- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

DPO die Instanz für Datenschutz


GDPR und die neue Rolle des Data Protection Officer (DPO)
Um die Richtlinien einzuhalten, formuliert die GDPR die Rolle eines DPO und verpflichtet auch deren Einsatz in Unternehmen und Organisationen

- Anzeigen -





Die Uhr tickt: Mai nächsten Jahres beginnt eine neue Ära der europäischen Datenschutzgesetze. Die EU-Datenschutz-Grundverordnung (GDPR) gilt für alle Mitgliedsstaaten der Europäischen Union (einschließlich des Vereinigten Königreichs, vor und voraussichtlich auch nach dem Brexit). Bis heute wurde viel über Strafen und Sanktionen bei Verstößen diskutiert, darunter bis zu 20 Mio. Euro oder 4 Prozent des jährlichen weltweiten Umsatzes eines Unternehmens. Dennoch scheint die Anforderung an die Rolle des Data Protection Officer (DPO) in Unternehmen bisher noch eine untergeordnete Rolle zu spielen.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

"In der Vergangenheit war die Rolle des DPO weitgehend undefiniert, denn das aktuell noch bestehende europäische Datenschutzgesetz stammt aus einer EU-Richtlinie von 1995, welche derartige Rollen und Aufgaben noch nicht in dem Maße berücksichtigt, wie in der GDPR", erklärt Michael Veit, IT-Security Experte bei Sophos.

In jenen Tagen wurden Daten fast ausschließlich im "Computing-Kontext" gesehen und die ersten Personen, die den informellen Titel des DPO erhielten, hatten meist einen IT-Hintergrund. Sie waren diejenigen, die den Fluss von computergesteuerten Daten verstehen, identifizieren und "schützen" konnten. Heute, in einer Zeit in der Technik unser Leben so sehr bestimmt, haben sich Rolle und Aufgabe eines DPO maßgeblich verändert. Heute ist der DPO die Instanz für Datenschutz innerhalb einer Organisation. Der DPO muss einem Unternehmen oder einer Organisation helfen, den gesetzlichen Verpflichtungen nachzukommen - auch hinsichtlich der Achtung der Privatsphäre von Privatpersonen.

Es geht generell um Sicherheit und diese beinhaltet nicht nur die Sicht auf die IT, sondern auch die Kompetenz in den Bereichen Recht, Compliance oder Kundenservice und viele mehr. Um die Richtlinien einzuhalten, formuliert die GDPR die Rolle eines DPO und verpflichtet auch deren Einsatz in Unternehmen und Organisationen. Zum Beispiel werden alle öffentlichen Einrichtungen einen DPO zwingend benötigen, um die Informationsfreiheit oder Menschenrechte zu garantieren. Dies bedeutet auch, dass unter Umständen auch sehr kleine Organisationen oder Unternehmen in der gesetzlichen Pflicht stehen, einen DPO zu haben - zum Beispiel Gemeinden oder staatlichen Schulen.

Aber die Rolle ist auch für diejenigen Organisationen zwingend, deren Kerntätigkeiten eine "regelmäßige und systematische Überwachung von Daten in großem Maßstab" beinhalten oder wenn die Kernaktivitäten die Verarbeitung von besonders sensiblen Daten beinhalten (z. B. Daten, die sich auf die ethnische Herkunft, religiöse Überzeugungen, Gesundheit, Sexualleben oder strafrechtliche Verurteilungen beziehen).

Gewisse und teilweise hilfreiche Leitlinien wurden von der Artikel-29-Arbeitsgruppe, einer Gruppe von Vertretern von Datenschutzbehörden der gesamten EU, erstellt. Diese Leitlinien erklären beispielsweise, dass kritische "Kernaktivitäten" nicht die Verarbeitung von Personalinformationen innerhalb einer Personalabteilung betreffen - jegliche gegenteilige Ansicht hätte dazu geführt, dass jeder Arbeitgeber einen DPO benötigen würde.

Die GDPR beschreibt Strukturen und definiert einige der erforderlichen Qualitäten und Pflichten eines DPO. Folgende Qualifikationen sind erforderlich:

• >> Möglichkeit von "unabhängigem" Handeln
• >> Unabhängig von Anweisungen des Arbeitgebers
• >> Kenntnis des Datenschutzrechts
• >> Ausreichende Ressourcen zur Erfüllung der Aufgaben
• >> Bericht direkt an die höchste Management-Ebene

Dabei muss ein DPO nicht unbedingt im eigenen Haus bestellt werden. Die GDPR macht deutlich, dass die Rolle auch von einem externen Spezialisten erfüllt werden kann. Dies ist zweifellos für die kleineren Organisationen hilfreich. Diese würden es schwer haben einen qualifizierten internen Mitarbeiter für die Aufgaben eines DPO zu finden. Denn laut Artikel 29 der Leitlinien, darf zusätzlich zur Qualifikation auch kein Interessenkonflikt stattfinden. Einige Rollen im Unternehmen sind mit dem DPO nicht vereinbar, darunter beispielsweise der CEO, CFO, Marketingleiter, HR oder IT.

Was passiert aber, wenn eine Organisation einen DPO nach GDPR ernennen muss, dies aber unterlässt? In der Theorie könnte eine solche Verletzung eine "niedrigere" Geldbuße von bis zu 10 Mio. Euro oder 2 Prozent des jährlichen weltweiten Umsatzes zur Folge haben. Soweit zur Theorie, denn es ist vermutlich nicht zu erwarten, dass ein Datenschutzkontrolleur jemals eine solche Geldbuße nur für das Versäumnis, einen DPO zu ernennen, erheben wird. Tragisch wird die Situation, wenn neben der Nicht-Ernennung eines DPO substanzielle Verstöße gegen die GDPR begangen werden.

"Generell sollte jedes Unternehmen oder jede Organisation einen DPO ernennen, auch solche, die es laut Vorgaben nicht müssen. Denn Compliance und organisatorische Verbesserungen müssen für die kommende Jahre angestoßen und justiert werden", sagt Michael Veit, IT-Security Experte bei Sophos. (Sophos: ra)

eingetragen: 04.10.17
Home & Newsletterlauf: 03.11.17


Sophos: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Wenn Kryptojacking auf die Cloud trifft

    Mit prominenten Opfern wie Tesla, Avira und Gemalto tauchte Kryptojacking in der ersten Jahreshälfte 2018 mehrmals in den Schlagzeilen auf. Bei dieser Angriffstechnik kapern Hacker fremde Geräte um Kryptowährungen zu schürfen. Kryptowährungen werden durch das Lösen komplexer mathematischer Probleme generiert. An sich ein legitimer Vorgang, allerdings erfordert dieser eine hohe Rechenleistung und ist damit überaus ressourcenintensiv. Für Kriminelle ist es daher lukrativer, das Schürfen widerrechtlich auf fremde Infrastrukturen auszulagern. Das Kapern von Geräten und Netzwerken und die Bündelung zu einem Botnetz maximiert ihre Schürfkapazitäten und beschert einen höheren Gewinn, da sie diese Ressourcen nicht selbst kostenpflichtig unterhalten müssen. Ebenfalls attraktiv sind die damit verbundenen geringeren Konsequenzen: Fälle von Kryptojacking, insbesondere in den USA, werden von den Behörden weniger aggressiv verfolgt als Angriffe mit Malware oder Ransomware, wo das Schadensausmaß deutlich höher ist.

  • Cyber-Sicherheit braucht permanentes Training

    Auf eine Billion Dollar summieren sich die weltweiten Aufwände im Kampf gegen Cyber-Kriminalität bis 2021 laut einer Studie des Marktbeobachters Cybersecurity Ventures. Damit sich diese Investitionen auszahlen, ist eine umfassende Strategie erforderlich. Denn Cyber-Sicherheit ist wie ein Muskel: Je häufiger er trainiert wird, desto stärker wird er. Trotz umfassender Sicherheitsvorkehrungen bleibt der Mitarbeiter der entscheidende Faktor. Denn Sicherheitssysteme schützen gegen bekannte Gefahren - Mitarbeiter werden mit dem Unbekannten konfrontiert. Die Unternehmens-IT und Mitarbeiter stehen in wechselseitiger Abhängigkeit: "Obwohl Mechanismen der Cyber-Sicherheit das ganze Jahr über einzuhalten sind, sollte man sich jetzt daran erinnern, dass wir alle gemeinsam eine Rolle bei der IT-Sicherheit und Minderung von Risiken spielen", sagt Chris Goettl, Director of Product Management, Security, Ivanti. "Um IT-Abteilungen bei der Schulung von Nutzern zu helfen, haben wir diese Liste der wichtigsten Tipps zusammengestellt. Damit soll die Gefährdung durch Schwachstellen und Bedrohungen verringert werden."

  • Mit einem Hacker auf Business-Trip

    Tom Van de Wiele, Principal Cyber Security Consultant bei F-Secure, ist seit über 15 Jahren als ethischer Hacker unterwegs ist. Der Sicherheitsberater erläutert, auf welche Sicherheitsmaßnahmen es bei Geschäftsreisen ankommt. Um diversen Unternehmen vorzuführen, wie bedroht sie sind, hat der Cybersecurity-Spezialist F-Secure für einen Red Teaming Test seine besten ethischen Hacker bei ihnen versuchsweise einbrechen lassen. Tom Van de Wiele hat zuletzt im Cyber Security Sauna Podcast von F-Secure verraten, was beim Thema IT-Sicherheit auf Reisen zu beachten ist.

  • Unerwünschtes Crypto-Mining nimmt zu

    Das BSI stellt im aktuell vorgestellten Lagebericht 2018 fest: Die Bedrohung durch Ransomware verlagert sich Richtung Crypto-Mining. Immer häufiger lagern Webseitenbetreiber das sogenannte Schürfen von Cryptowährungen unbemerkt an Surfer im Internet aus. Alles was es dazu bedarf, ist das Platzieren entsprechender Scripte auf einem Webserver. Daraus sind inzwischen erste Geschäftsmodelle entstanden. "Für Cyberkriminelle ist es ein lohnendes Geschäft, hoch frequentierte Webseiten mit einem Crypto-Miner zu infizieren", sagt Markus Schaffrin, Security-Experte und Geschäftsbereichsleiter Mitgliederservices im eco - Verband der Internetwirtschaft e. V.

  • Florierendes Geschäft mit BEC-as-a-Service

    Cyber-Kriminelle entwickeln ihre Angriffe immer raffinierter. Hat man früher nach dem Gießkannen-Prinzip einfach mal breit zugeschlagen, trifft es heute ausgewählte Ziele. Dabei gibt es typische Vorgehensweisen - Sophos zeigt auf, wie diese aussehen, woran man sie typischerweise erkennt und was sinnvolle Maßnahmen zum Schutz sein können. Im Jahr nach WannaCry und NotPetya - seinerzeit hielten weltweite Ausbrüche innerhalb von nur Stunden Unternehmen und Medien in Atem - hat Ransomware sich leise weiter entwickelt und kommt heute als zunehmend raffiniertes Angriffszenario auf Unternehmen zu. Die "herangewachsenen" Ransomware-Attacken zeichnen sich dadurch aus, dass sie individuell, lukrativer und diffiziler zu stoppen sind. Zudem zeigen sie verheerendere Wirkung auf ihre Opfer, als jene Attacken, die auf Email oder Exploits zur Verbreitung setzen. Und die Angriffe sind derart gestaltet, dass sie leicht zu reproduzieren sind.