Datenschutz-Grundverordnung Zwischen Fake-News und realen Anforderungen: Ein Jahr danach: Was ist passiert? Was ist noch zu tun? Tim Hoffmann IT-Trends Sicherheit | 27. März 2019 | Stadtwerke Bochum LOUNGE

Tim Hoffmann Berater und Projektleiter „UIMChange“ Wirtschaftswissenschaften an der Universität-GH Essen Studien-Schwerpunkte; u. a. Organisation Informationsmanagement Seit 2002 als Berater bei der mit den Schwerpunkten Datenschutz und Informationssicherheit / IT-Sicherheit Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Dienstleistungen Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Neuerungen durch DSGVO_ Keine Datenverarbeitung ohne Einwilligung Anforderungen an die Werbung sind viel schwieriger zu erfüllen Erneuerung der Einwilligungen erforderlich Vertrag zur Auftragsverarbeitung mit jedem Geschäftspartner Anforderungen an den Datenschutz sind viel höher als vorher! Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Mobbing-Opfer DSGVO_ Kein Paradigmenwechsel_ Rechenschaftspflicht _ Risiko-orientierter Ansatz _ Höhere Transparenz _ Stärkerer Datenschutz in Rest-Europa _ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Mobbing-Opfer DSGVO_ DSGVO als Chance_ Kein Paradigmenwechsel_ Rechenschaftspflicht _ Wer schreibt, der bleibt! Risiko-orientierter Ansatz _ Höhere Transparenz _ Stärkerer Datenschutz in Rest-Europa _ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Wer schreibt, der bleibt! Dokumentation Geschäftsführung/Vorstand ist verantwortlich und hat somit eine Organisationsschuld gilt auch bei Projekten, die in anderen Gesellschaften initiiert werden Datenschutzbeauftragter ohne Weisungsrechte Schaffung von Transparenz Verbindliche und angemessene Rechtsauslegung „Übersetzung“ gesetzlicher Vorgaben in organisatorische Richtlinien Zentrale Informationsquelle oder Nachschlagewerk Kontroll- und Revisionsgrundlage Wer schreibt, der bleibt! Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Beispiel: Datenschutz-Handbuch Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Meldeprozess Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Mobbing-Opfer DSGVO_ DSGVO als Chance_ Kein Paradigmenwechsel_ Rechenschaftspflicht _ Wer schreibt, der bleibt! Risiko-orientierter Ansatz _ Angemessene Sicherheit Höhere Transparenz _ Stärkerer Datenschutz in Rest-Europa _ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Artikel 32 I DSGVO Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; […] Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Art der Datenverarbeitung Betroffene und Datenarten Umfang der Datenverarbeitung Umfang der Daten und der Betroffenen Umstände der Datenverarbeitung Umfang / Art der Empfänger Zwecke der Datenverarbeitung Rechtsgrundlagen Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Richtwert: Je umfangreicher die Datenverarbeitung und je mehr persönliche und sensibler die Daten, desto höher das Risikopotential. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Richtwert: Je klarer die Rechtsgrundlage (Vertrag, Einwilligung, Gesetzeserlaubnis/-anordnung) desto geringer das Risikopotential. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Richtwert: Je mehr Datenempfänger und je mehr Empfänger im Nicht-EU-Ausland, desto größer das Risikopotential. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Risiken Gezielte Schädigungen Technische / menschliche Fehler Risiko-Ausprägungen Eintrittswahrscheinlichkeit des Risikos Schwere des Risikos Szenario-Methode in anderen Risikobewertungssituationen etabliert Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Operationalisierung Richtwert: Wenn mindestens ein Kritikalitätswert hoch/rot ist, dann ist eine Datenschutz-Folgenabschätzung erforderlich. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Anforderung ist Aufwand und Chance zugleich Einsatz-Szenarien IT-Sicherheitsmaßnahmen Datenschutz-Folgenabschätzung Auftragsverarbeitung Privacy by Design / by Default Meldepflichten bei Datenpannen etc. Anforderung ist Aufwand und Chance zugleich Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Risikobewertung: Fazit Synergien zu VvV und Informationspflichten Operationalisierung der Kriterien/Ziele erforderlich Dokumentation durch DSGVO vorgeschrieben Durchführung und Methodik Durchführung einer Datenschutz-Folgenabschätzung Ausprägung der technischen und organisatorischen Maßnahmen Regelungen und Sicherheitsmaßnahmen in Abhängigkeit mit Kritikalität Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Mobbing-Opfer DSGVO_ DSGVO als Chance_ Kein Paradigmenwechsel_ Rechenschaftspflicht _ Wer schreibt, der bleibt! Risiko-orientierter Ansatz _ Angemessene Sicherheit Höhere Transparenz _ Vertrauen schaffen Stärkerer Datenschutz in Rest-Europa _ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Ein Jahr danach: Was ist passiert. Was ist noch zu tun Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Möglichkeiten der Schulung Informationen (beachte auch Artikel 13/14 DSGVO) Betriebsversammlungen Präsenzschulungen Workshop Seminar Frontal-Vortrag E-Learning Handouts Misch-Konzepte Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Mobbing-Opfer DSGVO_ DSGVO als Chance_ Kein Paradigmenwechsel_ Weiterhin pragmatisch möglich! Rechenschaftspflicht _ Wer schreibt, der bleibt! Risiko-orientierter Ansatz _ Angemessene Sicherheit Höhere Transparenz _ Vertrauen schaffen Stärkerer Datenschutz in Rest-Europa _ Homogene Konzern-Umsetzung Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Ausblick_ Aufsichtsbehörden werden aktiver_ Sensibilisierung gestiegen_ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Sensibilität ist gestiegen Beschwerden Vorfälle / Meldepflichtige Datenpannen Anfragen der Aufsichtsbehörden Abmahnungen Vermeintlich neue Rechte werden eingefordert Fehlinterpretationen Häufung von Auskunftsersuchen Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Ausblick_ Aufsichtsbehörden werden aktiver_ Sensibilisierung gestiegen_ („Harter“) Brexit_ EU-ePrivacy-Verordnung_ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Fragen?? Europaweit! thoffmann[at]uimc.de (0202) 946 7726 200 … und kommt dorthin, wo Sie ihn brauchen. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Haben Sie noch Fragen? UIMC Dr. Vossbein GmbH & Co. KG UIMCert GmbH Otto-Hausmann-Ring 113 42115 Wuppertal Telefon: (0202) 946 7726 200 Telefax: (0202) 946 7726 9200 E-Mail: consultants@uimc.de Internet: www.UIMC.de UIMCert GmbH Otto-Hausmann-Ring 113 42115 Wuppertal Telefon: (0202) 946 7726 300 Telefax: (0202) 946 7726 9300 E-Mail: certification@uimcert.de Internet: www.UIMCert.de akkreditiert durch: Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

… bis hin zur Zertifizierungsreife w IT-Sicherheit mit System Aufbau eines Informationssicherheits-Managementsystem Schulung der Mitarbeiter Auditierung der IT-Sicherheit Risiko-Workshop … bis hin zur Zertifizierungsreife u. v. m. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019

Datenschutz von A bis Z w Externe Datenschutzbeauftragung Schulung der Mitarbeiter Datenschutz-Checkup / Auditierung Datenschutz-Management / -Organisation Pragmatischer Datenschutz weiterhin möglich u. v. m. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann | 27.03.2019