In diesem Artikel stellen wir Ihnen einige nützliche DSGVO-Tools vor, die Ihnen helfen können, die Einhaltung der DSGVO zu erreichen und aufrechtzuerhalten. Wir werden uns auf Tools konzentrieren, die einfach zu implementieren sind. Die meisten sind kostenlos oder haben ein sehr günstiges Preisniveau. Möglicherweise haben Sie bereits Zugriff auf einige der Software-Tools in Ihrem aktuellen Software-Stack und müssen sie nur noch nutzen. Wir haben auch eine Liste mit bewährten Verfahren und Tipps zusammengestellt, die Sie bei der Zusammenstellung Ihres eigenen Toolkits berücksichtigen sollten.
Inhaltsverzeichnis
Das Wichtigste zuerst: Was ist die DSGVO?
DSGVO steht für Datenschutz-Grundverordnung, die am 25. Mai 2018 in Kraft trat. Das Ziel der DSGVO ist es, den Benutzern mehr Kontrolle über ihre personenbezogenen Daten zu geben. Diese Datenschutzverordnung zielt darauf ab, dem Einzelnen mehr Transparenz zu verschaffen und ihm bewusst zu machen, wie Unternehmen seine personenbezogenen Daten verwenden, und sicherzustellen, dass sie nicht missbraucht werden. Die Bestimmungen der DSGVO gelten für jedes Unternehmen, das Daten von EU-Bürgern besitzt.
Was ist Software zur Einhaltung der DSGVO?
Die Software zur Einhaltung der DSGVO ist eine Reihe von Tools, mit denen Sie die wichtigsten Grundsätze der DSGVO einhalten können. Dabei kann es sich um Audit-Tools, Tools für das Mapping personenbezogener Daten, Software für die Verwaltung von Einwilligungen, Sicherheitssoftware, Bewertungstools, Tools für die Datenminimierung und die Verwaltung von Betroffenenanfragen handeln.
Grundsätze der DSGVO, die Sie vor der Auswahl der Software kennen sollten
Mit der DSGVO wurden auch sieben Datenschutzgrundsätze eingeführt, die Unternehmen und öffentliche Einrichtungen befolgen müssen, um die Vorschriften einzuhalten.
Grundsatz 1 – Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz
Grundsatz 2 – Zweckbindung
Grundsatz 3 – Datenminimierung
Grundsatz 4 – Richtigkeit
Grundsatz 5 – Speicherbegrenzung
Grundsatz 6 – Integrität und Vertraulichkeit (Sicherheit)
Grundsatz 7 – Rechenschaftspflicht
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz
Dieser Grundsatz verlangt, dass alle Organisationen sicherstellen müssen, dass alle Verarbeitungsaktivitäten den geltenden Gesetzen und Vorschriften entsprechen. Mit anderen Worten: Wenn Sie personenbezogene Daten von Personen verarbeiten, müssen Sie sicherstellen, dass Sie die von der Gesetzgebung festgelegten Regeln einhalten.
Die wichtigsten Komponenten dieses Grundsatzes sind:
- Nachweis einer Rechtsgrundlage für die Beschaffung und Verarbeitung personenbezogener Daten. Die DSGVO definiert sechs Rechtgrundlagen: Einwilligung, Erfüllung eines Vertrags, berechtigtes Interesse, lebenswichtige Interessen, rechtliche Verpflichtung und öffentliches Interesse. Mehr über die Rechtsgrundlagen können Sie in unserem Artikel hier lesen.
- Die Erhebung von personenbezogenen Daten muss auf faire Weise erfolgen. Fair bedeutet, dass die Art und Weise der Datenerhebung transparent und für die Person, die ihre personenbezogenen Daten zur Verfügung stellt, vollständig erklärbar sein muss.
- Transparenz bedeutet, dass eine Person immer darüber informiert werden muss, ob sie um die Angabe ihrer personenbezogenen Daten gebeten wird. Das „Recht auf Bestätigung“ ist ein Kernelement dieses Grundsatzes. Beispiele für Transparenzgrundsätze könnten Datenschutzerklärungen und -hinweise auf Ihrer Website, Cookie-Richtlinien und andere Dokumente sein, die den betroffenen Personen ein klares Verständnis darüber vermitteln, wie personenbezogene Daten gesammelt und verarbeitet werden.
Zweckbindung
Zweckbindung bedeutet, dass die Organisation ihre Verarbeitungstätigkeit auf das beschränken muss, was notwendig ist, um die Zwecke zu erfüllen, für die die Daten ursprünglich erhoben wurden. Wenn Sie beispielsweise E-Mail-Adressen von Personen sammeln, um ihnen Angebote zu schicken, können Sie diese E-Mails nicht ewig aufbewahren und ohne deren Zustimmung für Marketingkampagnen verwenden.
Datenminimierung
Datenminimierung bedeutet, dass die Organisation die Menge der verarbeiteten personenbezogenen Daten minimieren muss. Wenn Sie jemanden bitten, ein Formular auszufüllen, müssen Sie nicht jedes einzelne Detail über ihn/sie speichern. Speichern Sie nur das Minimum an Daten, das zur Erfüllung des Zwecks der Anfrage erforderlich ist.
Bevor Sie die Minimierung personenbezogener Daten in Angriff nehmen, sollten Sie eine angemessene Analyse der personenbezogenen Daten durchführen. Zunächst einmal wäre es gut, mit der Datenermittlung zu beginnen, um zu verstehen, welche Art von personenbezogenen Daten Sie in welchen IT-Systemen speichern.
Richtigkeit
Die DSGVO schreibt vor, dass personenbezogene Daten richtig sein und gegebenenfalls auf dem neuesten Stand gehalten werden müssen. Es müssen alle angemessenen Maßnahmen getroffen werden, um sicherzustellen, dass personenbezogene Daten, die im Hinblick auf die Zwecke, für die sie verarbeitet werden, unrichtig sind, unverzüglich gelöscht oder berichtigt werden.
Speicherbegrenzung
Speicherbegrenzung bedeutet, dass die Organisation den Zeitraum begrenzen muss, für den personenbezogene Daten gespeichert werden. Die Dauer hängt von der Art der personenbezogenen Daten und ihrer Sensibilität ab. Wenn Sie zum Beispiel Finanzdaten sammeln, können Sie diese bis zu 7 Jahre lang aufbewahren. Wenn Sie jedoch Gesundheitsdaten sammeln, sollten Sie diese nicht länger als nötig aufbewahren.
Integrität und Vertraulichkeit (Sicherheit)
„Integrität und Vertraulichkeit“ bedeutet, dass Sie sicherstellen müssen, dass Sie über angemessene Sicherheitsmaßnahmen verfügen, um die von Ihnen gespeicherten personenbezogenen Daten zu schützen. Personenbezogene Daten müssen gegen unbefugte oder unrechtmäßige Verarbeitung, versehentlichen Verlust, Zerstörung oder Beschädigung geschützt werden.
Rechenschaftspflicht
Der Grundsatz der Rechenschaftspflicht verlangt von Organisationen, dass sie die Verantwortung dafür übernehmen, was sie mit personenbezogenen Daten tun und wie sie die anderen Grundsätze einhalten. Um diesen Grundsatz einzuhalten, muss eine Organisation über geeignete Maßnahmen und Aufzeichnungen verfügen, um bei der ersten Aufforderung durch die Behörden die Einhaltung der Vorschriften nachweisen zu können. Das bedeutet, dass eine Reihe von Dokumenten abgeschlossen werden muss.
Hier finden Sie eine (nicht vollständige) Liste der Dokumente, die Sie benötigen, um die Einhaltung der DSGVO nachzuweisen:
- Verzeichnisse von Verarbeitungstätigkeiten;
- Richtlinie zum Schutz personenbezogener Daten;
- Datenschutzhinweise (für Mitarbeiter, Website-Besucher usw.);
- Mit Ihren Dienstleistern unterzeichnete Auftragsverarbeitungsverträge;
- Richtlinie und Zeitpläne zur Datenaufbewahrung;
- Einverständniserklärungen;
- Reaktion auf und Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten;
- Register für Verletzungen des Schutzes personenbezogener Daten;
- Verfahren zur Bearbeitung von Betroffenenanfragen;
- Datenschutz-Folgenabschätzung;
- Bewertung der berechtigten Interessen;
- Risikobewertung von Lieferanten;
- Datentransfer-Folgenabschätzung.
Software zur Einhaltung der DSGVO
Wie Sie vielleicht aus den oben beschriebenen Grundsätzen der Datenschutz-Grundverordnung erfahren haben, ist die Einhaltung solcher Anforderungen keine leichte Aufgabe. Es wird viel Arbeit erfordern und Sie werden einige Werkzeuge benötigen, um die Einhaltung der DSGVO zu erreichen und aufrechtzuerhalten.
Es gibt viele verschiedene Arten von DSGVO-Softwarelösungen, die heute auf dem Markt erhältlich sind. Einige von ihnen sind sehr einfach, während andere komplex sind und viel Pflege benötigen. Bevor Sie sich also für eines dieser Tools entscheiden, ist es wichtig, die Besonderheiten der Verarbeitung personenbezogener Daten in Ihrem Unternehmen zu verstehen, die damit verbundenen Risiken einzuschätzen und eine geeignete Lösung zu wählen, die diese Risiken angemessen abmildert.
Um diese Aufgabe zu vereinfachen, werden wir versuchen, einige spezifische Beispiele für jeden der oben beschriebenen Grundsätze der DSGVO zu betrachten.
DSGVO-Audittools
Die erste Aufgabe im Rahmen des Projekts zur Einhaltung der DSGVO besteht darin, die aktuelle Situation der Organisation in Bezug auf den Schutz personenbezogener Daten zu verstehen und eine Lückenanalyse durchzuführen. Mit Audittools können Sie überprüfen, ob Ihre Organisation personenbezogene Daten gemäß den Anforderungen der DSGVO verarbeitet. Sie enthalten in der Regel eine Reihe von Kontrollen, die bei Audits durchgeführt werden müssen.
ICO-Datenschutz-Selbstbewertung
Das UK Information Commissioner‘s Office (ICO) hat eine Reihe von Selbstbewertungsinstrumenten für für die Verarbeitung Verantwortliche und Auftragsverarbeiter zusammengestellt. Diese einfachen Fragebögen sind für kleine bis mittlere Unternehmen gedacht. Die Bewertungen enthalten Anleitungen und Empfehlungen. Daher finden Sie hier, was Sie tun müssen, um sicherzustellen, dass die Verarbeitung Ihrer personenbezogenen Daten im Einklang mit der DSGVO steht. Das Toolkit enthält die folgenden Checklisten:
- Checkliste für kleine und mittelständische Unternehmen und Einzelunternehmer;
- Checklisten zur Gewährleistung des Datenschutzes für für die Verarbeitung Verantwortliche und Auftragsverarbeiter;
- Informationssicherheitsrichtlinie;
- Direktmarketing-Checkliste;
- Checkliste zur Verwaltung von Aufzeichnungen;
- Checkliste zur Einhaltung der CCTV-Vorschriften.
Die ICO-Selbstbewertungen zum Datenschutz finden Sie hier.
Gartner-Checkliste zur Prüfung der Einhaltung der DSGVO
Gartner hat eine etwas formellere, aber gut strukturierte Checkliste zur Selbsteinschätzung veröffentlicht, die zur Vorbereitung auf Audits zur Einhaltung der DSGVO gedacht ist. Jede Anforderung bezieht sich auf einen relevanten DSGVO-Artikel. Mit diesem Tool können Sie nachverfolgen, ob Sie die Vorschriften einhalten oder nicht, und den Fortschritt der Einhaltung verfolgen. Die Checkliste umfasst die folgenden Anforderungen:requirements:
- Verwaltung der Rechenschaftspflicht;
- Verarbeitungsgrundsätze;
- Privacy by Design und Default;
- Datenschutz-Folgenabschätzung;
- Verzeichnisse von Verarbeitungstätigkeiten;
- Rechte der betroffenen Person;
- Einwilligung und Mitteilungen;
- Verwaltung von Verletzungen des Schutzes personenbezogener Daten;
- Auftragsverarbeiter;
- Datenübertragungen
Sie können die Gartner-Checkliste für die Prüfung der Einhaltung der DSGVO hier herunterladen.
GDPR Register
Mit GDPR Register können Sie eine Kartierung Ihrer personenbezogenen Daten durchführen und Verzeichnisse von Verarbeitungstätigkeiten führen, die die wichtigsten Informationen über Ihre personenbezogenen Daten, die Zwecke der Verarbeitung, die Rechtsgrundlagen, das Vorfallsmanagement und vieles mehr enthalten. Es ist sowohl für kleine Unternehmen geeignet als auch mit fortschrittlichen Funktionen ausgestattet, die von multinationalen Konzernen dringend benötigt werden. Es handelt sich um eine Lösung zur Einhaltung der DSGVO, die keine komplizierte Einrichtung erfordert und Zeit spart, da sie professionelle Vorlagen für verschiedene Aktivitäten und Dokumente bietet.
Einwilligungsmanagementtools
Eine weitere wichtige Komponente des Transparenzgrundsatzes ist die Einwilligung. Die Einwilligung sollte nicht nur bei der Erhebung der personenbezogenen Daten der Nutzer eingeholt werden, sondern auch bei jeder Änderung der Nutzungsbedingungen oder der Bedingungen für die Verarbeitung personenbezogener Daten.
Openli
Openli.com ist ein sehr einfach zu bedienendes Tool zur Verwaltung von Einwilligungen für alle Arten von Inhalten, das einen automatischen Generator für Datenschutzerklärungen und ein Register für Auftragsverarbeitungsverträge enthält. Inklusive anpassbarem Banner, ausführlichem Material für den Nachweis der Einwilligung und benutzerfreundlicher Oberfläche.
Erfahren Sie hier mehr.
CookieHub
CookieHub ist ein einfaches und kosteneffizientes Tool zur Einhaltung der DSGVO in Bezug auf die Verwaltung von Cookie-Einwilligungen. Enthält einen Cookie-Scanner, Einwilligungsmanagement, einen Cookie-Blocker, eine anpassbare Benutzeroberfläche, mehrere Sprachen und Informationen über Cookies. Die Cookie-Erklärung kann einfach in Ihre Cookie-Richtlinie integriert werden, so dass Sie die Cookie-Informationen stets auf dem neuesten Stand halten können.
Erfahren Sie hier mehr.
Datenschutzerklärungs-Generatoren
An dieser Stelle möchten wir Sie überraschen – wir raten davon ab, automatische Generatoren für Datenschutzerklärungen zu verwenden, da das Risiko von Fehlern hoch ist, die dazu führen, dass die Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz nicht eingehalten werden.
Der richtige Ansatz für die Erstellung einer Datenschutzerklärung erfordert zunächst eine strukturierte Übersicht über die Erhebung und Verarbeitung personenbezogener Daten, die durch die Zusammenstellung von Verzeichnisse von Verarbeitungstätigkeiten erreicht werden sollte. Sobald solche Aufzeichnungen erstellt sind, können Sie sicher sein, dass Sie nichts in Ihrer Datenschutzerklärung vermissen. Leider erlauben die vorhandenen Generatoren für Datenschutzerklärungen nicht die Erstellung von Verzeichnisse von Verarbeitungstätigkeiten, so dass das Ergebnis sehr fragwürdig sein wird.
Es gibt viele Vorlagen für Datenschutzerklärungen, und Sie haben die Kontrolle über die Informationen, die Sie Ihren betroffenen Personen zur Verfügung stellen.
Software zur Einhaltung der DSGVO sowie der Grundsätze der Datenminimierung, Richtigkeit, Speicherbegrenzung und Sicherheit
Microsoft Compliance Manager
Wenn Sie Microsoft 365 (ehemals Office 365) verwenden, dann ist der Microsoft Compliance Manager ein Datenverfolgungssystem, das Sie bei der Einhaltung der DSGVO unterstützt. Es ermöglicht Ihnen, eine Bestandsaufnahme Ihrer Datenschutzrisiken zu machen, die Komplexität der Implementierung von Kontrollen zu bewältigen und mit Vorschriften und Zertifizierungen auf dem Laufenden zu bleiben. Die Verwendung eines Microsoft Compliance Managers erfordert ein Office 365 E5 (oder für Bildungseinrichtungen A5) oder ein Microsoft E5 oder A5
subscription license.
Zu den Funktionen von Microsoft Compliance Manager gehören:
- vorgefertigtes Bewertungstool
- Risikobewertungen und Compliance Score
- Anleitungen
- Datenklassifizierung
- Datenkontrolle
Erfahren Sie hiermehr über Microsoft Compliance Manager.
Azure Information Protection
Wenn Ihr Unternehmen auf dem Microsoft Azure-Stack läuft, dann ist Azure Information Protection wahrscheinlich der einfachste Weg, um all diese Grundsätze zu erreichen. AIP bietet Ihnen eine Reihe von Funktionen, die es Ihnen ermöglichen:
- Datenminimierung und Speicherbegrenzungen durchzusetzen;
- eine Datenklassifizierung auf der Grundlage der Sensibilitätsstufe der Daten vorzunehmen;
- sensible Daten zu identifizieren und sie entsprechend zu schützen;
- sensible Daten nach einer bestimmten Zeit automatisch zu löschen;
- Ihre Daten vor versehentlicher Offenlegung zu schützen;
- unautorisierte Zugriffsversuche zu erkennen;
- Änderungen an Ihren Daten zu überwachen.
Erfahren Sie hier mehr über Azure Information Protection.
Amazon Macie
Wenn Sie AWS verwenden, dann ist Amazon Macie eine großartige Lösung zum Schutz Ihrer Daten. Es ermöglicht es Ihnen:
- sensible Daten zu identifizieren;
- sie automatisch zu schützen;
- sensible Daten nach einer bestimmten Aufbewahrungsfrist zu löschen;
- den unerwünschten Zugriff auf sensible Daten zu blockieren;
- die unbefugte Offenlegung sensibler Daten zu verhindern;
- bösartige Aktivitäten zu erkennen und zu verhindern.
Erfahren Sie hiermehr über Amazon Macie.
ARX Data Anonymization Tool
Eine der effektivsten Sicherheitsmaßnahmen zur Gewährleistung der Datenminimierung und Speicherbegrenzung ist die Anonymisierung. Wenn Sie über ausreichende technische Kenntnisse verfügen, um Software-Tools in Ihren Software-Stack zu implementieren, dann ist das ARX Data Anonymization Tool eine Lösung, die Sie in Betracht ziehen sollten. Es unterstützt eine breite Palette von De-Identifizierungsverfahren, darunter:
- Entfernung von personenbezogenen Daten wie Namen, Adressen, Telefonnummern usw;
- Reduktion von persönlichen Daten auf nicht persönliche Daten;
- Ersetzung von persönlichen Daten durch nicht persönliche Daten;
- Ersetzung von persönlichen Daten durch zufällige Zeichenfolgen oder andere eindeutige Identifikatoren;
- Generierung von synthetischen Datensätzen.
Erfahren Sie hier mehr über das ARX Data Anonymization Tool.
Software für technische Sicherheitsmaßnahmen
Das Thema Sicherheitssoftware ist ein völlig anderes, und es ist nicht das Ziel dieses Artikels, es zu behandeln. Hier stellen wir Ihnen einige wichtige Arten von Sicherheitssoftware vor, die Sie in Betracht ziehen sollten, um den Schutz personenbezogener Daten in Ihrem Unternehmen zu verbessern.
Hier finden Sie eine Liste der verschiedenen Arten von Sicherheitssoftware, die Ihrem Unternehmen den nötigen Schutz bieten können:
- Anonymisierung und Pseudonymisierung;
- Verschlüsselung;
- Endpunkt-Sicherheit;
- Anti-Spyware;
- Anti-Malware;
- Netzwerksicherheit;
- E-Mail-Sicherheit;
- Firewalls;
- Passwort-Manager;
- Verschlüsselungssoftware;
- Protokollmanagementsoftware;
- Überwachungstools;
- Intrusion Prevention Software;
- Bot-Schutz;
- Sicherheit im Internet of Things (IoT).
Es lohnt sich, Rücksprache mit Ihrer IT-Abteilung zu halten, um die am besten geeigneten Sicherheitstools für Ihr Unternehmen zu finden.
Software für organisatorische Sicherheitsmaßnahmen
Es gibt auch organisatorische Sicherheitsmaßnahmen, die berücksichtigt werden müssen, wenn es um die Sicherheit von personenbezogenen Daten geht. Laut der Studie Psychology of Human Error von Jeff Hancock, Professor an der Stanford University, und dem Sicherheitsunternehmen Tessian werden neun von 10 (88 %) Verletzungen des Schutzes personenbezogener Daten durch Fehler der Mitarbeiter verursacht.
OZu den organisatorischen Sicherheitsmaßnahmen gehören:
- Audits und Überprüfungen;
- Sensibilisierung und Schulung der Mitarbeiter;
- Informationssicherheitsrichtlinien;
- Geschäftskontinuitätsplan;
- Risikobewertungen;
- Risikobewertungen von Lieferanten.
Software zur Einhaltung der DSGVO für den Grundsatz der Rechenschaftspflicht
Die Rechenschaftspflicht, auf die sich die DSGVO-Software konzentriert, bezieht sich auf die Bereitschaft einer Organisation, auf die erste Anfrage der Behörden hin nachzuweisen, dass sie die Anforderungen der DSGVO erfüllt.
GDPR Register
Die Softwarelösung von GDPR Register zur Einhaltung der DSGVO deckt die meisten Anforderungen an den Grundsatz der Rechenschaftspflicht ab. Es verfügt über hilfreiche Tools, die Sie vom Beginn Ihres Compliance-Projekts bis zur laufenden Überwachung der Compliance Ihrer Organisation einsetzen können.
Es umfasst die folgenden Funktionen:
- Vorlagen für alle oben genannten erforderlichen Dokumente;
- Verzeichnisse von Verarbeitungstätigkeiten;
- Register der Auftragsverarbeitungsverträge und Vertragsvorlagen;
- Register für Verstöße und Verwaltung von Vorfällen;
- Register für Betroffenenanfragen;
- Datenaufbewahrungsregeln;
- Zahlreiche Tools für die Berichterstattung und den Export;
- Aufgabenmanagement und andere Tools für die Zusammenarbeit in Ihrem Team;
- Komplexe Organisationsstruktur, Management und Informationsskalierung innerhalb der Gruppe.
Die Software von GDPR Register bietet eine kostenlose 14-tägige Testversion, bei der die meisten Funktionen voll funktionsfähig sind.
CNIL-Tool zur Datenschutz-Folgenabschätzung
Wenn Sie auf der Suche nach einer Software für die Datenschutz-Folgenabschätzung (DSFA) sind, könnte das von der französischen Regulierungsbehörde CNIL zur Verfügung gestellte Tool PIA (Privacy Impact Assessment) eine gute Option für Sie sein. Dieses Tool zur Bewertung von Datenschutzrisiken basiert auf einer benutzerfreundlichen Oberfläche und vereinfacht die Verwaltung Ihrer PIAs. Trotz seines Namens bietet das CNIL-Tool Funktionen zur Risikobewertung und Planung von Abhilfemaßnahmen.
Es entfaltet die Methodik der Datenschutz-Folgenabschätzung Schritt für Schritt. Verschiedene Visualisierungstools bieten die Möglichkeit, die Risiken schnell zu verstehen. Es enthält Informationen zur Anleitung, mehrstufige Genehmigungsverfahren und ist kostenlos. Erfahren Sie hier mehr.
Natürlich ist diese Liste nicht umfassend und enthält nicht alle möglichen DSGVO-Softwarelösungen. Wenn Sie Fragen dazu haben, welche davon für Ihr Unternehmen geeignet ist, kontaktieren Sie uns bitte. Wir helfen Ihnen bei der Auswahl der richtigen Software, die Ihren Anforderungen entspricht.
