Compliance für KMU im Hinblick auf Datenspeicherung

Rechte der betroffenen Person

Die betroffene Person hat ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen: 1. Den Zweck der Datenverarbeitung. 2. Wer auf ihre Daten zugreift. 3. Recht auf Berichtigung oder Löschung. 4. Übertragung ihrer Daten in eine andere Organisation.

Für Ihr Unternehmen bedeutet dies, dass Sie wissen müssen, wo ihre personenbezogenen Daten gespeichert sind, und in der Lage sein müssen, betroffenen Personen rechtzeitig Auskunft zu geben. Daher sollten Unternehmen sicherstellen, dass personenbezogene Daten zentral auf einem Server, in einem NAS-System und/oder bei einem Cloud-Dienstanbieter gespeichert werden. Andernfalls kann es schwierig und zeitaufwändig werden, die angeforderten Daten aus den verschiedenen Quellen zu sammeln und/oder zu verarbeiten. (Wenn die Daten in einer öffentlichen Cloud gespeichert sind, müssen Sie sich vergewissern, dass der Cloud-Dienstanbieter [Auftragsverarbeiter] die DSGVO befolgt.

Darüber hinaus ist die Datenaufbewahrung ein wichtiger Faktor, den es zu berücksichtigen gilt. Einige Arten von Daten müssen nach einem bestimmten Zeitraum gelöscht werden, z. B. personenbezogene Daten, die im Zusammenhang mit dem Kauf eines Produkts und der damit verbundenen Garantie gesammelt werden. Darüber hinaus gibt es weitere Arten von Daten, die für einen Mindestzeitraum gespeichert werden müssen, z. B. bestimmte Finanzdaten. Information Lifecycle Management-Softwarelösungen sind bei einer Reihe von Anbietern erhältlich und helfen Ihrem Unternehmen, alle branchenspezifischen gesetzlichen Anforderungen zur Datenaufbewahrung zu erfüllen. Um dies zu erreichen, benötigen Sie eine solide Sicherungsstrategie.

Gewährleistung von Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

In der DSGVO gibt es zwei zentrale Faktoren, die sich direkt auf Ihre Datenspeicherlösung auswirken können. Sie bedeuten, dass Sie eine Speicherlösung implementieren müssen, die leicht zugänglich und verwaltbar ist und in deren Fundament der Schutz und die Sicherheit von Daten verankert sind. Wenn Sie also planen, Ihre Daten in Ihrem Unternehmen zu speichern, übernimmt Ihr Unternehmen sowohl die Rolle des Datenverantwortlichen als auch die des Auftragsverarbeiters und ist daher im Falle eines Hackerangriffs oder eines Verstoßes gegen die Datenschutzvorschriften voll haftbar. Wenn Sie sich für eine öffentliche Cloud- oder Hybrid-Speicherlösung entscheiden, liegt es in der Verantwortung des Unternehmens sich zu vergewissern, dass sowohl Sie selbst als auch der Drittanbieter die DSGVO einhalten.

Wenn personenbezogene Daten unternehmensintern auf einem Server, NAS-System oder anderen Geräten gespeichert werden, muss die Speicherlösung die folgenden Funktionen bieten:

• Kennwortschutz: Geräte und Dateien/Ordner, die personenbezogene Daten enthalten, müssen durch Kennwörter geschützt werden und dürfen nur Benutzern zugänglich sein, die Zugriff auf die Daten haben und/oder diese verarbeiten dürfen.
• Verschlüsselung: Daten müssen grundsätzlich verschlüsselt gespeichert und übertragen werden.
• Physischer Schutz vor Diebstahl/Verlust: Geräte, die personenbezogene Daten speichern, müssen physisch geschützt sein (z. B. ein NAS-System durch ein Kensington-Schloss, Festplatten in einem Server oder NAS-System mit Schlüsseln usw.).
• Antiviren-Software
• Firewall-Schutz
• Sicherung und Wiederherstellung: Ihre Sicherung muss automatisiert sein und täglich erfolgen, damit Sie bei einem Datenverlust die (personenbezogenen) Daten abrufen und sicher sein können, dass es sich um aktuelle und ordnungsgemäße Daten handelt.
• Vermeiden Sie Systemausfälle oder Datenverlust durch Wahl eines Speichergeräts, das RAID-Redundanz bietet und Schutz vor Festplattenausfällen bietet.
• Eine zentrale Speicherung sollte gegenüber der lokalen Speicherung auf PCs, Laptops oder externen oder tragbaren Festplatten bevorzugt werden, da diese für Diebstahl oder unbefugten Zugriff anfälliger sind und es schwierig oder unmöglich ist zu kontrollieren, wer auf sie zugreift und ihre Daten verarbeitet.