Stellen Sie sich vor, Sie bauen ein Haus. Bevor Sie anfangen, Nägel zu schlagen oder Wände zu streichen, brauchen Sie einen soliden Bauplan.
Das Gleiche gilt für Ihr Datenschutzprogramm, und der erste entscheidende Schritt zur Erstellung dieses Plans ist die Durchführung einer Dateninventur.
Ein Dateninventar ist die Grundlage für ein umfassendes Datenschutzprogramm für Ihr Unternehmen.
Es ermöglicht Ihnen, den Umfang und die Komplexität der Datenverarbeitung in Ihrem Unternehmen zu verstehen und Datenschutzrisiken proaktiv anzugehen.
Wenn Sie wissen, welche Daten Sie besitzen, wo sie gespeichert sind und wie sie erfasst, verarbeitet und weitergegeben werden, erhalten Sie einen umfassenden Überblick über Ihre Datenlandschaft.
Lassen Sie uns untersuchen, warum ein Dateninventar der Ausgangspunkt für Ihr Datenschutzprogramm sein sollte.
Was ist ein Dateninventar?
Ein Dateninventar ist eine allumfassende Karte der personenbezogenen Daten, die Ihr Unternehmen durchlaufen.
Er dient als Katalog aller Daten, die Ihr Unternehmen besitzt, einschließlich aktueller Angaben zu den Daten und ihren Quellen - und unterliegt möglicherweise den geltenden Datenschutzgesetzen.
Bei ordnungsgemäßer Durchführung sollte Ihr Dateninventar Aufschluss darüber geben, wo sich die Daten Ihres Unternehmens sicher befinden, wie sie beschafft wurden und welche Zwecke Sie mit der Verarbeitung der Informationen verfolgen.
Wie sollte eine Dateninventur durchgeführt werden?
Wie sollte also eine Dateninventur durchgeführt werden? Ist es besser, einen System- oder einen Geschäftsprozessansatz zu wählen?
Schauen wir uns die möglichen Vor- und Nachteile beider Methoden an, damit Sie den besten Ansatz für Ihr Unternehmen wählen können.
Systemorientierter Ansatz
Einige Unternehmen beginnen mit einem Systemansatz, bei dem eine Liste aller Orte erstellt wird, an denen Daten gespeichert sind, wie Software, Datenbanken und Netzlaufwerke.
Dieser Ansatz bietet zwar einen Überblick über die Speicherorte der Daten, kann aber aus Sicht des Datenschutzes zu kurz greifen.
Um beispielsweise die Praktiken der Datenverarbeitung wirklich zu verstehen, ist es wichtig, tiefer in die Materie einzutauchen:
- Wie Daten gesammelt werden
- Wie die Daten verwendet werden
- Wo die Daten gespeichert werden
- An wen die Daten weitergegeben werden.
Wenn Sie jedoch einen systemischen Ansatz verfolgen, können Sie möglicherweise die Antwort Ihres Unternehmens auf diese spezifischen Fragen nicht bestimmen.
Aus diesem Grund empfehlen wir dringend, eine Dateninventur aus der Sicht der Geschäftsprozesse durchzuführen, die viel gründlicher und effektiver ist.
Geschäftsprozess-Ansatz
Ein Dateninventar mit einem Geschäftsprozessansatz geht über eine einfache Auflistung der Speicherorte hinaus. Es geht weiter und konzentriert sich auf das Verständnis der verschiedenen Verarbeitungstätigkeiten, die in Ihrem Unternehmen stattfinden.
Sie könnten zum Beispiel Marketingaktivitäten wie diese untersuchen:
- E-Mail-Marketing
- Digitale Analytik
- Gezielte Werbung
- Kundenbefragungen
- Webinare.
Bei jeder dieser Tätigkeiten werden personenbezogene Daten auf unterschiedliche Weise erfasst und verwendet, auch wenn sie im selben System gespeichert sind.
Wenn Sie eine Dateninventur durchführen und diese auf der Ebene der Geschäftsprozesse dokumentieren, können Sie besser verstehen, wie Ihr Unternehmen Daten sammelt und verwendet.
Dieses Verständnis ist besonders wichtig bei der Abfassung eines Datenschutzhinweises.
Wir müssen in der Lage sein, die verschiedenen Zwecke der Datenverwendung in unserem Datenschutzhinweis aufzuführen, und wir müssen in der Lage sein, zu verstehen, wie die Daten verarbeitet werden, wenn wir Anfragen zu individuellen Rechten nachkommen.
Datenschutz-Folgenabschätzungen
Ein weiterer Grund, warum wir einen unternehmensbezogenen Ansatz empfohlen haben, ist, dass er die notwendigen Erkenntnisse liefert, um Anträge auf individuelle Rechte zu berücksichtigen und festzustellen, wann eine Datenschutz-Folgenabschätzung oder eine PIA gesetzlich vorgeschrieben ist.
Die Bewertung von Datenschutzrisiken und deren Abschwächung wird einfacher, wenn man über das Wissen verfügt, das man aus dem Datenbestand gewonnen hat.
Dieses Verfahren ermöglicht es Ihnen, potenzielle Schwachstellen effektiv zu ermitteln und Ihre Datenschutzbemühungen zu priorisieren. Außerdem können Sie die Wahrscheinlichkeit von Datenschutzverletzungen und anderen Datenschutzvorfällen minimieren, indem Sie gezielte Sicherheitsvorkehrungen und Kontrollen einführen.
Wie können Unternehmen vom Aufbau eines Datenbestands profitieren?
Unternehmen profitieren in mehrfacher Hinsicht vom Aufbau von Datenbeständen, z. B. bei der Einhaltung von Rechtsvorschriften und beim Aufbau und Erhalt des Kundenvertrauens.
Im nächsten Abschnitt werden wir die spezifischen Vorteile im Detail erörtern.
Sichtbarkeit und Rechenschaftspflicht
Ein Dateninventar gibt Ihnen einen klaren Überblick über alle Daten, die durch Ihr Unternehmen fließen.
Sie können sehen, woher die Daten kommen, um welche Art von Daten es sich handelt und wie sie sich bewegen.
Diese erhöhte Transparenz hilft Ihnen nicht nur, die mit jedem Datensatz verbundenen Datenschutzrisiken zu verstehen, sondern fördert auch eine Kultur der Verantwortlichkeit.
Wenn jeder in Ihrem Unternehmen weiß, wie wichtig ein verantwortungsvoller Umgang mit Daten ist, können Sie bei Ihren Kunden und Interessengruppen Vertrauen aufbauen.
Einhaltung von Vorschriften
Die Datenschutzgesetze legen strenge Richtlinien fest, die Unternehmen bei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten von Nutzern befolgen müssen.
Ein Dateninventar hilft Ihnen bei der Einhaltung einiger Aspekte dieser Gesetze.
So verlangen beispielsweise Datenschutzvorschriften wie die Allgemeine Datenschutzverordnung (DSGVO) und der California Consumer Privacy Act(CCPA) verlangen von den Unternehmen ein umfassendes Verständnis darüber, wie sie ihre Daten verarbeiten.
Indem Sie Ihr Dateninventar mit diesen verschiedenen rechtlichen Anforderungen abgleichen, können Sie potenzielle Risikobereiche identifizieren und proaktiv beseitigen.
Es ist, als hätte man einen Kompass, der einem den Weg durch den Datenschutzdschungel weist.
Kundenvertrauen aufbauen
Das Vertrauen der Kunden ist der Eckpfeiler eines jeden erfolgreichen Unternehmens.
Sie sind von unschätzbarem Wert, und wenn Ihre Kunden wissen, dass Sie ihre Daten sorgfältig schützen, fühlen sie sich wohler, wenn sie mit Ihnen Geschäfte machen.
Indem Sie Ihr gut strukturiertes Datenschutzprogramm mit einer Dateninventur beginnen, senden Sie eine deutliche Botschaft an Ihre Kunden, dass ihre Privatsphäre höchste Priorität hat.
Dieses Messaging sorgt für eine langfristige Loyalität und schafft eine Win-Win-Situation für Sie und Ihre Kunden.
Optimierung der Ressourcen
Durch das Verstehen und Abbilden Ihrer Datenflüsse erhalten Sie wertvolle Einblicke in den Lebenszyklus und die Nutzungsmuster der Daten.
Indem Sie Ihre Datenschutzbemühungen auf die Bereiche konzentrieren, in denen sie am dringendsten benötigt werden, können Sie Ihre Abläufe optimieren, Ressourcen effizienter zuweisen und Risiken minimieren.
Wettbewerbsvorteil
Das Engagement für den Datenschutz kann auf dem heutigen Markt ein starkes Unterscheidungsmerkmal sein und Ihnen einen Wettbewerbsvorteil verschaffen.
Die Kunden entscheiden sich eher für Ihr Unternehmen als für die Konkurrenz, wenn sie glauben, dass ihre Daten in sicheren Händen sind.
Indem Sie Ihr Engagement für den Datenschutz durch ein umfassendes Datenschutzprogramm demonstrieren, heben Sie sich von der Masse ab und verschaffen sich einen Wettbewerbsvorteil.
Wie man ein Dateninventar aufbaut
Wie sollten Sie also ein Dateninventar dokumentieren oder damit beginnen? Es gibt mehrere Möglichkeiten, jede mit ihren eigenen Vor- und Nachteilen.
Do-It-Yourself-Ansatz
Eine einfache und kosteneffiziente Methode ist die Verwendung einer manuellen Do-it-yourself-Methode, z. B. einer Tabellenkalkulation oder eines ähnlichen Programms wie z. B.:
- Airtable
- Basecamp
- Google Docs
- Google Sheets
- Microsoft Excel
Die DIY-Option ermöglicht einen einfachen Start, aber es gibt auch einige Nachteile.
Zum einen kann es Einschränkungen in Bezug auf die Berichterstattung geben.
Und zweitens kann es zeitaufwändig sein, das Inventar zu aktualisieren, da die Daten zu einem bestimmten Zeitpunkt erfasst werden.
Spezifische Software verwenden
Die nächste Option, die einen Schritt weiter geht als der DIY-Ansatz, ist die Verwendung von Software, die Online-Assessments nutzt, um Informationen während des Interviewprozesses zu sammeln.
Dieser Ansatz strafft den Prozess, hilft bei der Berichterstattung und bietet die Flexibilität, bei Bedarf Aktualisierungen vorzunehmen, z. B. neue Fragen oder Antwortmöglichkeiten hinzuzufügen.
Implementierung eines vollständig automatisierten Prozesses
Schließlich gibt es noch die Möglichkeit eines vollständig automatisierten Prozesses, bei dem die Systeme mit Automatisierungswerkzeugen für die Dateninventarisierung verbunden sind.
Diese Tools können die in jedem System verwendeten Datenelemente abrufen und abschätzen, wie die Daten verarbeitet werden könnten.
Ein vollautomatischer Ansatz bietet eine höhere Genauigkeit, aber es ist immer noch unerlässlich, dass ein Datenschutzexperte das Inventar überprüft und validiert und auf folgende Punkte achtet:
- Genauigkeit
- Risiken für die Privatsphäre
- Logische Kohärenz (d. h. Sicherstellung, dass das, was dokumentiert ist, einen Sinn ergibt)
Aktualisierung und Prüfung Ihres Datenbestands
Die Erstellung eines Dateninventars ist nur der erste Schritt. Sie müssen auch einen fortlaufenden Plan erstellen, um Ihr Dateninventar in absehbarer Zukunft zu überprüfen und zu überarbeiten.
Die regelmäßige Aktualisierung und Prüfung des Datenbestands ist unerlässlich, damit Sie über alle Änderungen bei der Datennutzung informiert sind und die neuesten Datenschutzvorschriften einhalten können.
Die Häufigkeit der Aktualisierungen hängt vom Grad der Veränderungen innerhalb Ihrer Organisation ab.
Eine jährliche oder halbjährliche Überprüfung kann für einige Unternehmen ausreichend sein, während andere monatliche Aktualisierungen benötigen.
Ein automatisiertes System kann dabei helfen, einen regelmäßigen Rhythmus für die Aktualisierung der Datenelemente festzulegen, wobei die Teammitglieder bei Bedarf alle Risiken oder Änderungen überprüfen und identifizieren können.
Zusammenfassung
Dateninventare sind für die Erstellung und Umsetzung eines effizienten und effektiven Datenschutzprogramms für Ihr Unternehmen unerlässlich.
Wenn man sich bei der Durchführung eines Datenschutzprogramms auf ein Dateninventar verlässt, wird die Einhaltung der geltenden Datenschutzgesetze wesentlich einfacher.
Bei einem Datenschutzprogramm geht es jedoch nicht nur um die Einhaltung rechtlicher Verpflichtungen. Es ist auch der erste Schritt zum Aufbau von Vertrauen bei Ihren Kunden.
Indem Sie den Datenschutz als zentralen Wert anerkennen und eine umfassende Dateninventur durchführen, können Sie eine solide Grundlage für den Aufbau dieses Vertrauens und den Erfolg Ihres Unternehmens schaffen.
Es ist eine gute Idee, noch heute damit anzufangen.
Mehr über die Autorin
Geschrieben von Jodi Daniels, CIPP/US
Jodi Daniels ist Gründerin und CEO von Red Clover Advisors, einem Beratungsunternehmen für den Datenschutz, das die Einhaltung von Datenschutzbestimmungen vereinfacht, Unternehmen dabei hilft, Vertrauen bei ihren Kunden aufzubauen, und als ausgelagerte Datenschutzbeauftragte für Organisationen fungiert. Jodi ist Certified Information Privacy Professional (CIPP), nationale Keynote-Speakerin, Co-Moderatorin des hochrangigen She Said Privacy / He Said Security Podcast, Co-Autorin des Wall Street Journal & USA Today Bestsellers Data Reimagined: Vertrauen aufbauen - ein Byte nach dem anderen.
Mehr über die Autorin
