Auf dem Weg zum IT-Security Coordinator – Teil 1

Datenschutz einfach erklärt: Wer darf was mit personenbezogenen Daten machen?

Im Rahmen meiner Weiterbildung zum IT-Security Coordinator beschäftige ich mich aktuell intensiv mit den Grundlagen der Informations- und IT-Sicherheit.

Ein Thema, das dabei immer wieder auftaucht, ist die Abgrenzung zwischen Datenschutz, Datensicherheit und Datensicherung. Diese Begriffe werden im Alltag häufig miteinander vermischt, obwohl sie unterschiedliche Ziele verfolgen.

Im ersten Teil geht es um den Datenschutz.

Datenschutz bedeutet vereinfacht gesagt, personenbezogene Daten vor Missbrauch und unzulässiger Verarbeitung zu schützen. Zu personenbezogenen Daten gehören beispielsweise Name, Adresse, Alter, Gesundheitsdaten, Steuerdaten oder andere Informationen, die einer bestimmten Person zugeordnet werden können.

Die zentrale Frage lautet:

Wer darf welche personenbezogenen Daten zu welchem Zweck verarbeiten?

Was sind personenbezogene Daten?

Personenbezogene Daten sind Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen.

Typische Beispiele sind:

• Name und Anschrift
• Geburtsdatum
• Telefonnummer
• E-Mail-Adresse
• Kontodaten
• Gehaltsdaten
• Krankenakten
• Steuerunterlagen

Ein einfaches Beispiel aus einem Unternehmen:

Die Personalabteilung benötigt die Bankverbindung eines Mitarbeiters, um das Gehalt überweisen zu können. Die Marketingabteilung benötigt diese Information normalerweise nicht.

Datenschutz bedeutet also nicht nur, Daten geheim zu halten. Es geht auch darum, wer diese Daten überhaupt verarbeiten darf und für welchen Zweck.

DSGVO und BDSG

Zu den wichtigsten rechtlichen Grundlagen gehören die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und das Bundesdatenschutzgesetz (BDSG).

Sie regeln unter anderem, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und welche Rechte betroffene Personen haben.

Rechte der betroffenen Personen

Werden personenbezogene Daten verarbeitet, stehen der betroffenen Person verschiedene Rechte zu.

Dazu zählen unter anderem:

• Recht auf Auskunft
• Recht auf Berichtigung
• Recht auf Löschung
• Recht auf Datenübertragbarkeit
• Recht auf Einschränkung beziehungsweise Sperrung der Verarbeitung

Ein praktisches Beispiel:

Ein Kunde möchte wissen, welche Informationen ein Unternehmen über ihn gespeichert hat. Dann kann er grundsätzlich eine entsprechende Auskunft verlangen.

Zweckbindung und Datenminimierung

Ein wichtiger Grundsatz des Datenschutzes ist die Zweckbindung.

Daten sollten nur für den vorgesehenen Zweck verarbeitet werden.

Wurde beispielsweise eine E-Mail-Adresse für die Bearbeitung einer Bestellung erhoben, bedeutet das nicht automatisch, dass sie anschließend für jeden beliebigen anderen Zweck verwendet werden darf.

Eng damit verbunden ist die Datenminimierung:

Es sollten nur die Daten erhoben und verarbeitet werden, die tatsächlich benötigt werden.

Datenschutz braucht auch Technik

Datenschutz ist keineswegs nur ein juristisches Thema.

Personenbezogene Daten müssen auch technisch geschützt werden.

Dazu gehören beispielsweise:

• Benutzerrechte
• Zugriffsberechtigungen
• sichere Authentifizierung
• Verschlüsselung
• Firewalls
• Virenschutz
• Protokollierung
• Schulung von Mitarbeitern

Damit beginnt bereits die Verbindung zur Datensicherheit.

Datenschutz und Datensicherheit sind nicht dasselbe

Der Unterschied lässt sich sehr einfach formulieren:

Datenschutz fragt: Darf ich diese personenbezogenen Daten verarbeiten?

Datensicherheit fragt: Wie schütze ich die Daten technisch und organisatorisch?

Ein Unternehmen kann beispielsweise eine Kundendatenbank hervorragend verschlüsseln und technisch sehr gut absichern.

Wenn die Daten aber ohne zulässigen Zweck erhoben oder verarbeitet wurden, besteht trotzdem ein Datenschutzproblem.

Merksatz

Datenschutz = Wer darf was mit personenbezogenen Daten machen?

Oder etwas ausführlicher:

Datenschutz schützt Menschen und regelt, wer ihre personenbezogenen Daten zu welchem Zweck verarbeiten darf.

Im nächsten Teil geht es um die Datensicherheit – also darum, wie Daten und IT-Systeme vor unberechtigtem Zugriff, Manipulation und Ausfall geschützt werden können.