Datenschutz

Einleitung

• Datenschutzgrundverordnung brachte strengere Regeln für die Speicherung persönlicher Daten
• Transparente Verarbeitung
  • warum,
  • zu welchem Zweck,
  • wie lange werden Informationen verarbeitet,
  • welche Wege nehmen die Daten,
  • wie werden Daten gespeichert und geschützt.
• Grundlegende Datenschutzprinzipien

Das Recht auf Vergessenwerden

• Beschreibt, dass personenbezogene Daten unverzüglich zu löschen sind, wenn die Zwecke für die Verarbeitung nicht mehr gegeben sind (Art. 17 Abs. 1 DSGVO).
• Löschpflicht besteht danach z.B. bei Beendigung eines Arbeitsverhältnisses

Ausnahmen zur Löschpflicht und Aufbewahrungsfristen

• Bestehende Ausnahmen werden durch die DSGVO geregelt (Art. 17 Abs. 3 DSGVO).
• Speicherfrist zum Nachweis möglicher Schadenersatzansprüche
• Steuerrechtlich relevante Daten
• Zur Gewinnermittlung von Betrieben
• Bei Altersversorgungszusagen

Grundsätze der Datensparsamkeit und Datenmigrierung

• Bei der Speicherung von Personaldaten sind die Prinzipien der Datensparsamkeit und Datenminimierung anzuwenden
• Unterschiedliche Speicherfristen für unterschiedliche Daten

Verzeichnis der Verarbeitungstätigkeiten

• Zur Verarbeitung von Daten muss stets ein Löschkonzept vorliegen (Art. 30 Abs. 1 f) DSGVO)
• Beispiel Gesundheitsdaten (Krankmeldungen)

Spezielle Ausnahmen

• Dauerhafte Speicherung wegen möglicher Vorbeschäftigung

Einleitung

Beim Einsatz von mobilen Endgeräten im Unternehmens-Kontext sollten aus unserer Sicht 3 Aspekte besonders betrachtet werden:

1. Das Endgerät: Welche Arten von Endgeräten, wer verwendet es, wer bezahlt dafür und welche Konnektivität hat das Gerät?
2. Management und Support: Wer kontrolliert das Gerät (Mobile Device Management / MDM oder Enterprise Mobility Management / EMM ) und wer ist für den Support verantwortlich (Policies)?
3. Integration und Apps: Wie eng ist das Gerät mit dem Unternehmen integriert (Netzwerk / Collaboration Audio-Video Anwendungen / Dateiaustausch) und wie wichtig ist es für die Umsetzung der täglichen Aufgaben (Katalog der Anwendungen geschäftlich / persönlich und deren Beschränkungen)?

Nicht erst seit der Ausweitung von mobilen Arbeitssituationen und HomeOffice stehen Unternehmen vor der Herausforderung, eine Vielzahl von Endgeräten sicher in den Unternehmens-Alltag einzubinden. Die Beachtung der Anforderungen zum Datenschutz stellt hier eine besondere Herausforderung dar.

Begriffsbezeichnungen

Geringes Maß an Kontrolle

• BYOD (Bring Your Own Device
• CYOD (Choose Your Own Device)

Hohes Maß an Kontrolle

• COPE (Company Owned / Personally Enabled)
• COBO (Company Owned / Business Only)

Wieso Datentrennung privat und geschäftlich

• Mobile Betriebssystem erfordern einen Account beim Hersteller (Apple, Google oder Microsoft)
• Vom Benutzer installierte Apps können nicht kontrolliert werden
• Personenbezogene Daten aus dem Unternehmen werden zugänglich (Hersteller und Apps)
• Datentrennung per Container oder Mobile Device Management

Daten in US-Clouds

• Beispiel WhatsApp (datenschutzkonformen Nutzung erfordert Einverständnis aller Kontakte vor der Nutzung und einen Vertrag zur Auftragsdatenverarbeitung mit dem Anbieter und allen Dritten). Nutzung im beruflichen Umfeld meist nicht möglich

Rechte der Apps einschränken

• Einschränkungen Datenzugriff auf Mail, Kalender, Aufgaben, Adressen und Notizen
• In der Verantwortung des Benutzers, keine Kontrolle

Lösungen für Einzelanwender

• Container / Sandbox, z.B. HCL Verse App
• Update und Einstellungen in der Verantwortung des Benutzers, keine Kontrolle

Getrennte Apps

• Container-Lösungen (z.B. Samsung MyKnox)
• Mehrere Benutzerkonten (Google Accounts notwendig)

Lösungen für Unternehmen

• MDM (Mobile Device Management)
• EMM (Enterprise Mobility Management)
• Unified Endpoint Management Tools (August 2021, Gartner) https://www.microsoft.com/security/blog/2021/08/31/microsoft-a-leader-in-2021-gartner-magic-quadrant-for-unified-endpoint-management-tools/
• Jamf (Apple) https://www.jamf.com/de

Datenschutz in der Anwendungsentwicklung unter HCL Notes/Domino

HCL Notes/Domino stellt als Collaboration-Tool eine Umgebung bereit, in der umfangreich Daten – insbesondere auch personenbezogene – gehalten und verarbeitet werden. Damit ist das Arbeitsumfeld „Notes/Domino“ notwendiger Weise Gegenstand einer datenschutzrechtlichen Betriebs- bzw. Unternehmens-Compliance.

Ein besonderes Merkmal des Produktes HCL Notes/Domino ist neben der Nutzung von Out-Of-Box-Funktionalität wie E-Mail die Option, individuelle Anwendungen auf der Plattform zu entwickeln und zu implementieren. Die Auslegung als Collaboration-Umgebung ermöglicht insbesondere das Design von Workflow-Szenarien, die die Aktivitäten Einzelner dokumentieren. Folglich ist die Anwendungsentwicklung unter HCL Notes/Domino im Blickfeld des Datenschutzbeauftragten einzuordnen.

Ein besonderes Charakteristikum der Entwicklung oder des Customizings von unternehmensspezifischen Anwendungen ist, dass die datenschutzkonforme Betrachtung auf zwei Ebenen erfolgen muss. Zum einen wie im angestrebten Endprodukt, das produktiv zum Einsatz kommen soll, die notwendige Datensicherheit gewährt wird. Zum anderen wie im Entwicklungsprozess selbst die Nutzung notwendiger Daten gesichert wird.

Für das angestrebte Entwicklungsziel bietet die Plattform Notes/Domino umfangreich Instrumente, die den Zugriff auf Daten regulieren. Expliziert zu nennen sind hier:

• Sicherheitseinstellung auf Serverebene
• Zugriffskontrolle auf Anwendungsebene (ACL) inklusive Rollenmanagement
• Steuerung vor Autoren- und Leserberechtigungen auf Eintragsebene
• Digitale Signaturen

Darüber hinaus kann über Automationen, die zeitlich beschränkte Bereitstellung von Daten gesteuert werden.

Empfehlenswert ist, schon in der Planungsphase, sicherheitsrelevante Aspekte und die angestrebten Lösungsansätze zu spezifizieren. Welche Daten stehen wem wann zur Verfügung? Wie sollen dabei rechtliche und Compliance relevante Aspekte in der Realisierung umgesetzt werden. Ist im Unternehmen ein Datenschutzmanagementsystem können neue Anforderungen frühzeitig aufgenommen werden. In der Regel erfolgt im agilen Fortschritt des Projekts bis hin in die Pilotierung eine Feinanpassung des Ausgangskonzepts.

Eine besondere Rolle nimmt der Entwickler, der oftmals als Dienstleister die Anforderung realisiert, ein. Somit ist er kein Unternehmensmitglied, dass in der internen Compliance eingebunden. Dennoch benötigt er einen umfangreichen Einblick in den Datenbestand, um die Anforderungen, die z.B. in einem Lastenheft spezifiziert wurden, umzusetzen.

Das Thema Datenschutz durchzieht somit alle Entwicklungsphasen einer Anwendung. Schon in der Planungsphase besteht die Notwendigkeit Begriffe gemäß DSGVO Artikel 4 wie z.B. „Verantwortlicher“, „Auftragsverarbeiter“, „Verarbeitung“ oder „Pseudonymisierung“ einzuordnen: Wie stellt der beauftragende „Verantwortliche“, zur Analyse der Anforderung vorhandene Ist-Daten-Bestände dem „auftragsverarbeitenden“ Entwickler zur Verfügung: Anonymisiert oder pseudonymisiert oder als Rohdaten?

Während der eigentlichen Entwicklungs- und Testphase auf einem Testsystem kann auf Dummydaten zurückgegriffen, was DSGVO konformes Arbeiten gewährt. Nichtsdestotrotz haben die Beteiligten strukturelle Einblicke in die Zugänglichkeit der Daten im späteren Produktionsbetrieb. Letzteres bedingt die Sicherheit des Testsystems im Sicherheitsdesign zu berücksichtigen.

Mit dem Übergang in die produktive Implementierung und der Pilotierung werden „Echtdaten“ in der Anwendung verarbeitet. Hier sollte auditiert werden, ob die zuvor festgelegten Sicherheitsmerkmale realisiert sind. Dies bezieht sich nicht nur auf die Anwendungsnutzer, sondern in besonderen Maßen auf das administrative und unterstützende Personal. Es muss zum einen gewährt sein, dass die notwendigen Aufgaben technischen umsetzbar sind, aber ebenso der Rahmen, der durch DSGVO, BDSG und Unternehmens spezifische Geboten vorgegeben wird, eingehalten wird.