Informationen zum Datenschutzaudit durch dbc Sachverständige

Transkript

1 Informationen zum Datenschutzaudit durch dbc Sachverständige Sehr geehrter Kunde, mit dieser Information möchten wir Ihnen einen Überblick über die Auditierung (=Prüfung) und Zertifizierung Ihres Unternehmens geben. Datenschutz lebt auch vom Gebot der Transparenz. Daher stellen wir Ihnen vorab die wichtigsten Informationen zur Verfügung, die Ihnen vor der Auftragserteilung helfen. Ihr Vorteil dabei: Sie besitzen es schriftlich und können sich auf unsere Zusagen verlassen. Auf den folgenden Seiten erhalten Sie alle nötigen Informationen zum Audit, zur Zertifizierung und Antworten auf die häufigsten Fragen speziell zum ADV-Audit. Die genannten Prüfunkte sind nicht vollständig. Sie dienen Ihnen aber als Anhaltspunkt, welche Bereiche geprüft werden. Der Prüfpunktekatalog für das große Datenschutzaudit bzw. Zertifizierungsaudit umfasst knapp 500 Prüfpunkte aus 11 Prüfkapiteln. Generell richtet sich dbc bei der Auditierung an die Norm DIN EN ISO und damit an anerkannte Standards bzw. an den Leitfaden für die Auditierung von Managementsystemen. Sollten Sie weitere Fragen haben, können Sie uns sehr gerne hierzu kontaktieren. dbc Sachverständige Enscheder Str. 41a Gronau Tel /

2 Was bedeutet ADV? ADV ist die Kurzform von Auftragsdatenverarbeitung. Im Bundesdatenschutzgesetz, genau in 11, wird von Datenverarbeitung im Auftrag gesprochen. Beide Begriffe beschreiben die gleiche Art der externen Datenverarbeitung. Die Anforderungen in 11 BDSG wurden zum 1. September 2009 erheblich verschärft. Zudem wird ein fehlender oder fehlerhafter Vertrag mit hohen Bussgeldern geahndet. An wen richtet sich das ADV-Audit? An alle Dienstleister, die Daten im Auftrag für andere Unternehmen verarbeiten. Dazu gehören z.b. Callcenter, Lettershops, IT-Unternehmen, Marketingfirmen, Druckereien usw. Die Größe des Unternehmens spielt dabei keine Rolle. Was müssen wir als Dienstleister vorweisen? Es hilft uns sehr, wenn wir erkennen, dass Sie sich grundsätzlich mit dem Thema Datenschutz beschäftigt haben. Idealerweise in schriftlicher Form. Dabei gibt es keine allgemeingültige Regel. Abhängig sind die Dokumentationen immer von Art und Umfang der Datenverarbeitung, der Sensibilität und den Ansprüchen, die Sie und Ihre Kunden stellen. Was genau wird geprüft? Im Prinzip die Dinge, die in 11 und 9 BDSG gefordert werden. Beachten Sie auch die Anlage zu 9, die Sie im Gesetzestext ganz am Ende finden. Dabei werden die sogenannten technischen und organisatorischen Maßnahmen geprüft. Wir beginnen vor dem eigentlichen Präsenztermin bei Ihnen vor Ort mit der Dokumentenprüfung. Wann können wir uns prüfen lassen? Jederzeit. Allerdings macht ein ADV-Audit nicht wirklich Sinn, wenn Sie z.b. noch gar keine Sicherheitsmaßnahmen (Zutritt, Zugang, Sicherung, usw.) durchgeführt haben. In diesem Fall sollten wir uns zunächst über die genauen Anforderungen und Maßnahmen unterhalten. Wer führt die Prüfung durch? Die Prüfung durch DBC wird immer von dem Auditor durchgeführt, mit dem Sie gesprochen haben und der das Angebot erstellt hat. Falls durch Sie genehmigt, eventuell auch gemeinsam mit einem weiteren Junior-Auditor. Was passiert, wenn die Prüfung erfolglos war? Dieser seltene Fall tritt sehr früh ein. Nämlich wenn für uns erkennbar wird, dass viele geforderte Punkte nicht erfüllt werden. Dann stoppen wir das Audit und besprechen mit Ihnen das weitere Vorgehen. Sie müssen in diesem Fall nur die bis dahin erbrachten Leistungen bezahlen. Wo liegt der Vorteil einer Auditierung? Der Vorteil ist ähnlich dem einer Zertifizierung nach DIN ISO 9001 bzw. beim Qualitätsmanagement. Sie beweisen Ihren Kunden, dass Sie ein verlässlicher Partner sind, der nach hohen Datenschutzstandards arbeitet. Gerade große Unternehmen (Ihre Kunden) legen darauf sehr viel Wert. Was ist der Vorteil der Zertifizierung? Das Zertifikat ist eine weitere Bestätigung von einer unabhängigen Zertifizierungsgesellschaft und stellt ein völlig unabhängiges Prädikat für Sie dar. Das Zertifikat ist nicht vorgeschrieben, wertet die Auditierung aber zusätzlich auf. Wie lange dauert das Audit insgesamt? Das ADV-Audit ist abhängig vom Aufwand, also dem Umfang Ihrer Datenverarbeitung. Das typische ADV-Audit dauert meistens zwei bis drei Tage, z.b. ein Tag vor Ort (Prüfung) und ein Tag Gutachtenerstellung. Was passiert bei Fehlern die aufgedeckt werden? Das Wort Fehler wird bei Audits nicht verwendet. Wir sprechen von Abweichungen oder Findings. Diese sehen wir positiv. Eine Abweichung ist der Beweis, dass ein Audit

3 Verbesserungspotenzial gefunden hat. Sie haben dann die Möglichkeit, bis zum Auditende die Abweichung zu korrigieren. Was bedeutet das Gutachten für unsere Auftraggeber? Gutachten und Zertifizierung sind der Beweis, dass Sie in der Lage sind, sensible Daten zu verarbeiten und das dieses von unabhängiger Stelle geprüft wurde. Fast alle größeren Kunden fordern dies und legen darauf großen Wert. Sie erleichtern Ihren Kunden die Auftragsvergabe an Ihr Unternehmen und bieten somit ein hohes Maß an Sicherheit. Wie hoch sind die Kosten für ein Zertifikat? Das Erstzertifikat kostet 300 EUR, die Re-Zertifizierungskosten durch die Zertifizierungsgesellschaft betragen 100 EUR nach 12 Monaten. Warum gilt das Zertifikat nur 12 Monate? Ein großer Teil der begutachteten Punkte sind die technischen Maßnahmen. Bei der Geschwindigkeit der Entwicklung in der Informationstechnik wäre eine längere Laufzeit unseriös. Nach diesem Zeitraum sind einzelne Punkte der Begutachtung oft überholt und nicht mehr korrekt beschrieben. Hat das Wiederholungsaudit dann den gleichen Aufwand? Nein, da wir nur die Dinge besprechen, die sich seit dem letzten Audit geändert haben. Alles andere wäre eine unangemessene Zeitverschwendung. Gehen wir langfristige Verträge damit ein? Nein. Es steht Ihnen völlig frei, keine Re-Zertifizierung durchzuführen und es gibt keinen Zwang für einen Laufzeitvertrag. Es gibt bei uns keinen Laufzeitvertrag für das ADV-Audit. Wie sollen wir das Zertifikat verwenden? Das Zertifikat sollte von Ihnen auch werblich genutzt werden. Hängen Sie es aus, verweisen Sie auf Ihren Internetseiten darauf, legen Sie eine Kopie ebenfalls schon bei Angeboten dazu und verschaffen Sie sich so einen wesentlichen Wettbewerbsvorteil.

4 Datenschutzaudit / ADV-Audit Übersicht der Prüfpunkte als Orientierungshilfe (nicht vollständig!) 1 Datenschutzbeauftragter a. Bestellungsunterlagen b. Fachkunde c. Ausbildungsnachweise d. Weiterbildungen e. Zuverlässigkeit f. Interessenskonflikte g. Stellung h. Unabhängigkeit 2 Technische Maßnahmen BDSG a. Zutrittskontrolle b. Besucherregelung c. Alarmanlage d. Videoüberwachung e. Zugangskontrolle f. Zugriffskontrolle g. Weitergabekontrolle h. Eingabekontrolle i. Auftragskontrolle j. Verfügbarkeitskontrolle 3 Organisatorische Maßnahmen BDSG a. Verpflichtung der Mitarbeiter nach 5 BDSG b. Verpflichtung der Admins nach 88 TKG c. Unterauftragsverhältnisse (Reinigung, NDA) d. Dokumentationen e. Datenschutzkonzept f. Berechtigungskonzept g. Passwortkonventionen h. Datenschutzausbildung der Mitarbeiter i. Verfahrensbeschreibungen (intern und öffentlich) j. IT-Sicherheitsbeauftragter 4 Stichpunktprüfungen a. Serverraum b. Standorte c. Brandschutz d. Windows Server Bereitstellung e. Patch-Management f. Admin-Accounts (Hinterlegung) g. Firewall / DMZ h. Virenschutz i. Backup-Strategie j. Netze / WLAN k. Mobile Datenträger l. Notebooks / Smartphones m. Cloud-Dienste n. Notfallkonzept / Notfallplan (BCM)

5