Alle Verfahren im Unternehmen, die sich mit der Erfassung und Speicherung personenbezogener Daten befassen, müssen dokumentiert und bewertet werden. Jeder Unternehmer ist grundsätzlich nach Art. 30 EU-DSGVO verpflichtet, ein Verzeichnis über alle Verarbeitungstätigkeiten zu führen um zu dokumentieren, wie personenbezogene Daten verarbeitet werden und welche Risiken dabei entstehen.

Dieses Dokument ist Dreh- und Angelpunkt Ihrer Datenschutz-Dokumentation: Mit ihm lässt sich jederzeit nachvollziehen, welche Daten warum, durch wen, wie lange und auf welcher Rechtsgrundlage verarbeitet werden. Das Verzeichnis muss zwar nicht den betroffenen Personen zugänglich oder offengelegt werden, es dient vielmehr, außer der eigenen Qualitätskontrolle, als Nachweisdokument für die zuständige Aufsichtsbehörde. 

Datenschutz ohne IT-Sicherheit ist undenkbar. Daher wird in Art. 32 EU-DSGVO bezüglich des Datenschutzes die Sicherheit der Datenverarbeitung mit den Aspekten der Vertraulichkeit, der Integrität und der Verfügbarkeit in unmittelbare Abhängigkeit gesetzt.

Um diese Aspekte dauerhaft und zuverlässig erfüllen zu können, ist es meist unerlässlich, auf die Betreuung und Beratung fachkundiger Spezialisten zurückzugreifen. Technisch-organisatorische Maßnahmen zur IT-Sicherheit sind nicht nur eine unverbindliche Empfehlung, sondern eine rechtliche Pflicht seitens der Geschäftsführung.

Empfehlenswert ist es, geeignete IT-Sicherheitsrichtlinien zu erstellen, die durch gelebte Praxis ihre Wirkung im Arbeitsalltag entfalten. Sie sind verpflichtend für Mitarbeiter und Auftragnehmer und können wirtschaftliche Schäden in Ihrem Unternehmen verhindern und Risiken minimieren.

Aufgrund der Vielzahl aktueller und neuartiger Bedrohungen in der IT-Sicherheit und im Datenschutz kommt dem Mitarbeiter eine besondere Rolle zu: Er wird zur wesentlichen Schwachstelle in einem ansonsten technisch sicheren System. 

Unkenntnis und fahrlässiges Handeln können nicht nur zu Datenschutzverstößen führen. Vor allem die Bedrohung durch Schadsoftware oder "social hacking" gefährden Unternehmen bis hin zum Totalverlust. Angriffe durch Hacker oder Verschlüsselung kompletter Netzwerke hat nichts mehr mit der Größe eines Unternehmens oder etwaigen Betriebsgeheimnissen zu tun. Möglliche Ziele sind mittlerweile alle Unternehmen. 

Sensibilisieren Sie Ihre Mitarbeiter in sogenannten "Awareness-Schulungen" für die extremen Gefahren, die falsches Handeln haben kann. Das Risiko eines verheerenden Schadens läßt sich nicht versichern - und die Verantwortung tragen Sie.