Datenschutz-Grundverordnung

Präsentation zum Thema: "Datenschutz-Grundverordnung"—  Präsentation transkript:

1 Datenschutz-Grundverordnung
Zwischen Fake-News und realen Anforderungen: Ein Jahr danach: Was ist passiert? Was ist noch zu tun? Tim Hoffmann IT-Trends Sicherheit | 27. März 2019 | Stadtwerke Bochum LOUNGE

2 Tim Hoffmann Berater und Projektleiter „UIMChange“
Wirtschaftswissenschaften an der Universität-GH Essen Studien-Schwerpunkte; u. a. Organisation Informationsmanagement Seit 2002 als Berater bei der mit den Schwerpunkten Datenschutz und Informationssicherheit / IT-Sicherheit Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

3 Dienstleistungen Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

4 Neuerungen durch DSGVO_
Keine Datenverarbeitung ohne Einwilligung Anforderungen an die Werbung sind viel schwieriger zu erfüllen Erneuerung der Einwilligungen erforderlich Vertrag zur Auftragsverarbeitung mit jedem Geschäftspartner Anforderungen an den Datenschutz sind viel höher als vorher! Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

5 Mobbing-Opfer DSGVO_ Kein Paradigmenwechsel_ Rechenschaftspflicht _
Risiko-orientierter Ansatz _ Höhere Transparenz _ Stärkerer Datenschutz in Rest-Europa _ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

6 Mobbing-Opfer DSGVO_ DSGVO als Chance_ Kein Paradigmenwechsel_
Rechenschaftspflicht _ Wer schreibt, der bleibt! Risiko-orientierter Ansatz _ Höhere Transparenz _ Stärkerer Datenschutz in Rest-Europa _ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

7 Wer schreibt, der bleibt!
Dokumentation Geschäftsführung/Vorstand ist verantwortlich und hat somit eine Organisationsschuld gilt auch bei Projekten, die in anderen Gesellschaften initiiert werden Datenschutzbeauftragter ohne Weisungsrechte Schaffung von Transparenz Verbindliche und angemessene Rechtsauslegung „Übersetzung“ gesetzlicher Vorgaben in organisatorische Richtlinien Zentrale Informationsquelle oder Nachschlagewerk Kontroll- und Revisionsgrundlage Wer schreibt, der bleibt! Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

8 Beispiel: Datenschutz-Handbuch
Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

9 Meldeprozess Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

10 Mobbing-Opfer DSGVO_ DSGVO als Chance_ Kein Paradigmenwechsel_
Rechenschaftspflicht _ Wer schreibt, der bleibt! Risiko-orientierter Ansatz _ Angemessene Sicherheit Höhere Transparenz _ Stärkerer Datenschutz in Rest-Europa _ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

11 Artikel 32 I DSGVO Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; […] Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

12 Risikobewertung: Operationalisierung
Art der Datenverarbeitung Betroffene und Datenarten Umfang der Datenverarbeitung Umfang der Daten und der Betroffenen Umstände der Datenverarbeitung Umfang / Art der Empfänger Zwecke der Datenverarbeitung Rechtsgrundlagen Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

13 Risikobewertung: Operationalisierung
Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

14 Risikobewertung: Operationalisierung
Richtwert: Je umfangreicher die Datenverarbeitung und je mehr persönliche und sensibler die Daten, desto höher das Risikopotential. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

15 Risikobewertung: Operationalisierung
Richtwert: Je klarer die Rechtsgrundlage (Vertrag, Einwilligung, Gesetzeserlaubnis/-anordnung) desto geringer das Risikopotential. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

16 Risikobewertung: Operationalisierung
Richtwert: Je mehr Datenempfänger und je mehr Empfänger im Nicht-EU-Ausland, desto größer das Risikopotential. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

17 Risikobewertung: Operationalisierung
Risiken Gezielte Schädigungen Technische / menschliche Fehler Risiko-Ausprägungen Eintrittswahrscheinlichkeit des Risikos Schwere des Risikos Szenario-Methode in anderen Risikobewertungssituationen etabliert Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

18 Risikobewertung: Operationalisierung
Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

19 Risikobewertung: Operationalisierung
Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

20 Risikobewertung: Operationalisierung
Richtwert: Wenn mindestens ein Kritikalitätswert hoch/rot ist, dann ist eine Datenschutz-Folgenabschätzung erforderlich. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

21 Anforderung ist Aufwand und Chance zugleich
Einsatz-Szenarien IT-Sicherheitsmaßnahmen Datenschutz-Folgenabschätzung Auftragsverarbeitung Privacy by Design / by Default Meldepflichten bei Datenpannen etc. Anforderung ist Aufwand und Chance zugleich Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

22 Risikobewertung: Fazit
Synergien zu VvV und Informationspflichten Operationalisierung der Kriterien/Ziele erforderlich Dokumentation durch DSGVO vorgeschrieben Durchführung und Methodik Durchführung einer Datenschutz-Folgenabschätzung Ausprägung der technischen und organisatorischen Maßnahmen Regelungen und Sicherheitsmaßnahmen in Abhängigkeit mit Kritikalität Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

23 Mobbing-Opfer DSGVO_ DSGVO als Chance_ Kein Paradigmenwechsel_
Rechenschaftspflicht _ Wer schreibt, der bleibt! Risiko-orientierter Ansatz _ Angemessene Sicherheit Höhere Transparenz _ Vertrauen schaffen Stärkerer Datenschutz in Rest-Europa _ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

24 Ein Jahr danach: Was ist passiert. Was ist noch zu tun
Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

25 Möglichkeiten der Schulung
Informationen (beachte auch Artikel 13/14 DSGVO) Betriebsversammlungen Präsenzschulungen Workshop Seminar Frontal-Vortrag E-Learning Handouts Misch-Konzepte Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

26 Mobbing-Opfer DSGVO_ DSGVO als Chance_ Kein Paradigmenwechsel_
Weiterhin pragmatisch möglich! Rechenschaftspflicht _ Wer schreibt, der bleibt! Risiko-orientierter Ansatz _ Angemessene Sicherheit Höhere Transparenz _ Vertrauen schaffen Stärkerer Datenschutz in Rest-Europa _ Homogene Konzern-Umsetzung Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

27 Ausblick_ Aufsichtsbehörden werden aktiver_
Sensibilisierung gestiegen_ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

28 Sensibilität ist gestiegen
Beschwerden Vorfälle / Meldepflichtige Datenpannen Anfragen der Aufsichtsbehörden Abmahnungen Vermeintlich neue Rechte werden eingefordert Fehlinterpretationen Häufung von Auskunftsersuchen Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

29 Ausblick_ Aufsichtsbehörden werden aktiver_
Sensibilisierung gestiegen_ („Harter“) Brexit_ EU-ePrivacy-Verordnung_ Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

30 Fragen?? Europaweit! thoffmann[at]uimc.de (0202) 946 7726 200
… und kommt dorthin, wo Sie ihn brauchen. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

31 Haben Sie noch Fragen? UIMC Dr. Vossbein GmbH & Co. KG UIMCert GmbH
Otto-Hausmann-Ring 113 42115 Wuppertal Telefon: (0202) Telefax: (0202) Internet: UIMCert GmbH Otto-Hausmann-Ring 113 42115 Wuppertal Telefon: (0202) Telefax: (0202) Internet: akkreditiert durch: Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

32 … bis hin zur Zertifizierungsreife
w IT-Sicherheit mit System Aufbau eines Informationssicherheits-Managementsystem Schulung der Mitarbeiter Auditierung der IT-Sicherheit Risiko-Workshop … bis hin zur Zertifizierungsreife u. v. m. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |

33 Datenschutz von A bis Z w Externe Datenschutzbeauftragung
Schulung der Mitarbeiter Datenschutz-Checkup / Auditierung Datenschutz-Management / -Organisation Pragmatischer Datenschutz weiterhin möglich u. v. m. Ein Jahr danach: Was ist passiert? Was ist noch zu tun? | Tim Hoffmann |