Datenpannen in der Praxis: Die DSGVO und Datenträger

Als Datenträger versteht die DSGVO jedes Medium, auf dem personenbezogene Daten abgebildet, geschrieben oder gespeichert sein können. Somit zählen als Datenträger Visitenkarten, Fotos, Papierdokumente, CDs, USB-Sticks, externe Festplatten, Laptops oder Festplattenspeicher im Server.

Viele denken, dass der Verlust oder Diebstahl von Datenträgern häufig im mobilen Außendienst geschieht, der möglicherweise unverschlüsselte Kundendaten auf einem Speichermedium mit sich führt. Allerdings wird der steigende Trend zum Homeoffice unterschätzt, denn immer mehr Mitarbeiter nehmen Datenträger für die Arbeit mit nach Hause. Für ein Unternehmen ist es schwer zu beurteilen, wie sicher die Datenträger im Homeoffice wirklich sind. Deshalb ist eine Datenschutzrichtlinie für Homeoffice mit Datenträgern unerlässlich.

Oftmals wird das Risiko eines Einbruchs Zuhause auf Grund von kaum vorhandenen Wertgegenständen unterschätzt. Kommt es doch zu einem Vorfall, kann auch der dienstliche Laptop entwendet werden. Deswegen sollten personenbezogene Daten immer so gespeichert sein, dass Einbrecher diese nicht verwerten können. Voraussetzung hierbei ist eine konsequente Datenträgerverschlüsselung, also das "unlesbar" machen der Daten ohne den richtigen Schlüssel, und die sichere Löschung von sensiblen Daten auf unverschlüsselten Speichermedien.

Der Verlust beziehungsweise Diebstahl von Geräten, Datenträgern oder Unterlagen belegt mit 10,19 % der gemeldeten Datenschutzpannen den 3. Platz. (gem. Statistik der Datenschutzaufsicht von Hessen)

Nicht nur bei einem Verlust oder Diebstahl von Datenträger können Daten in die falschen Hände gelangen. Beispielsweise, wenn alte oder defekte Speichermedien im Müll landen oder ohne vorherige Sicherheitsmaßnahmen verkauft werden. Obwohl die DIN 66399, die die bundesweite Aktenvernichtung regelt, seit 1. Oktober 2012 gilt, sind sich viele Unternehmen über die richtige Entsorgung immer noch nicht bewusst und Verantwortliche haben die entsprechenden Konzepte und Bestandsverträge noch nicht angepasst. Teilweise wurden Festplatten auf Flohmärkten gefunden, auf denen sensible Daten unverschlüsselt und unzureichend gelöschte Bankunterlagen gespeichert waren.

Um eine Datenschutzpanne zu vermeiden, dürfen USB-Sticks und Festplatten, ebenso wie Papierdokumente mit personenbezogenen Daten, nicht im normalen Müll entsorgt werden. Vielmehr muss es zum Beispiel innerhalb eines geschützten Rechenzentrums Sammelbehälter für defekte Festplatten geben. Diese werden dort für die Entsorgung deponiert und von einem entsprechenden Unternehmen mit der vorgegebenen Sicherheitsstufe vernichtet. Das Wichtigste hierbei: eine lückenlose Dokumentation bei der Beauftragung der Entsorgung, denn auch hier besteht das Risiko für Datenschutzmängel. Die Dokumentation kann von Aufsichtsbehörden regelmäßig kontrolliert werden.

Vor allem empfindliche Daten, wie Patientenakten, die einer sehr langen Aufbewahrungspflicht (zum Teil 30 Jahre) unterliegen, müssen richtig gelagert und so vor Schäden geschützt werden. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit empfiehlt bei einer Lagerung im Keller, die Feuchtigkeit und Temperatur so zu regulieren, dass diese immer gleichbleiben.