beschränken. Mit dieser Methode kann Ihr Unternehmen separate Zugriffsregeln für Datensets oder verschiedene Benutzergruppen erstellen und damit sicherstellen, dass nur autorisierte Personen Zugriff haben.
  
• Verschlüsselung: Bei dieser Sicherheitsmethode werden Informationen in einem unlesbaren Format verschlüsselt, auf das nur ein Benutzer mit dem richtigen Schlüssel zugreifen kann, um es zu entschlüsseln. Verschlüsselung stellt die Vertraulichkeit der Daten sicher.
  
• Pseudonymisierung: Hier werden die Informationen, die eine Person identifizieren können, durch Pseudonyme oder Kennungen ersetzt. Dies verringert die Wahrscheinlichkeit, dass personenbezogene Datensätze und Identifikatoren zur Identifikation einer Person verwendet werden können.
  
• Anonymisierung: Bei dieser Methode werden private oder sensible Informationen durch Löschen, Verschleiern (Maskieren) oder Verschlüsseln geschützt. Dazu werden alle mit einer Person verbundenen Identifikatoren entfernt.
  

Möglicherweise gibt es in Ihrem Unternehmen weitere Sicherheitsmaßnahmen zur Verbesserung des Datenschutzes. Es wird empfohlen, dass alle Mitarbeiter, die Zugang zu Computersystemen haben, unabhängig von ihrer Position eine Datenschutzschulung erhalten und Richtlinien zur akzeptablen Nutzung durch Mitarbeiter lesen und anerkennen.

Rechenschaftspflicht

Ihr Unternehmen sollte Richtlinien erstellen und Prozesse implementieren, die zeigen, dass Sie die Datenschutzgesetze, -vorschriften und -grundsätze einhalten (Stichwort "Compliance").

Sie sollten Maßnahmen zur Verbesserung des Datenschutzes durch Technikgestaltung ("Privacy by Design") und des Datenschutzes durch datenschutzfreundliche Voreinstellungen ("Privacy by Default) ergreifen.

• Datenschutz durch Technikgestaltung (auch "Privacy by Design"): Datenschutz durch Technikgestaltung erfolgt, wenn ein Unternehmen mit der Planung eines neuen oder verbesserten Prozesses oder einer Aktivität beginnt oder ein neues Produkt, einen neuen Service oder eine neue Funktion entwickelt.
  

Wenn Ihr Unternehmen ein neues Produkt entwickelt, sollte es in der Planungs- und Entwurfsphase Datenschutzrichtlinien und -grundsätze berücksichtigen. Es ist wichtig, alle relevanten Beteiligten und die Rechtsabteilung in diesen Planungs- und Entwurfsprozess einzubeziehen, um sicherzustellen, dass der Datenschutz Priorität hat und Ihr Unternehmen die geltenden Gesetze einhält.

• Datenschutz durch datenschutzfreundliche Voreinstellungen (auch "Privacy by Default"): Unternehmen sollten die datenschutzfreundlichsten Standardeinstellungen wählen, wenn sie personenbezogene Daten erfassen, verarbeiten oder speichern. Wenn Sie sich beispielsweise für einen Online-Account bei einem sozialen Netzwerk anmelden und einen seiner Services nutzen möchten, dann kann es sein, dass sich das Netzwerk an das Prinzip des Datenschutzes durch datenschutzfreundliche Voreinstellungen hält und daher nur Ihr Name und Ihre E-Mail-Adresse benötigt werden. Wenn der Account des sozialen Netzwerks jedoch sofort anfängt, Ihren Standort oder außer Ihrem Namen und Ihrer E-Mail-Adresse noch weitere Daten freizugeben, hält es sich nicht an den Grundsatz des Datenschutzes durch datenschutzfreundliche Voreinstellungen.
  

Rechte der betroffenen Person

In den Datenschutzgesetzen sind auch die Rechte der betroffenen Person in Bezug auf ihre personenbezogenen Daten festgelegt. Zu diesen Rechten gehören:

• Recht auf Dateneinsicht durch die betroffene Person: Betroffene Personen haben das Recht, eine Kopie aller personenbezogenen Daten, die ein Verantwortlicher über sie speichert, einzusehen und eine Bestätigung zu erhalten, dass ein Verantwortlicher ihre personenbezogenen Daten verarbeitet. Zudem haben sie das Recht, Einzelheiten über die Zwecke der Verarbeitung, die verarbeiteten Datenkategorien, die Dauer der Speicherung und die Weitergabe der personenbezogenen Daten zu erfahren.
  
• Widerspruchsrecht: Betroffene Personen können in bestimmten Fällen Widerspruch gegen die Verwendung ihrer personenbezogenen Daten einlegen.
  
• Recht auf Berichtigung der Daten: Betroffene Personen können verlangen, dass ihre personenbezogenen Daten berichtigt oder vervollständigt werden, wenn diese unrichtig oder unvollständig sind.
  
• Recht auf Einschränkung der Verarbeitung: Betroffene Personen können verlangen, dass ein Unternehmen die Verarbeitung ihrer personenbezogenen Daten unter bestimmten Umständen einstellt.
  
• Recht auf Löschung: Dieses Recht wird auch als das "Recht auf Vergessenwerden" bezeichnet und gibt den betroffenen Personen die Möglichkeit, von einem Verantwortlichen unter bestimmten Bedingungen die Löschung ihrer personenbezogenen Daten zu verlangen. Da die USA in Bezug auf den Datenschutz sektorbezogen sind, beinhalten die meisten US-Datenschutzgesetze dieses Recht nicht. Eine Ausnahme ist hier der Children’s Online Privacy Protection Act (COPPA).
  
• Recht auf Datenübertragbarkeit: Betroffene Personen haben das Recht, von einem Verantwortlichen zu verlangen, dass er ihnen ihre personenbezogenen Daten in einem exportierbaren Format zur Verfügung stellt, damit sie diese an einen anderen Verantwortlichen übermitteln können, sofern die Art der Verarbeitung dies zulässt.
  

Als Serviceanbieter ist Ihr Unternehmen verpflichtet, Ihre Kunden bei derartigen Anfragen zu unterstützen. Als Verantwortlicher sind Sie für die Beantwortung von Anfragen der betroffenen Personen zuständig. Die Systeme, die Sie zur Verwaltung personenbezogener Daten verwenden, sollten Anfragen erfüllen können, die sich aus den Rechten auf Einsicht, Berichtigung, Löschung und Übertragbarkeit ableiten.

Übermittlung in andere Länder

Bestimmte Länder und Regionen, wie etwa die Europäische Union (EU), beschränken die Übermittlung personenbezogener Daten außerhalb des Herkunftslandes oder der Herkunftsregion, es sei denn, im Zielland sind ausreichende Sicherheitsvorkehrungen vorhanden, um den Schutz der Daten zu gewährleisten. Wenn Ihr Unternehmen international tätig ist, sollten Sie Maßnahmen implementieren, die sicherstellen, dass Sie personenbezogene Daten legal über Grenzen hinweg übermitteln können.

Datenschutz-Folgenabschätzungen 

Wenn Ihr Unternehmen personenbezogene Daten erfasst, speichert oder verwendet, entstehen dadurch Risiken für die Personen, deren Daten Sie verarbeiten. Diese Risiken reichen von Diebstahl mit der Absicht, sich als eine Person auszugeben, bis hin zur versehentlichen Offenlegung. Im Rahmen der DSGVO ist Ihr Unternehmen verpflichtet, eine Datenschutz-Folgenabschätzung durchzuführen. Nach Angaben der CNIL (Kommission Nationale de l'Informatique et des Libertés) dient eine Datenschutz-Folgenabschätzung dazu, Daten im Hinblick darauf zu beurteilen, ob sie ein hohes Risiko für die Rechte und Freiheiten von Personen darstellen, und diese Risiken so früh wie möglich zu erkennen und zu minimieren. Ihr Unternehmen sollte eine Datenschutz-Folgenabschätzung durchführen, bevor es mit der Erfassung oder Verarbeitung von Daten beginnt, die für die betroffenen Personen ein erhöhtes Risiko darstellen.  

Zusammenfassung

Sie haben hier jetzt viel über die Grundsätze des Datenschutzes und ihre Anwendung in Ihrem Unternehmen erfahren. In der nächsten Lektion befassen wir uns mit Kundendaten und der Rolle, die Datentreuhänder beim Schutz dieser Daten spielen.

Ressourcen

• Externe Website: CNIL: Handbuch zum Thema Datenschutz-Folgenabschätzungen
  
• Externe Website: Forcepoint: Was ist Datenverschlüsselung?
  
• Externe Website: Trend Micro: Was ist Pseudonymisierung?
  
• Externe Website: Imperva: Was ist Datenanonymisierung?