Konzentrieren Sie sich aufs Wesentliche
Profitieren Sie von kurzen, kompakten und verständlichen Beiträgen.
Wenn Datenschutzschulungen zu gut sind
DP+
Risikoeinstufung personenbezogener Daten
Als Datenschutzbeauftragter frage ich mich bei Datenschutzschulungen immer wieder, ob die Teilnehmenden wirklich gelernt haben, was ich ihnen beibringen wollte. Die Beratung bei einer ISO-27001-Zertifizierung gab mir in einem Fall einen äußerst überraschenden Einblick.
In meinen Schulungen weise ich stets darauf hin, dass personenbezogene Daten gut zu schützen sind, klar. Grundsatz: oft hohes Risiko für Persönlichkeits- und Freiheitsrechte.
Bei einem Unternehmen arbeitete ein Projektteam in der Vorbereitung auf die Zertifizierung nach DIN ISO/EC 27001:2022 gerade an der Asset-Liste. Es sollte also die Werte ermitteln, die die Informationen des Unternehmens besaßen. Ich erhielt die Anfrage, ob ich dabei unterstützen könne.
So viel hohes Risiko?!
Normalerweise gibt es hier eine gleichmäßige Risikoverteilung. Etwa zehn bis 20 Prozent der Assets sind mit einem sehr hohen Risiko versehen, der Rest liegt bei hoch, normal oder gering. Erstaunlich war, dass es hier umgekehrt war: 80 Prozent der Assets waren auf sehr hohes Risiko eingestellt. Mit hohem Aufwand für deren Schutz. Man bat mich, zu unterstützen, denn da seien personenbezogene Daten im Spiel.
Des Rätsels Lösung: Da ich in meinen Schulungen immer betont hatte, dass personenbezogene Daten für den Datenschutz ein hohes Risiko bedeuten können, war die Einteilung hier genauso ausgefallen: Immer dann, wenn klar war, dass bei einem Asset personenbezogene Daten im Spiel sind, hatte das Team dies als mit sehr hohem Risiko behaftet eingestuft.
Entwarnung!
Allerdings geht es hier ja nicht um eine Zertifizierung des Datenschutzes, sondern um eine der Informationssicherheit. Da sind personenbezogene Daten zwar auch wichtig, und die Anforderungen sind mit Vertraulichkeit, Verfügbarkeit sowie Integrität dieselben. Allerdings steht der Schutz personenbezogener Daten nicht im Vordergrund. …
Weiterlesen mit DP+
Sie haben noch kein Datenschutz-PRAXIS-Abo und möchten weiterlesen?
Verfasst von
Eberhard Häcker
Eberhard Häcker ist seit vielen Jahren als externer Datenschutzbeauftragter tätig. Seit 2005 ist Eberhard Häcker selbstständig mit Schwerpunkt Datenschutzberatung.
