Passwortmanager und DSGVO.
Zugangsdaten sind der Schlüssel zu allen anderen Daten. Wer sie schlecht verwahrt, verletzt die Verordnung an ihrer empfindlichsten Stelle.
Was die Verordnung wirklich verlangt.
Die Datenschutz-Grundverordnung nennt an keiner Stelle das Wort Passwortmanager. Sie verlangt in Artikel 32 angemessene technische und organisatorische Maßnahmen, abgestuft nach dem Risiko. In der Praxis landet man damit sehr schnell bei denselben Punkten: Zugänge dürfen nicht herumliegen, nicht geteilt werden, müssen beim Ausscheiden eines Mitarbeiters entziehbar sein, und es muss nachvollziehbar bleiben, wer worauf Zugriff hatte. Ein Passwortmanager ist der naheliegende Weg, das zu erfüllen. Er ist keine Pflicht, aber die Pflicht ohne ihn zu erfüllen, wird mühsam.
Worauf es bei der Auswahl ankommt.
Ein Vertrag zur Auftragsverarbeitung
Sobald ein Anbieter für Sie personenbezogene Daten verarbeitet, brauchen Sie einen Vertrag nach Artikel 28. Ohne ihn ist der Einsatz angreifbar, unabhängig davon, wie gut die Technik ist. Seriöse Anbieter stellen ihn von sich aus bereit. Unser AV-Vertrag.
Wo die Daten liegen, und welches Recht gilt
Innerhalb der Europäischen Union ist die Lage einfach. Bei Anbietern, die einem Recht außerhalb unterliegen, kommt die Frage hinzu, ob Behörden dort Herausgabe verlangen können, auch wenn die Server in Europa stehen. Diese Frage sollte ein Anbieter beantworten können, ohne auszuweichen.
Nachweisbarkeit, nicht nur Sicherheit
Artikel 5 verlangt, dass Sie die Einhaltung belegen können. Ein Protokoll, das zeigt, wer wann welchen Zugang geöffnet, geteilt oder entzogen hat, ist im Prüfungsfall mehr wert als jede Beteuerung.
Löschen muss wirklich löschen
Scheidet jemand aus, müssen seine Zugänge weg, und zwar vollständig. Geteilte Einträge dürfen dabei nicht aus den Ordnern der Kollegen verschwinden. Das klingt selbstverständlich, ist es in der Praxis aber nicht.
Verschlüsselung ist ein Argument, kein Freibrief
Artikel 34 kann die Pflicht zur Benachrichtigung Betroffener entfallen lassen, wenn die Daten wirksam verschlüsselt waren. Das entbindet aber nicht von der Meldung an die Aufsichtsbehörde und nicht von den übrigen Pflichten.
Ein Hinweis in eigener Sache.
Dieser Text ist eine Einordnung, keine Rechtsberatung. Was in Ihrem Unternehmen angemessen ist, hängt von Ihrer Größe, Ihrer Branche und den Daten ab, mit denen Sie umgehen. Im Zweifel fragen Sie Ihre Datenschutzbeauftragte oder einen Fachanwalt. Was wir beitragen können, sind die Unterlagen zu unserer Lösung: Datenschutzerklärung, Auftragsverarbeitungsvertrag und eine Beschreibung der eingesetzten Verfahren unter Verschlüsselung.
Häufige Fragen. Klare Antworten.
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten persönlich.
Schreibt die DSGVO einen Passwortmanager vor?
Nein, das Wort kommt in der Verordnung nicht vor. Sie verlangt angemessene Maßnahmen nach Artikel 32. Wer begründen kann, wie er Zugänge ohne ein solches Werkzeug sicher vergibt, entzieht und nachweist, erfüllt die Pflicht auch anders. In der Praxis gelingt das selten.
Brauche ich einen AV-Vertrag mit dem Anbieter?
Ja, sobald der Anbieter für Sie personenbezogene Daten verarbeitet, und sei es nur die Verwaltung der Konten Ihrer Mitarbeiter. Das gilt auch dann, wenn die Inhalte verschlüsselt sind und der Anbieter sie nicht lesen kann. Betreiben Sie die Lösung vollständig selbst, entfällt der Vertrag.
Reicht es, wenn die Server in Europa stehen?
Der Standort ist ein wichtiger Punkt, aber nicht der einzige. Entscheidend ist zusätzlich, welchem Recht das Unternehmen unterliegt, dem die Server gehören. Ein Konzern außerhalb Europas kann unter Umständen auch zur Herausgabe von Daten verpflichtet werden, die in Europa liegen.
Was gilt beim Betrieb im eigenen Haus?
Dann sind Sie allein verantwortlich, und ein AV-Vertrag entfällt, weil niemand in Ihrem Auftrag verarbeitet. Dafür tragen Sie Betrieb, Sicherung und Aktualisierung selbst. Was das praktisch bedeutet.
Muss ich eine Datenpanne melden, wenn alles verschlüsselt war?
Die Meldung an die Aufsichtsbehörde nach Artikel 33 bleibt in aller Regel bestehen. Die zusätzliche Benachrichtigung der Betroffenen nach Artikel 34 kann entfallen, wenn die Daten durch wirksame Verschlüsselung für Unbefugte unbrauchbar sind. Den Nachweis dafür müssen Sie führen.
Enterprise Security. No Compromise.
Registrieren Sie sich für unser nächstes kostenloses, unverbindliches Live-Webinar - und sehen Sie, wie FidenoVault Ihre Zugänge schützt.
- Zero-Knowledge
- Europäische Souveränität
- DSGVO-konform
