Datenschutzaudit: Güteklasse A in Sachen Datenschutz?

BDSG – Grundlage des Datenschutzes in Deutschland

Das Bundesdatenschutzgesetz (BDSG) dient als wesentliche Grundlage des Datenschutzes in Deutschland. Es gibt öffentlichen und nicht öffentlichen Stellen vor, welche personenbezogenen Daten zu welchem Zweck und unter welchen Bedingungen erhoben und verarbeitet werden dürfen. Gerade im Wirtschaftssektor sind diese Datensätze von unschätzbarem Wert, sind sie doch Grundlage zahlreicher Verträge, Bonitätsprüfungen und Werbekampagnen.

Damit die Kundschaft größeres Vertrauen in die Datenerhebung und -verarbeitung des jeweiligen Unternehmens setzt, bestimmt § 9a BDSG die Möglichkeit, einen sogenannten Datenschutzaudit zu erhalten. Dieser soll darüber aufklären, dass die überlassenen personenbezogenen Daten bei der jeweiligen Stelle gut gesichert sind und die Datenschutzvorgaben eingehalten werden.

Was aber genau beschreibt der Datenschutzaudit? Welche Voraussetzungen müssen die Unternehmen erfüllen, um ihn zu erhalten?

Welche Aufgabe erfüllt der Datenschutzaudit?

Der Datenschutzaudit ist dem Grunde nach als Prüfungsprozess zu verstehen, in dessen Rahmen die Konzepte und Verfahren eines Unternehmens unter die Lupe genommen werden, die dieses für die Einhaltung des Datenschutzes errichtet hat.

Die Überprüfung der Datenschutzsysteme, der einzelnen Softwareelemente und Arbeitsabläufe übernehmen dabei unabhängige und zertifizierte Gutachter.

Nach abschließender Bewertung kann das betroffene Unternehmen die im Datenschutzaudit ermittelten Prüfergebnisse veröffentlichen, nachweisen, dass es die Anforderungen des Datensicherheit erfüllt und so das Vertrauen der Verbraucher stärken. Diese können auf Grundlage dieser Zertifizierung darauf bauen, dass die beim Unternehmen hinterlegten personenbezogenen Daten sicher aufbewahrt und bestmöglich vor unbefugtem Zugriff und Missbrauch geschützt sind.

Datenschutz gewährleistet? Der Audit nach § 9a BDSG

Der Datenschutzaudit ist nicht verpflichtend, sondern findet auf freiwilliger Basis statt. In § 9a Bundesdatenschutzgesetz wird lediglich die Möglichkeit eingeräumt, eine entsprechende Überprüfung durchführen zu lassen:

„Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen.“

Vertreiber von entsprechender Software sowie öffentliche und nicht öffentliche Stellen können also entweder einzelne Programme und Systeme auf die Gewährleistung vom Datenschutzrecht hin prüfen lassen oder aber deren gesamtes Datenschutzkonzept. Etwaige Fehler und Schwächen können so frühzeitig entdeckt und behoben werden.

In Satz 2 verweist § 9a BDSG auf ein eigens für den Datenschutzaudit geschaffenes Gesetz, das die Ausgestaltung der Überprüfung, die Zulassung geeigneter Prüfstellen und Grundlagen auf Bundesebene festlegen soll. Im Juli 2009 jedoch beschloss der Bundestag, dass das Datenschutzauditgesetz nicht verabschiedet werden solle. Eine eigens errichtete gesetzliche Grundlage fehlt für den nach BDSG zulässigen Audit beim Datenschutz also.

Wie läuft der Datenschutzaudit ab?

Im Folgenden soll ein kurzer Abriss zeigen, wie die Datenschutzprüfung dem Grunde nach durchgeführt wird:

1. Soll ein Datenschutzaudit erfolgen, wendet sich die jeweilige Stelle an eine zertifizierte externe Prüfstelle.
2. Die externen Gutachter arbeiten dann beim Datenschutzaudit einen Fragenkatalog ab und untersuchen das zu prüfende Konzept, Verfahren oder Produkt auf Herz und Nieren.
3. Werden in der ersten Prüfung Mängel oder Probleme bezüglich der Anforderungen festgestellt, ist die geprüfte Stelle angehalten, das Datenschutzkonzept oder betroffene Produkte zu überarbeiten. Wichtiger Teil der Errichtung eines geeigneten Datenschutzkonzepts ist die personelle Strukturierung im Unternehmen (z. B. Ernennung von einem Datenschutzbeauftragten). Teil des Konzepts sollten zudem auch periodische Zyklen sein, in denen eine regelmäßige Überprüfung der Maßnahmen erfolgt.
4. Nach jeder erfolgten Betriebsprüfung passt die jeweilige Stelle sodann ihre Datenschutzerklärung entsprechend an. Diese prüft der externe und unabhängige Gutachter und erteilt bei positivem Urteil ein Zertifikat. Die Datenschutzerklärung kann veröffentlicht werden.
5. Abschließend muss der Datenschutzaudit in einem zentralen Verzeichnis registriert werden. Erst hiernach darf die geprüfte und zertifizierte Stelle auch mit dem Gütesiegel werben.

Was wird beim Datenschutzaudit begutachtet? Eine Checkliste

Um den Prüfvorgang zu beschleunigen, können Unternehmen sich bereits vor Anfrage auf den gewünschten Datenschutzaudit vorbereiten. Im Folgenden stellen wir Ihnen eine Checkliste zur Verfügung, anhand derer Sie einsehen können, welche Sachverhalte die Gutachter beim Datenschutzaudit einer Prüfung unterziehen können. Dieser Fragenkatalog kann jedoch je nach Prüfstelle voneinander abweichen und dient damit nur als Exempel.

Checkliste als .PDF

(69 Bewertungen, Durchschnitt: 4,58 von 5)

Loading...

Über den Autor

Jana O.

Nach ihrem Studium der Ger­manis­tik, Philosophie und Englischen Literatur­wissenschaften an der Uni Greifswald fand Jana ihren Weg in unser Team. Seit 2015 unterstützt sie die Redaktion von datenschutz.org und verfasst Ratgeber zu verschiedenen Themen wie z. B. Passwortschutz und Cookie-Richtlinien.