Im Mai 2018 ist die europaweite Datenschutz-Grundverordnung (DSGVO) in Kraft getreten und immer noch herrscht Verwirrung über die richtige Handhabung der vielen Vorschriften. Unternehmer haben Seminare zu dem Thema besucht, sich eingelesen oder Datenschutzbeauftragte ernannt und die Verantwortung in deren Hände gelegt.

Das ist wichtig und löblich, dennoch gibt es immer wieder blinde Flecken. Speziell bei Backups wird erstaunlich wenig Wert auf die korrekte Handhabung gelegt. Oder wann haben Sie das letzte Backup gemacht und wissen Sie auf Anhieb, wo Ihre Backups physisch liegen?

Grundsätzliche Bestimmungen

In Artikel 5 der DSGVO wird gefordert, dass personenbezogene Daten so verarbeitet werden, dass eine angemessene Sicherheit der Daten ebenso gewährleistet wird wie der Schutz vor unbefugter oder unrechtmäßiger Verarbeitung. Aber auch unbeabsichtigter Verlust, Zerstörung und Schädigung der Daten müssen nach bestem Wissen und mit Einsatz geeigneter Mittel verhindert werden.

Darüber hinaus verlangt Artikel 32, dass die Verfügbarkeit der personenbezogenen Daten und der Zugang dazu auch nach einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden können müssen.

Es muss also regelmäßig ein vollständiges und sicheres Backup der Daten erstellt werden. Die Regelmäßigkeit richtet sich dabei nach der Fluktuation der Daten. Ein Web-Shop wird täglich neue, personenbezogene Daten im System erfassen und muss entsprechende Backups davon erstellen. In einer Event-Agentur werden sich die betreffenden Daten nur bei Neuaufträgen oder neuen Lieferanten ändern.

Backup mit Konzept

Um Probleme zu vermeiden, sind einige Punkte zu beachten bei der korrekten Datensicherung.  Allem voran muss natürlich verhindert werden, dass die Daten verloren gehen. Das kann passieren, wenn das Netzwerk lückenhaft ist und nicht alle Endgeräte (auch mobile Geräte!) im Backup-Konzept berücksichtig sind oder wenn die Datenträger beispielsweise durch einen Einbruch verloren gehen oder bei einem Brand- oder Wasserschaden zerstört werden.

Um die physische Zerstörung zu verhindern, eignet sich die Aufbewahrung der Daten in einem Safe oder Tresor. Dort sollten ohnehin auch alle wichtigen Papiere, Schlüssel und Bank- und Steuerunterlagen aufbewahrt werden.

Für alles andere braucht es ein durchdachtes Konzept, das eine zeitliche und systematische Regelmäßigkeit einschließt. Dafür gibt es unterschiedliche Tools und Dienste, die allerdings folgende Kriterien erfüllen sollten:

• das Backup soll automatisiert im Hintergrund laufen können und keine Auswirkung auf den laufenden Betrieb haben (Stichwort Verlangsamung des Systems)
• es soll ein Protokoll über die einzelnen Backups erstellt werden
• das Backupsystem sollte nicht nur die Hardware, sondern auch alle Betriebssysteme, inklusive mobiler Geräte und die Cloud unterstützen und erfassen
• die Auswahl, der zu sichernden Daten sollte schnell und einfach erfolgen können
• es muss eine klare Benutzerverwaltung mit eindeutiger Hierarchie geben
• bei Problemen mit dem System sollte eine Benachrichtigung via E-Mail oder SMS verschickt werden
• Das Backup-System selbst muss abgesichert sein, und sollte ein Backup-Server im Einsatz sein, muss die Datenübertragung verschlüsselt funktionieren

Wirklich alles sichern – aber auch löschen

Zu einem sicheren und erfolgreichen Backup-Konzept gehört es auch, dass ganz klar definiert ist was und aus welcher Quelle überhaupt gespeichert werden soll. Gerne werden hier mobile Geräte und die Cloud-Dienste übersehen. Es müssen auch alle Mitarbeiter über die Backup-Policy im Unternehmen Bescheid wissen – und gegebenenfalls immer wieder daran erinnert werden damit sie das Backup nicht ungewollt torpedieren.

Wenn dann alle Daten sicher auf einem Backup verwahrt sind, stellt sie die Frage, wie man sie wieder löscht. Das betrifft nicht nur den Artikel 17 der DSGVO, der das Recht einräumt eigene personenbezogene Daten löschen zu lassen.

Generell müssen Unternehmen personenbezogene Daten nicht nur in einer Form speichern (und sichern), die es nur so lange ermöglicht eine betroffene Person zu identifizieren, wie es für den Zweck des Geschäfts notwendig ist. Diese Daten müssen nach Gebrauch sofort gelöscht werden. Und das auch aus dem Backup.

Daher ist es so wichtig, dass auch im Backup-System eine Selektion der Daten einfach und übersichtlich erfolgen kann. Eine Überprüfung des eigenen, aktuellen Backup-Systems ist also in jedem Fall eine gute Idee.

Neben dem Thema Backup gilt es auch noch viele andere Dinge bei der DSGVO zu beachten, aber das ist eine andere Geschichte…

Pin it!