Was ist die DSGVO?

Die DSGVO einfach erklärt

Wer im Theater seinen Mantel an der Garderobe abgibt, erwartet dreierlei: Der Mantel hängt sicher, niemand sonst trägt ihn, und er kommt auf Wunsch zurück. Ähnlich ist es mit Daten, die Kunden, Beschäftigte oder Geschäftspartner einem Unternehmen anvertrauen. Die Datenschutz-Grundverordnung, kurz DSGVO, legt fest, wie Unternehmen mit diesen Daten umgehen müssen.

Die DSGVO gilt seit dem 25. Mai 2018 in der gesamten EU; offiziell heißt sie Verordnung (EU) 2016/679. Sie schützt personenbezogene Daten, also alle Informationen, die sich einer bestimmten Person zuordnen lassen: Name, Anschrift, E-Mail-Adresse, Kundennummer, IP-Adresse oder Gesundheitsdaten. In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die Verordnung.

Die DSGVO betrifft nahezu jedes Unternehmen – vom Handwerksbetrieb mit Kundenkartei bis zum Konzern. Für die IT-Sicherheit ist sie besonders wichtig, weil sie ausdrücklich angemessene Schutzmaßnahmen verlangt.

Das regelt die DSGVO

Die Verordnung ist umfangreich. Für die Praxis sind vor allem diese Bausteine wichtig:

1. Grundsätze (Art. 5): Daten dürfen nur rechtmäßig, für festgelegte Zwecke und im nötigen Umfang verarbeitet werden. Sie müssen richtig sein, dürfen nicht länger als nötig gespeichert werden und sind vor unbefugtem Zugriff, Verlust und Zerstörung zu schützen.
2. Rechtsgrundlage (Art. 6): Jede Verarbeitung braucht eine Erlaubnis, etwa eine Einwilligung, einen Vertrag oder eine gesetzliche Pflicht.
3. Rechte der Betroffenen: Personen können unter anderem Auskunft, Berichtigung und Löschung ihrer Daten verlangen.
4. Dienstleister (Art. 28): Wer Daten im Auftrag verarbeiten lässt, braucht einen Auftragsverarbeitungsvertrag (AVV).
5. Sicherheit der Verarbeitung (Art. 32): Unternehmen müssen geeignete technische und organisatorische Maßnahmen (TOM) treffen.
6. Datenpannen (Art. 33 und 34): Wird der Schutz personenbezogener Daten verletzt, etwa durch einen Hackerangriff, ist das unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Datenschutzaufsicht zu melden. Das entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Bei hohem Risiko sind auch die Betroffenen selbst zu informieren.
7. Rechenschaftspflicht (Art. 5 Abs. 2): Unternehmen müssen nachweisen können, dass sie die Regeln einhalten.

Art. 32 verlangt Maßnahmen, die dem Risiko angemessen sind und den Stand der Technik berücksichtigen. Ausdrücklich genannt werden unter anderem:

• Pseudonymisierung (etwa das Ersetzen von Namen durch Kennnummern) und Verschlüsselung
• die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
• die rasche Wiederherstellung von Daten nach einem Zwischenfall, etwa durch Backups
• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen

Der letzte Punkt ist entscheidend: Es genügt nicht, Schutzmaßnahmen einzuführen. Ihre Wirksamkeit muss regelmäßig überprüft werden.

Ein Beispiel aus der Praxis

Ein typisches Szenario: Eine Arztpraxis mit mehreren Standorten nutzt einen Fernzugang, damit das Praxisteam auch von unterwegs auf die Praxissoftware zugreifen kann. Ein Angreifer nutzt eine bekannte, aber nicht geschlossene Schwachstelle in diesem Zugang und kopiert Patientendaten.

Die Praxis muss den Vorfall der Datenschutzaufsicht melden. Weil Gesundheitsdaten besonders schutzbedürftig sind und ein hohes Risiko für die Betroffenen besteht, muss sie auch die Patientinnen und Patienten informieren. Die Aufsicht fragt anschließend, welche Schutzmaßnahmen bestanden und wie ihre Wirksamkeit überprüft wurde. Ein regelmäßiger Penetrationstest mit dokumentierter Behebung der Befunde hätte die Lücke womöglich rechtzeitig aufgedeckt – und wäre ein wichtiger Nachweis gewesen.

Warum ist das für Unternehmen wichtig?

Verstöße können teuer werden. Für Verstöße gegen die Sicherheitspflichten aus Art. 32 sieht die DSGVO Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor. Bei Verstößen gegen die Grundsätze der Verarbeitung oder gegen die Rechte der Betroffenen sind es bis zu 20 Millionen Euro oder 4 Prozent. Zu diesen Grundsätzen zählen auch Vertraulichkeit und Integrität der Daten. Maßgeblich ist jeweils der höhere Betrag. Hinzu kommen mögliche Schadensersatzforderungen Betroffener, auch für immaterielle Schäden (Art. 82).

Mindestens ebenso schwer wiegt der Vertrauensverlust. Kunden und Partner wollen sicher sein, dass ihre Daten gut aufgehoben sind.

Die DSGVO schreibt keine bestimmten Produkte oder Testverfahren vor. Sie verlangt, dass die Maßnahmen zum Risiko passen und dass Sie das belegen können. Penetrationstests sind ein anerkanntes Mittel, um die Wirksamkeit technischer Maßnahmen nachvollziehbar zu prüfen. Erhält ein Prüfteam dabei Zugriff auf personenbezogene Daten, kann auch für den Test selbst ein AVV erforderlich sein.

Was Unternehmen jetzt tun sollten

• Überblick schaffen: Erfassen Sie, welche personenbezogenen Daten Sie wo verarbeiten, etwa im Verzeichnis von Verarbeitungstätigkeiten (Art. 30).
• Risiken bewerten: Bestimmen Sie, wie schutzbedürftig die Daten sind und welche Maßnahmen angemessen sind.
• TOM dokumentieren: Halten Sie Ihre technischen und organisatorischen Maßnahmen schriftlich fest und aktualisieren Sie sie.
• Wirksamkeit prüfen: Testen Sie Ihre Schutzmaßnahmen regelmäßig, zum Beispiel mit Penetrationstests und Schwachstellenanalysen.
• Dienstleister einbinden: Schließen Sie AVVs ab und achten Sie auf die Sicherheit Ihrer Auftragsverarbeiter.
• Datenpannen vorbereiten: Legen Sie fest, wer einen Vorfall bewertet und fristgerecht meldet.
• Fachleute einbeziehen: Binden Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten frühzeitig ein, sofern vorhanden.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.

Wie Rootsektor unterstützt

Ein Penetrationstest zeigt, ob Ihre technischen Maßnahmen einem realistischen Angriff standhalten, und hilft Ihnen, die von Art. 32 DSGVO geforderte regelmäßige Überprüfung nachvollziehbar zu belegen. Wir prüfen Webanwendungen, Netzwerke, Cloud-Umgebungen und mehr – einen Überblick finden Sie unter Penetration Testing. Sie bekommen einen Bericht mit Management Summary und konkreten Maßnahmenempfehlungen sowie eine Prüfbescheinigung für Kunden, Partner und Auditoren. Nach dem Scoping senden wir Ihnen innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot – anfordern können Sie es über unser Pentest-Angebot.