Das Bundesdatenschutzgesetz (BDSG) verpflichtet Unternehmen, die personenbezogene Daten automatisiert verarbeiten, den Umgang mit diesen Daten zu dokumentieren. Dafür müssen die Unternehmen eine Übersicht über die Verfahren anfertigen und diese auf Antrag für jedermann in geeigneter Weise verfügbar machen. Befragungsergebnisse aus dem TÜV SÜD Datenschutzindikator (DSI) zeigen, dass hier in vielen Unternehmen noch Handlungsbedarf besteht.
Lediglich 31% der beim DSI Befragten antworteten mit "Ja" auf die Frage, ob ein öffentliches Verfahrensverzeichnis vorhanden ist und auf Anfrage zur Verfügung gestellt werden kann. "Unternehmen bringen sich damit in eine prekäre Lage, da sie gesetzlich dazu verpflichtet sind, eine solche Übersicht jedem Anfragenden zugänglich zu machen", erklärt Rainer Seidlitz, Datenschutzexperte bei der TÜV SÜD Sec-IT. Ein öffentliches Verfahrensverzeichnis muss beispielsweise folgende Informationen enthalten: Komplette Firmenbezeichnung, Anschrift und Namen der Geschäftsführung, Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung der Daten, Empfänger, denen die Daten mitgeteilt werden können, eine möglicherweise geplante Übermittlung der Daten in Drittstaaten und darüber hinaus auch Informationen bezüglich Fristen zur Löschung der Daten.
"Neben dem öffentlichen ist auch das interne Verfahrensverzeichnis für einen transparenten und wirksamen Datenschutz besonders wichtig, das aber leider oft nicht mit der nötigen Sorgfalt gepflegt wird", sagt Rainer Seidlitz. 42% der Befragten sind sich sicher, dass sie keine aktuelle Übersicht über alle Verfahren führen, bei denen personenbezogene Daten erhoben, verarbeitet und gespeichert werden. Im internen Verfahrensverzeichnis werden zusätzlich die für das konkrete Verfahren getroffenen Sicherheitsmaßnahmen nach § 9 BDSG allgemein beschrieben und die zugriffsberechtigten Personen genannt sein. Insbesondere die Sicherheitsmaßnahmen erfordern umfangreichere Darstellungen, um eine Angemessenheitsprüfung für das bestimmte Verfahren zu ermöglichen. "Das Verfahrensverzeichnis ist eine wichtige Stütze für den Datenschutzbeauftragten. Damit kann er leichter die Zulässigkeit der eingesetzten Verfahren aus Datenschutzsicht bewerten und kontrollieren", erläutert Rainer Seidlitz.
Der TÜV SÜD DSI wurde im Juli 2014 von der TÜV SÜD Sec-IT GmbH, unterstützt durch die Ludwig-Maximilians-Universität München, vorgestellt. Unternehmen, die selbst prüfen möchten, wie gut sie in Sachen Datenschutz aufgestellt sind und an welchen Stellen Verbesserungspotenzial besteht, können am TÜV SÜD DSI unter www.tuev-sued.de/... teilnehmen.
Weitere Informationen zu den Themen Datenschutz und Datensicherheit erhalten Interessenten unter www.tuev-sued.de/sec-it oder unter der kostenlosen Rufnummer 0800/5791-5005.
Lediglich 31% der beim DSI Befragten antworteten mit "Ja" auf die Frage, ob ein öffentliches Verfahrensverzeichnis vorhanden ist und auf Anfrage zur Verfügung gestellt werden kann. "Unternehmen bringen sich damit in eine prekäre Lage, da sie gesetzlich dazu verpflichtet sind, eine solche Übersicht jedem Anfragenden zugänglich zu machen", erklärt Rainer Seidlitz, Datenschutzexperte bei der TÜV SÜD Sec-IT. Ein öffentliches Verfahrensverzeichnis muss beispielsweise folgende Informationen enthalten: Komplette Firmenbezeichnung, Anschrift und Namen der Geschäftsführung, Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung der Daten, Empfänger, denen die Daten mitgeteilt werden können, eine möglicherweise geplante Übermittlung der Daten in Drittstaaten und darüber hinaus auch Informationen bezüglich Fristen zur Löschung der Daten.
"Neben dem öffentlichen ist auch das interne Verfahrensverzeichnis für einen transparenten und wirksamen Datenschutz besonders wichtig, das aber leider oft nicht mit der nötigen Sorgfalt gepflegt wird", sagt Rainer Seidlitz. 42% der Befragten sind sich sicher, dass sie keine aktuelle Übersicht über alle Verfahren führen, bei denen personenbezogene Daten erhoben, verarbeitet und gespeichert werden. Im internen Verfahrensverzeichnis werden zusätzlich die für das konkrete Verfahren getroffenen Sicherheitsmaßnahmen nach § 9 BDSG allgemein beschrieben und die zugriffsberechtigten Personen genannt sein. Insbesondere die Sicherheitsmaßnahmen erfordern umfangreichere Darstellungen, um eine Angemessenheitsprüfung für das bestimmte Verfahren zu ermöglichen. "Das Verfahrensverzeichnis ist eine wichtige Stütze für den Datenschutzbeauftragten. Damit kann er leichter die Zulässigkeit der eingesetzten Verfahren aus Datenschutzsicht bewerten und kontrollieren", erläutert Rainer Seidlitz.
Der TÜV SÜD DSI wurde im Juli 2014 von der TÜV SÜD Sec-IT GmbH, unterstützt durch die Ludwig-Maximilians-Universität München, vorgestellt. Unternehmen, die selbst prüfen möchten, wie gut sie in Sachen Datenschutz aufgestellt sind und an welchen Stellen Verbesserungspotenzial besteht, können am TÜV SÜD DSI unter www.tuev-sued.de/... teilnehmen.
Weitere Informationen zu den Themen Datenschutz und Datensicherheit erhalten Interessenten unter www.tuev-sued.de/sec-it oder unter der kostenlosen Rufnummer 0800/5791-5005.
