DSGVO

Die Datenschutz-Grundverordnung (DSGVO, englisch GDPR) regelt den Umgang mit Personendaten in der EU. Sie gilt seit Mai 2018 und auch für Unternehmen ausserhalb der EU, die Personen in der EU Waren oder Dienste anbieten oder ihr Verhalten in der EU beobachten.

So funktioniert es

Die DSGVO verlangt eine Rechtsgrundlage für jede Bearbeitung von Personendaten. Sie gibt betroffenen Personen Rechte auf Auskunft, Berichtigung und Löschung. Unternehmen müssen angemessene technische und organisatorische Massnahmen treffen.

Eine Verletzung des Schutzes personenbezogener Daten ist der Aufsicht innert 72 Stunden nach Bekanntwerden zu melden, ausser sie führt voraussichtlich zu keinem Risiko. Bei hohem Risiko sind auch die Betroffenen zu informieren. Die Bussen können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.

Ein Beispiel aus der Praxis: Ein Schweizer Onlinehändler verkauft auch nach Deutschland. Ein Angreifer liest über eine Schwachstelle Kundendaten aus. Für die deutschen Kundinnen und Kunden gilt die DSGVO. Der Händler muss den Vorfall innert 72 Stunden melden und braucht dafür rasch klare Angaben zu betroffenen Daten und Personen.

Worauf Sie achten sollten

• Prüfen Sie, ob Sie Personen in der EU gezielt ansprechen. Dann gilt die DSGVO auch für Sie.
• Benennen Sie bei Bedarf eine Vertretung in der EU.
• Halten Sie ein Verzeichnis der Bearbeitungstätigkeiten aktuell.
• Legen Sie einen Ablauf für Datenschutzvorfälle fest, der die 72-Stunden-Frist einhält.

Schweiz und Regulierung

Die Schweiz hat mit dem revDSG ein eigenes Gesetz, das der DSGVO in vielen Punkten ähnelt. Die EU anerkennt das Datenschutzniveau der Schweiz als angemessen. Für Schweizer Firmen mit EU-Bezug gelten oft beide Gesetze nebeneinander.

Bezug zum SOC

Logs im SOC enthalten Personendaten wie Namen, IP-Adressen und Anmeldezeiten. Ihre Bearbeitung braucht einen klaren Zweck und eine festgelegte Aufbewahrung. Gleichzeitig liefert das SOC die Fakten, die für eine Meldung nötig sind.

So setzen wir es um

Die Datenhaltung erfolgt in der Schweiz oder der EU. Bei einem Vorfall liefern wir die Angaben für Ihre Meldung.