Serie 3: Welche Vorkehrungen muss ich treffen, um Kundendaten zu schützen?

Nach unserer Einführung und dem Thema Datenschutzkonzept, kommen wir heute zu dem Thema, welche Vorkehrungen muss ich treffen, um Kundendaten zu schützen? In der Fachsprache spricht man von technisch organisatorischen Maßnahmen. Die TOML muss dann Abläufe beinhalten, die sicherstellen, dass niemand Unbefugtes Zugriff auf die Computer hat. Hier muss ein internes Regelwerk vorliegen, an das sich Mitarbeiter halten müssen.

Ich habe bewusst den Fachbegriff technisch organisatorische Maßnahmen aus der Datenschutzsprache gewählt, um hier einige Fragezeichen aufpoppen zu lassen. Denn dieser Begriff wird einem immer wieder über den Weg laufen. Diese Maßnahmen müssen in einer Liste (TOML) vorgelegt werden. Was bedeutet das eigentlich? In einer TOML müssen alle Maßnahmen aufgelistet sein, die genau definieren, wie ich die Daten meiner Kunden vor Missbrauch und Verlust schütze.

Fangen wir mit dem einfachen Fall an: Meine Daten werden von einer Software auf meinem Computer / Laptop gespeichert, oder sind nur innerhalb meines Betriebes verfügbar. Dann ist die Software lediglich ein Werkzeug zur Datenaufnahme und muss nicht weiter beachtet werden. Die TOML muss dann Maßnahmen beinhalten, die sicherstellen, dass niemand Unbefugtes Zugriff auf die Computer hat. Hier muss ein internes Regelwerk vorliegen, an das sich Mitarbeiter halten müssen. Ein unbewachtes Laptop auf der Trainingsfläche, ein offenstehender Thekenrechner, der nicht im Pausen/Login Modus (Sperrbildschirm) hinterlassen wird und jedem beim Vorbeigehen Einsicht bietet, sind ein absolutes No-Go. Gibt es einen Serverraum, muss dieser jederzeit verschlossen sein und es muss eine Liste mit Personen geben, die Zugang haben. Ein Datensicherungskonzept muss vorliegen, z.B. ein Sicherungsprogramm erstellt einmal pro Woche eine Sicherung auf einer Festplatte, die sicher verstaut wird. Bin ich mobil unterwegs ist es immer wichtig, die Daten auf einer verschlüsselten Festplatte zu speichern und den Zugang zum Rechner durch ein Passwort zu schützen. Ein Verlust des Mobilgerätes bei nicht verschlüsselter Festplatte bedeutet immer, dass dieser Verlust bei der Datenschutzbehörde angezeigt werden muss. Und diese fordern dann eine Liste aller Daten an, die auf dem Rechner gespeichert waren, um die Betroffenen Personen zu informieren. Diese Liste wird kaum jemand in diesem Fall vorlegen können und wenn, nur mit riesigem Aufwand. Die Maßnahmen für eine lokale Datenspeicherung können also sehr einfach umgesetzt werden.

Autor
Lars Winter Dipl. Informatiker und seit über 22 Jahren Gesllschafter der Firma medo.check, dem Anbieter
für Softwarelösungen für Fitnessund Gesundheitsdienstleister. Verantwortlich für das Thema Datenschutz.