Datenschutz – das heisse Eisen anfassen ohne die Finger zu verbrennen

Die Datenskandale jagen sich. Datenschutz – längst ein Reizwort – weckt vor allem ungute Gefühle. Zu Recht. Denn zu viele, vor allem kleinere Organisationen schützen ihre Daten ungenügend und ihr Datenaustausch ist nicht gesetzeskonform.

Seit Mai 2018 wird die EU Datenschutz-Grundverordnung (EU-DSGVO) offiziell umgesetzt – und sie wird auch die Schweizer Datenlandschaft betreffen. In einer aktuellen Fallstudie*, die ich als Co-Autor mitverfasst habe, zeige ich Lösungen auf, wie der sichere, gesetzeskonforme Datenaustausch mit vertretbarem Aufwand zu bewerkstelligen ist.

Die EU-Datenschutzgrundverordnung und ihre Auswirkungen auf die Schweiz

Zu Beginn gleich die Antwort auf die offensichtlichste Frage, inwiefern die EU-Verordnung Auswirkungen auf die Schweiz hat: Es ist eben auch im Interesse unseres Landes, dass die eigenen Datenschutzgesetze im Wesentlichen mit denjenigen der EU übereinstimmen. Nur dann wird der Datenaustausch mit Unternehmen in der EU weiterhin ohne gravierende Einschränkungen möglich bleiben. Beispielsweise im Online-Handel, wo Personendaten zu schützen und betroffene User zu informieren sind. Und selbst ein Dorfladen ist betroffen, wenn er einen einfachen Newsletter über einen EU-Anbieter verschickt, oder seine E-Mail und Daten in der Cloud im europäischen Ausland hosten lässt. So wird die aktuelle Revision des Schweizerischen Datenschutzgesetztes wohl die meisten Regulierungen der EU eins zu eins nachvollziehen. Und gleich einmal offenheraus die Frage an Sie: «Wie gehen Sie mit dem Datenschutz in Ihrer Organisation um?»

Dauerbaustelle Datenschutz in Schweizer Organisationen

Völlig ungeachtet von der europäischen Verordnung sind in der Schweiz die Organisationen gesetzlich längst verpflichtet zum Schutz von Personendaten. Jedoch, wie ich selbst im näheren Kundenumfeld beobachten kann, können die meisten von ihnen dieser Verpflichtung nur ungenügend oder gar nicht nachkommen. Die Umsetzung trifft in fast allen Organisationen eine Dauerbaustelle an. Organisatorische Mängel, menschliche Fehler, technische Lücken, fehlende Ressourcen usw. führen unweigerlich zu schlecht oder gar nicht geschütztem Datenverkehr. So ist der Postweg über E-Mails bis zur Dropbox mit Lücken und Tücken beinahe so abenteuerlich wie zu Zeiten der Wegelagerer die Postkutschenfahrten durch den Sherwood Forest. Das Risiko von Datenmissbrauch ist hoch, wie die Datenskandale in immer grösserem Stil offenlegen.

Dabei sind Firmen, öffentliche Institutionen, Gemeinden und alle, die Personendaten austauschen, gesetzlich verpflichtet, ihre Schutzmassnahmen und Bestrebungen zur Einhaltung der Datenschutzbestimmungen nachzuweisen. Es ist damit zu rechnen, dass die Schweiz nach der erfolgten Revision dieser Forderung vermehrt Nachdruck verleiht und Fehlbare zur Verantwortung zieht.

Wie kommt man dem Gesetz mit vertretbarem Aufwand nach?

Die laufend ändernden Gesetze zu kennen ist das Eine, sie rechtskonform umzusetzen das Andere. Bei der Erarbeitung unserer Fallstudie «Secure Collaboration in Schweizer Gemeinden»* habe ich selbst erfahren, wie komplex die Verhältnisse sind. Die Anforderungen sind zwar bekannt und erscheinen auf den ersten Blick durchaus realisier­bar. Bei näherer Betrachtung erweist sich aber die Durchsetzung im Zeitalter der neuen Technologien wie Cloud, WLAN, Smartphone & Co. als echte Herausforderung. Und sie sind mit bestehenden Lösungen nicht zu meistern. Denn eine Organisation muss heute sowohl die Integrität, Authentizität und Vertraulichkeit ihrer Dokumente gewährleisten als auch zeitgemässe Interaktions- und Kommunikationsformen anbieten. Dies unter Umschiffung der überall lauernden Risiken und unter Einhaltung der Compliance. Es erfordert breite Fachkenntnisse, um alle rechtlichen, technischen und organisatorischen Aspekte zu berücksichtigen und die Mittel integral aktuell zu halten. Denn mit den Bedrohungen wechseln auch die Bestimmungen. Dafür braucht es ein integratives Konzept, das Recht, Technik und Abwicklung vereint und fortlaufend aktualisiert. Aufgrund der Erkenntnisse aus unserer Studie und den Praxisanforderungen meiner Kunden haben wir bei Computer Coach die DatenschutzBox geschaffen. Sie enthält alle erforderlichen Instrumente für die lückenlose konzeptionelle und technische Ausgestaltung. Mit Hilfe der DatenschutzBox kann der Schutz der Informationen dauerhaft wirksam, effizient und bezahlbar sichergestellt werden. Der nachweisbare, konforme Datenschutz schliesst das Risiko aus, dass ein möglicher Vorfall personelle Konsequenzen und schwerwiegende Imageschäden nach sich zieht.

Spezifische Individuallösungen mit Spareffekt aus der Box

Die Fallstudie hat uns vor allem eines gezeigt: Maximallösungen sind kein gangbarer Weg. Viel zu hoch wären der Aufwand und die Kosten der Umsetzung. Wer der Datenschutz Compliance wirtschaftlich gerecht werden will, ist mit einer Individuallösung besser beraten. Eine aus der DatenschutzBox, die nur kann, was sie muss – bezogen auf die Organisationsgrösse und Vernetzungsdichte. Die Box integriert alle nötigen Konzepte und Komponenten samt den rechtlichen, organisatorischen und technischen Grundlagen zur integralen Sicherstellung des Datenschutzbedarfs. Dank dem werden alle Massnahmen permanent gesetzeskonform nachgeführt und sämtliche Neuerungen automatisiert mitvollzogen. Grob gesagt enthält die Box: Den Anhang zum Mitarbeitervertrag sowie die Passus zur Informationssicher­heit. Den Leitfaden mit sämtlichen Anleitungen zum Zugriff (E-Mail, WLAN, Passwort usw.). Die Regelung erweiterter Datenschutzbestimmungen (Social-Media-Nutzung, Ein- und Austritte, Bildrechte, Home Office usw.). Dann auch das Glossar sowie weitere Tools und Dienstleistungen (Backup, Intranet, Insel-Client usw.). Das macht die DatenschutzBox rundum komplett – und ist sie einmal eingerichtet, gibt es nicht mehr viel zu tun. Änderungen werden auf dieser wirtschaftlich, kollektiv genutzten Basis aktualisiert und da sie für alle Organisationen praktisch die gleiche ist, verteilen sich die Kosten auf viele Anwender. Daraus ergibt sich der Spareffekt aus der Box. So tragen die Informationssicherheit und die Effizienz des Datenhandlings risikofrei und wirtschaftlich zur höheren Organisations-Qualität und –Sicherheit in Ihrem Unternehmen bei.

Sprechen Sie mich auf die Situation in Ihrer Organisation an, wenn Sie sich nachhaltige Entlastung von der Datenschutzproblematik verschaffen wollen. Als Co-Autor der Fallstudie, präsentiere ich Ihnen gerne die Ergebnisse und schlage Ihnen die für Ihren Bedarf passende Lösung aus der Datenschutz-Box vor.

*Autoren der Fallstudie «Secure Collaboration in Schweizer Gemeinden»: Felix Hosner, Computer Coach sowie Hanspeter Locher – CAS Security & Privacy; Berner Fachhochschule, Technik und Informatik Softwareschule Schweiz