- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

DPO die Instanz für Datenschutz


GDPR und die neue Rolle des Data Protection Officer (DPO)
Um die Richtlinien einzuhalten, formuliert die GDPR die Rolle eines DPO und verpflichtet auch deren Einsatz in Unternehmen und Organisationen

- Anzeigen -





Die Uhr tickt: Mai nächsten Jahres beginnt eine neue Ära der europäischen Datenschutzgesetze. Die EU-Datenschutz-Grundverordnung (GDPR) gilt für alle Mitgliedsstaaten der Europäischen Union (einschließlich des Vereinigten Königreichs, vor und voraussichtlich auch nach dem Brexit). Bis heute wurde viel über Strafen und Sanktionen bei Verstößen diskutiert, darunter bis zu 20 Mio. Euro oder 4 Prozent des jährlichen weltweiten Umsatzes eines Unternehmens. Dennoch scheint die Anforderung an die Rolle des Data Protection Officer (DPO) in Unternehmen bisher noch eine untergeordnete Rolle zu spielen.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

"In der Vergangenheit war die Rolle des DPO weitgehend undefiniert, denn das aktuell noch bestehende europäische Datenschutzgesetz stammt aus einer EU-Richtlinie von 1995, welche derartige Rollen und Aufgaben noch nicht in dem Maße berücksichtigt, wie in der GDPR", erklärt Michael Veit, IT-Security Experte bei Sophos.

In jenen Tagen wurden Daten fast ausschließlich im "Computing-Kontext" gesehen und die ersten Personen, die den informellen Titel des DPO erhielten, hatten meist einen IT-Hintergrund. Sie waren diejenigen, die den Fluss von computergesteuerten Daten verstehen, identifizieren und "schützen" konnten. Heute, in einer Zeit in der Technik unser Leben so sehr bestimmt, haben sich Rolle und Aufgabe eines DPO maßgeblich verändert. Heute ist der DPO die Instanz für Datenschutz innerhalb einer Organisation. Der DPO muss einem Unternehmen oder einer Organisation helfen, den gesetzlichen Verpflichtungen nachzukommen - auch hinsichtlich der Achtung der Privatsphäre von Privatpersonen.

Es geht generell um Sicherheit und diese beinhaltet nicht nur die Sicht auf die IT, sondern auch die Kompetenz in den Bereichen Recht, Compliance oder Kundenservice und viele mehr. Um die Richtlinien einzuhalten, formuliert die GDPR die Rolle eines DPO und verpflichtet auch deren Einsatz in Unternehmen und Organisationen. Zum Beispiel werden alle öffentlichen Einrichtungen einen DPO zwingend benötigen, um die Informationsfreiheit oder Menschenrechte zu garantieren. Dies bedeutet auch, dass unter Umständen auch sehr kleine Organisationen oder Unternehmen in der gesetzlichen Pflicht stehen, einen DPO zu haben - zum Beispiel Gemeinden oder staatlichen Schulen.

Aber die Rolle ist auch für diejenigen Organisationen zwingend, deren Kerntätigkeiten eine "regelmäßige und systematische Überwachung von Daten in großem Maßstab" beinhalten oder wenn die Kernaktivitäten die Verarbeitung von besonders sensiblen Daten beinhalten (z. B. Daten, die sich auf die ethnische Herkunft, religiöse Überzeugungen, Gesundheit, Sexualleben oder strafrechtliche Verurteilungen beziehen).

Gewisse und teilweise hilfreiche Leitlinien wurden von der Artikel-29-Arbeitsgruppe, einer Gruppe von Vertretern von Datenschutzbehörden der gesamten EU, erstellt. Diese Leitlinien erklären beispielsweise, dass kritische "Kernaktivitäten" nicht die Verarbeitung von Personalinformationen innerhalb einer Personalabteilung betreffen - jegliche gegenteilige Ansicht hätte dazu geführt, dass jeder Arbeitgeber einen DPO benötigen würde.

Die GDPR beschreibt Strukturen und definiert einige der erforderlichen Qualitäten und Pflichten eines DPO. Folgende Qualifikationen sind erforderlich:

• >> Möglichkeit von "unabhängigem" Handeln
• >> Unabhängig von Anweisungen des Arbeitgebers
• >> Kenntnis des Datenschutzrechts
• >> Ausreichende Ressourcen zur Erfüllung der Aufgaben
• >> Bericht direkt an die höchste Management-Ebene

Dabei muss ein DPO nicht unbedingt im eigenen Haus bestellt werden. Die GDPR macht deutlich, dass die Rolle auch von einem externen Spezialisten erfüllt werden kann. Dies ist zweifellos für die kleineren Organisationen hilfreich. Diese würden es schwer haben einen qualifizierten internen Mitarbeiter für die Aufgaben eines DPO zu finden. Denn laut Artikel 29 der Leitlinien, darf zusätzlich zur Qualifikation auch kein Interessenkonflikt stattfinden. Einige Rollen im Unternehmen sind mit dem DPO nicht vereinbar, darunter beispielsweise der CEO, CFO, Marketingleiter, HR oder IT.

Was passiert aber, wenn eine Organisation einen DPO nach GDPR ernennen muss, dies aber unterlässt? In der Theorie könnte eine solche Verletzung eine "niedrigere" Geldbuße von bis zu 10 Mio. Euro oder 2 Prozent des jährlichen weltweiten Umsatzes zur Folge haben. Soweit zur Theorie, denn es ist vermutlich nicht zu erwarten, dass ein Datenschutzkontrolleur jemals eine solche Geldbuße nur für das Versäumnis, einen DPO zu ernennen, erheben wird. Tragisch wird die Situation, wenn neben der Nicht-Ernennung eines DPO substanzielle Verstöße gegen die GDPR begangen werden.

"Generell sollte jedes Unternehmen oder jede Organisation einen DPO ernennen, auch solche, die es laut Vorgaben nicht müssen. Denn Compliance und organisatorische Verbesserungen müssen für die kommende Jahre angestoßen und justiert werden", sagt Michael Veit, IT-Security Experte bei Sophos. (Sophos: ra)

eingetragen: 04.10.17
Home & Newsletterlauf: 03.11.17


Sophos: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Vorhandene Sicherheitseinstellungen aktivieren

    Oft findet der Router erst dann Beachtung, wenn das WLAN nicht funktioniert. Beim Schutz ihrer Geräte vor Hackern und Malware wird das Gerät hingegen häufig vergessen. Denn was Sicherheitseinstellungen betrifft, bekommen Heimanwender nicht immer ein Rundum-Sorglos-Paket mitgeliefert. Ungeschützt kann ein Router Angreifern Tür und Tor öffnen. Dabei tragen schon einige Maßnahmen dazu bei, die Sicherheit des Heimnetzwerks enorm zu verbessern. Eset gibt Tipps, wie Nutzer ihren Router sichern und so ihre Geräte und persönliche Daten noch besser schützen können.

  • Ransomware & Sicherheit am Arbeitsplatz

    Aufgrund der fortschreitenden Digitalisierung ändert sich auch die Arbeitsweise in Unternehmen. Mobile Geräte wie Smartphones und Tablets gehören längst zum beruflichen Alltag. Hacker passen ihre Vorgehensweise an diese moderne Arbeitsweise an. Mit gezielten Cyberattacken sind sie zunehmend in der Lage, herkömmliche Schutzsysteme zu umgehen. Stormshield informiert auf seinem Unternehmensblog über die perfiden Maschen der Angreifer und gibt nützliche Tipps zur Abwehr von betrügerischer Schadsoftware (Malware).

  • Fake-Profile und Schadsoftware

    Wer auf einen Treffer von Amors Pfeil wartet, sucht sein Glück inzwischen oft online, insbesondere bei Dating-Apps. Nicht umsonst gilt LOVOO als die aktuell erfolgreichste iPhone-App in Deutschland. Laut Bitkom nutzen rund 47 Prozent der Deutschen ihr Smartphone für den Onlineflirt, 42 Prozent ihr Tablet und immerhin noch 34 Prozent suchen mit dem Laptop nach einem potentiellen Partner. Doch beim heißen Online-Flirt gibt es einiges zu beachten, damit die Partnersuche so sicher wie möglich verläuft. Eset gibt Tipps, damit aus der vermeintlichen großen Liebe keine böse Überraschung wird.

  • Gezielte Lobbyarbeit der Elektrobranche?

    "Müssen wir Brandschutzschalter im RZ installieren und/oder nachrüsten? Wie viele und an welchen Stellen?" Diese Frage stellen sich mehr und mehr Rechenzentrumsbetreiber und -verantwortliche, die durch den zurzeit zu beobachtenden Hype rund um diese Sicherheitstechnik verunsichert sind. Die Antwort der von zur Mühlen'sche Sicherheitsberatung aus Bonn (kurz: VZM) lautet: in zwingender Weise KEINE.

  • Was macht Cybersecurity so kompliziert?

    Spätestens nach den jüngsten Schwachstellen Spectre und Meltdown weiß jeder, dass das Thema Cybersecurity nie an Präsenz verliert und jeden betrifft. Dies gilt nicht nur für Unternehmen, sondern auch für Privatanwender: Cyberkriminelle erfassen Passwörter noch während des Tippens, installieren Malware und fangen so sämtliche Daten unbemerkt ab. Oder sie spähen über Browserdaten Kreditkartendaten und Logins aus. Doch was macht Cybersecurity so kompliziert? Im Falle von Spectre und Meltdown handelt es sich zwar um Schwachstellen in Prozessoren. Doch in vielen anderen Fällen verstehen User die komplexen Methoden, die Kriminelle anwenden, um an geschäftskritische Daten zu gelangen. Sie tendieren jedoch dazu, das tatsächliche Risiko von Angriffen herunterzuspielen. Es ist ein ewiger Kreislauf: Der Endanwender fühlt sich durch die IT-Vorrichtungen geschützt und der IT-Verantwortliche schätzt den User als wachsamer und vorsichtiger ein, als er tatsächlich ist.