Informationssicherheit und Datenschutz
Informationssicherheit
Informationssicherheit schützt Informationen und Systeme nach den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit. Norm ISO 27001 mit ISMS (Managementsystem), Risikoanalyse, Maßnahmenkatalog (Annex A), kontinuierliche Verbesserung. Ergänzend BSI-Grundschutz mit Bausteinen, Gefährdungskatalogen und IT-Grundschutz-Kompendium. Wichtige Konzepte: Least Privilege, Need-to-know, Defense in Depth, Patch- und Backup-Management, Incident Response, Awareness-Schulung, Passwort- und MFA-Regeln.
Datenschutz
Datenschutz schützt personenbezogene Daten natürlicher Personen. Grundsätze nach DSGVO Art. 5: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität/Vertraulichkeit, Rechenschaftspflicht. Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse. Rechte der Betroffenen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch. Bei Verletzungen: Meldung an Aufsichtsbehörde binnen 72 Stunden, bei hohem Risiko Benachrichtigung der Betroffenen. Datenschutzbeauftragter, Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsvertrag, Datenschutz-Folgenabschätzung sind Pflichtinstrumente.
Abgrenzung und Fallen
Häufig wird Datenschutz mit Informationssicherheit gleichgesetzt – Datenschutz ist rechtlich, Informationssicherheit technisch-organisatorisch. Weitere Fallen: Einwilligung im Beschäftigtenverhältnis als Standard; Videoüberwachung ohne Zweckbindung und Löschkonzept; Meldung von Datenschutzverletzungen erst nach Tagen; Auftragsverarbeitung ohne Vertrag; Passwort-Weitergabe; fehlende Awareness.
Faustregel
Datenschutz-Check: (1) Rechtsgrundlage? (2) Zweckbindung? (3) Erforderlich und datenminimierend? (4) Löschkonzept? (5) Betroffenenrechte erfüllbar? (6) Dokumentation und Verzeichnis gepflegt?