Buffl

Marktforschungsstrategien

JK
by Junis K.

8 Gebote der Datensicherheit / Mindestanforderungen an ein Datensicherheitssystem

  1. Zutrittskontrolle -> Schutz vor Zutritt unbefugter Personen

  2. Zugangskontrolle -> Anders als beim räumlich-physischen Schutz im Sinne der Zutrittskontrolle gilt es bei der Zugangskontrolle zu verhindern, dass unbefugte Dritte Datenverarbeitungsanlagen in Betrieb nehmen oder diese im laufenden Betrieb verwenden können.

  3. Weitergabekontrolle -> Nur konkret berechtigte Personen dürfen Einblick in Daten erhalten und diese auch nur ihrer individuellen Berechtigung entsprechend nutzen. Ein schriftliches Berechtigungskonzept hilft dabei.

  4. Weitergabekontrolle -> Es müssen Vorschriften definiert werden, welche Daten an wen und unter welchen Voraussetzungen über welche zulässigen Übertragungswege weitergegeben werden dürfen.

  5. Eingabekontrolle -> Wer hat wann welche Änderung vorgenommen

  6. Auftragskontrolle -> jeder externe Dienstleister, der personenbezogene Daten „im Auftrag“ verarbeitet, muss verpflichtet, kontrolliert und regelmäßig überwacht werden. Der Grund: Auch die Verantwortung für ausgelagerte Aufgaben obliegt vollständig dem Auftraggeber.

  7. Verfügbarkeitskontrolle -> Daten müssen vor unbeabsichtigter oder unbefugter Zerstörung und vor Verlust geschützt werden. Zudem muss gewährleistet sein, dass Daten an den Orten und zu den Zeiten, an denen eine Nutzung vorgesehen ist, tatsächlich zur Verfügung stehen.

  8. Trennungsgebot -> Zweckbindungsgrundsatz dürfen Daten ausschließlich zu dem Zweck, zu dem ein Unternehmen sie ursprünglich erhoben hat und für den die Einwilligung der betroffenen Person vorliegt, verarbeitet und genutzt werden.


Hinweis: nicht der Software-Anbieter, sondern das Unternehmen selbst steht in der vollen Verantwortung und muss Datenschutz und Datensicherheit im eigenen Unternehmen gewährleisten. Wer personenbezogene Daten verarbeitet oder nutzt, muss nach dem Bundesdatenschutzgesetz (BDSG) für ein angemessenes Datensicherheitsniveau sorgen, indem die Mindestanforderungen erfüllt werden.


Prüfungsaufgabe:



  • Rechtmäßigkeit, Verarbeitung nach Zweckbindung, Transparenz: Personenbezogene Daten nur rechtmäßig (z. B. Einwilligung, Vertragserfüllung, gesetzliche Pflicht, berechtigtes Interesse) verarbeiten; Zweckbindung klar definieren; klare, verständliche Informationen geben.

  • Zweckbindung: Daten nur für den angegebenen Zweck verwenden, der bei der Datenerhebung festgelegt wurde; erneute Nutzung für neue Zwecke nur mit geeigneter Rechtsgrundlage.

  • Minimierung: Erhebung und Verarbeitung auf das notwendige Maß beschränken.

  • Speicherbegrenzung: personenbezogene Daten nicht länger als nötig speichern; regelmäßige Überprüfung und Löschung.

  • Integrität und Vertraulichkeit: geeignete Sicherheitsmaßnahmen (Technisch/Organisatorisch) zum Schutz der Daten treffen.

  • Rechte der Betroffenen: Auskunft, Berichtigung, Löschung (Recht auf Vergessenwerden), Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruchsrecht; Prozesse zur Wahrung dieser Rechte implementieren.

  • Transparenz und Informationspflichten: Betroffene frühzeitig und verständlich informieren; Datenschutzhinweise bereitstellen. o Einwilligung: Falls Grundlage Einwilligung ist, eindeutig, freiwillig, spezifisch, informierbar; nach Widerruf Verarbeitung stoppen; Nachweis der Einwilligung dokumentieren.

  • Auftragsverarbeitung und Verantwortlichkeiten: ggf. Einsatz von Auftragsverarbeitern nur mit Vereinbarung gemäß Artikel 28 DSGVO; klare Rollenverteilung; Verantwortlichkeiten festlegen.

  • Datenschutz-Folgenabschätzung (DSFA): bei risikoreichen Verarbeitungen (z. B. Profiling, umfassende Verhaltensdaten) DSFA prüfen. o Datenübermittlung in Drittländer: nur mit geeigneten Garantien (Zugriffs- oder Angemessenheitsbeschluss) oder ergänzenden Schutzmaßnahmen.

  • Meldung von Datenschutzverletzungen: bei Verletzungen innerhalb von 72 Stunden melden, falls Risiko besteht; betroffene Personen informieren, falls erforderlich.

  • Compliance und Dokumentation: Verarbeitungsverzeichnis führen; regelmäßige Datenschutzschulungen; interne Audits.


Author

Junis K.

Information

Last changed