ISO 27001: Personenbezogene Daten richtig schützen

Viele Unternehmen lesen ISO 27001 A.5.34 und denken zuerst: „Datenschutz – dafür haben wir doch die DSGVO.“ Genau deshalb ist diese Maßnahme im Audit so interessant. Die Organisation muss die für sie geltenden gesetzlichen, behördlichen und vertraglichen Anforderungen zum Schutz personenbezogener Daten ermitteln und erfüllen.

Das bedeutet nicht, dass aus einem ISO 27001-Audit automatisch eine vollständige DSGVO-Prüfung wird. Dafür reicht die Auditzeit in aller Regel nicht – und ein Zertifizierungsauditor ist nicht plötzlich die Datenschutzaufsichtsbehörde. In der Praxis führen aber schon einige gut sichtbare Nachweise ziemlich schnell zu der Frage, ob der Datenschutz wirklich organisiert ist oder nur irgendwo einen eigenen Ordner besitzt.

Die kurze Antwort

A.5.34 ist im Audit häufig das Einfallstor in die Datenschutzpraxis des Unternehmens. Der Auditor prüft normalerweise nicht jedes Detail der Datenschutz-Grundverordnung (EU) 2016/679. Er darf aber prüfen, ob das Unternehmen seine wesentlichen Pflichten erkannt, organisiert und nachweisbar umgesetzt hat.

Besonders häufig landen Auditoren bei fünf Themen:

• Verzeichnis der Verarbeitungstätigkeiten,
• Betroffenenrechte,
• Datenschutzinformationen,
• Website-Tracking und
• Auftragsverarbeitung.

Wer hier nur mit einem Datenschutzordner wedelt, aber operative Fragen nicht beantworten kann, hat ein Problem. A.5.34 fragt nicht nach Papier, sondern nach gelebter Steuerung. Wie DSGVO und ISO 27001 zusammenspielen, haben wir deshalb auch in einem eigenen Beitrag eingeordnet.

A.5.34 gibt dem Auditor einen legitimen Einstieg

Die Maßnahme ist weit gefasst. Es geht nicht nur um Datensicherheit im engeren Sinn, sondern um Privatsphäre und den Schutz personenbezogener Daten unter Berücksichtigung der geltenden Gesetze, Vorschriften und Verträge. Damit ist der Einstieg in die Datenschutzorganisation praktisch schon eingebaut.

Der Auditor muss nicht jede Rechtsfrage bis zum letzten Erwägungsgrund ausermitteln. Er darf aber sehr wohl fragen:

• Welche Datenschutzanforderungen gelten für das Unternehmen?
• Wer hält sie aktuell?
• Wie werden sie in Prozesse und technische Maßnahmen übersetzt?
• Woran erkennt das Unternehmen, dass die Regeln eingehalten werden?
• Was geschieht bei Änderungen oder Verstößen?

Genau hier trifft A.5.34 auch auf A.5.31 zu. Unser Beitrag zu rechtlichen und vertraglichen Anforderungen erklärt, wie solche Pflichten im ISMS systematisch erfasst und gepflegt werden können.

Der häufigste Denkfehler

Der häufigste Denkfehler lautet: „Datenschutz ist Sache des Datenschutzbeauftragten und damit nicht wirklich Thema des ISMS.“

Das ist bequem, aber falsch. Datenschutzpflichten werden im Alltag nicht allein durch den Datenschutzbeauftragten erfüllt. Sie hängen an HR, Vertrieb, Marketing, IT, Einkauf, Entwicklung und den Fachbereichen. Wenn Betroffenenrechte nicht beantwortet werden, Cookies vor einer Einwilligung feuern oder ein Dienstleister ohne passende Regelung personenbezogene Daten verarbeitet, ist das kein Theoriedefizit. Es ist ein Steuerungsdefizit.

Ein Datenschutzbeauftragter kann beraten, überwachen und auf Probleme hinweisen. Die Prozesse des Unternehmens kann er nicht stellvertretend für alle anderen ausführen.

Fünf Stellen, an denen Auditoren gern anfangen

1. Gibt es ein Verzeichnis der Verarbeitungstätigkeiten?

Das Verzeichnis der Verarbeitungstätigkeiten – kurz VVT – ist einer der naheliegendsten Startpunkte. Artikel 30 der Datenschutz-Grundverordnung (EU) 2016/679 verlangt grundsätzlich Aufzeichnungen über Verarbeitungstätigkeiten. Diese müssen schriftlich, also auch elektronisch, geführt und der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden.

Für Organisationen mit weniger als 250 Beschäftigten enthält Artikel 30 Absatz 5 eine Ausnahme. Sie greift jedoch unter anderem nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für Rechte und Freiheiten mit sich bringt oder besondere Kategorien personenbezogener Daten beziehungsweise Daten über strafrechtliche Verurteilungen verarbeitet werden. Das ist deutlich enger als der gern gehörte Satz: „Wir sind klein, also brauchen wir kein VVT.“

Ein Auditor schaut nicht nur darauf, ob es irgendeine Liste gibt. Er schaut, ob sie plausibel und aktuell ist. Viele Unternehmen haben sich zum Geltungsbeginn der DSGVO am 25. Mai 2018 ein VVT zugelegt und es seitdem ungefähr so intensiv gepflegt wie die Bedienungsanleitung des Bürokaffeeautomaten.

Ein VVT ist außerdem dokumentierte Information. Version, Verantwortlichkeit, Aktualisierung und Auffindbarkeit sollten daher kein Geheimnis sein.

2. Wie werden Betroffenenrechte intern abgewickelt?

Betroffenenrechte klingen in vielen Unternehmen größer, als sie im Alltag sein müssen. Im Audit werden daraus meist einfache Fragen: Wer erkennt eine Anfrage? Wer prüft die Identität? Wer sammelt die Informationen? Wer antwortet? Und wie wird sichergestellt, dass die Frist gehalten wird?

Die DSGVO verlangt transparente und verständliche Kommunikation. Auf Anträge ist unverzüglich und grundsätzlich innerhalb eines Monats zu reagieren. Ohne klaren Ablauf wird aus dieser Frist sehr schnell ein innerbetriebliches Überraschungsspiel.

Für A.5.34 ist das relevant, weil daran sichtbar wird, ob Datenschutzpflichten tatsächlich erfüllt werden oder nur theoretisch existieren. Ein gutes Verfahren regelt Eingang, Identitätsprüfung, Zuständigkeit, Informationssammlung, Freigabe, Antwort und Dokumentation.

3. Gibt es gegenüber Mitarbeitern eine saubere Datenschutzinformation?

Auch Mitarbeiter müssen informiert werden, wenn ihre personenbezogenen Daten verarbeitet werden. Artikel 13 DSGVO verlangt bei der Erhebung unter anderem Angaben zum Verantwortlichen, zu Zwecken, Rechtsgrundlagen, Empfängern, möglichen Drittlandtransfers, Speicherdauer, Betroffenenrechten und Beschwerdemöglichkeiten.

Für das Audit ist die Fragestellung simpel: Wenn ein Unternehmen Mitarbeiterdaten verarbeitet, sollte es auch sauber erklären können, was es damit tut.

Der Verweis auf die Datenschutzerklärung der Unternehmenswebsite hilft hier ungefähr so viel wie die Speisekarte des Italieners bei der Reisekostenabrechnung. Betroffeneninformationen müssen zu den jeweiligen Verarbeitungen passen.

4. Setzt die Website Tracking ein, bevor jemand eingewilligt hat?

Das ist ein Klassiker, weil man ihn schnell prüfen kann. § 25 TDDDG verlangt grundsätzlich eine Einwilligung, wenn Informationen in der Endeinrichtung eines Nutzers gespeichert oder bereits gespeicherte Informationen ausgelesen werden. Ausnahmen bestehen insbesondere, wenn der Vorgang technisch unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Die Frage lässt sich in einem anonymen Browserfenster erstaunlich schnell untersuchen: Lädt die Website bereits Marketing- oder Tracking-Technologien, bevor jemand mit dem Banner interagiert? Wenn ja, ist das nicht nur ein Webseitendetail, sondern ein sichtbarer Hinweis auf ein organisatorisches Problem.

5. Gibt es dort, wo es nötig ist, Verträge zur Auftragsverarbeitung?

Wenn ein Verantwortlicher einen Auftragsverarbeiter einsetzt, braucht es einen Vertrag oder ein anderes Rechtsinstrument nach Artikel 28 der Datenschutz-Grundverordnung (EU) 2016/679. Darin muss unter anderem geregelt sein, dass der Auftragsverarbeiter nur auf dokumentierte Weisung handelt.

Nicht jeder Lieferant ist automatisch Auftragsverarbeiter. Entscheidend ist die tatsächliche Rolle. Ein Unternehmen, das bei jedem E-Mail-Austausch vorsichtshalber einen AV-Vertrag verschickt, hat Datenschutz nicht unbedingt besonders gut verstanden – möglicherweise besitzt es nur sehr viel Papier.

Für A.5.34 ist deshalb beides interessant: Sind notwendige Verträge vorhanden? Und hat das Unternehmen nachvollziehbar bestimmt, bei welchen Dienstleistern tatsächlich Auftragsverarbeitung vorliegt? Das gehört zugleich in ein brauchbares Lieferantenmanagement.

Personenbezogene Daten brauchen mehr als Verträge

A.5.34 erschöpft sich nicht in VVT, Datenschutzhinweisen und AV-Verträgen. Personenbezogene Daten müssen über ihren gesamten Lebenszyklus angemessen geschützt werden. Dazu gehören unter anderem:

• eine passende Klassifizierung und Kennzeichnung von Informationen,
• angemessene Zugriffsrechte,
• sichere Übertragung und Speicherung,
• geregelte Aufbewahrungsfristen,
• eine nachvollziehbare Informationslöschung und
• ein Verfahren für Datenschutz- und Informationssicherheitsvorfälle.

Wer einen perfekten AV-Vertrag besitzt, aber ausgeschiedenen Mitarbeitern weiterhin Zugriff auf Personaldaten lässt, hat das Problem nicht gelöst. Ebenso wenig hilft eine Datenschutzerklärung, wenn die darin genannten Löschfristen technisch nie umgesetzt werden.

Was will der Auditor sehen?

Ein Auditor will hier selten hören: „Das macht unser Datenschutzbeauftragter schon irgendwie.“ Er will erkennen, dass die Organisation ihre Datenschutzanforderungen verstanden und in belastbare Abläufe übersetzt hat.

Typische Nachweise sind:

• ein aktuelles VVT,
• ein Verfahren für Betroffenenrechte,
• Datenschutzinformationen für Mitarbeiter und andere Betroffene,
• eine nachvollziehbare Cookie- und Tracking-Konfiguration,
• Verträge zur Auftragsverarbeitung dort, wo sie erforderlich sind,
• ein Lösch- und Aufbewahrungskonzept,
• geregelte Zugriffsrechte und
• gegebenenfalls Datenschutz-Folgenabschätzungen – kurz DSFA.

Der Auditor will kein vollständiges Datenschutzgutachten erstellen. Er will erkennen, dass das Unternehmen nicht blind verarbeitet, sondern weiß, welche Daten es zu welchem Zweck verarbeitet, welche Anforderungen gelten und wie diese im Alltag erfüllt werden.

Der praktische Prüfblock

Personenbezogene Daten brauchen Informationssicherheit, aber ISO 27001 ersetzt weder Datenschutzrecht noch die datenschutzrechtliche Bewertung. Das ISMS kann Verantwortlichkeiten, Risiken, technische Maßnahmen und Nachweise zuverlässig organisieren.

• Welche personenbezogenen Daten liegen wo und für welche Zwecke vor?
• Welche Rollen dürfen zugreifen und wie wird dies technisch begrenzt?
• Welche Aufbewahrungs-, Lösch- und Meldeprozesse müssen zusammenspielen?
• Wie werden Dienstleister und grenzüberschreitende Verarbeitungen gesteuert?

Was im Audit belastbar sein sollte

Die Ausführungen sind eine organisatorische Einordnung und keine Rechtsberatung. Konkrete datenschutzrechtliche Pflichten müssen anhand der jeweiligen Verarbeitung geprüft werden.

Im Rahmen eines Managementsystems nach ISO 27001 hängt das Thema außerdem mit DSGVO und ISO 27001, rechtliche Anforderungen, Datenmaskierung, Informationslöschung und Zugriff beschränken zusammen. Diese Verbindungen verhindern, dass eine einzelne Richtlinie oder ein einzelnes Werkzeug als isolierte Wunderwaffe behandelt wird.

Interesse geweckt?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Rechtlicher Hinweis

Dieser Artikel ist keine Rechtsberatung, sondern eine unverbindliche organisatorische Einordnung aus Sicht eines Informationssicherheitsmanagementsystems. Gesetze, Verträge und ihre Auslegung müssen für den konkreten Einzelfall geprüft werden.