Unsere Leistungen
analysieren • bewerten • umsetzen
Audit
Wir bevorzugen einen systemischen Ansatz an Datenschutzaudits unter Beachtung der wesentlichen Anforderungen:
-
Etablierung eines Verfahrens
-
Wiederholbarkeit
-
Überprüfungsform
-
Bewertung und Evaluierung der Wirksamkeit von Massnahmen
-
risikobasierten Ansatz
in einer Mischform aus Compliance-, System- und Prozessaudit.
Die Auditprinzipien der ISO 19011:2018 bilden die Grundlage für die Arbeit der Auditoren bei der Prüfung des (Datenschutz-) Managementsystems beim Kunden:
-
Integrität
-
sachliche Darstellung
-
angemessene beruflich Sorgfalt
-
Vertraulichkeit hinsichtlich der Sicherheit von Informationen
-
Unabhängigkeit
-
faktengestützter Ansatz
Risikoanalyse
Aufsichtsbehörden setzen ein betriebliches Risikomanagement Datenschutz voraus. Folgende Punkte stehen hierbei im Fokus:
-
kann ein angemessenes Schutzniveau der technisch organisatorischen Massnahmen im Unternehmen und bei den Dienstleistern gewährleistet werden?
-
gibt es Prozesse zur Überprüfung der Sicherheit der Verarbeitung gemäss Art. 8 revDSG
-
sind Verarbeitungen von pbD mit einem voraussichtlich hohen Risiko für Rechte und Freiheiten betroffener Personen identifiziert?
-
ist sichergestellt, dass Datenschutzverletzungen erkannt werden? Gibt es Methoden zur Ermittlung eines Risikos oder eines hohen Risikos?
-
besteht die Möglichkeit im Unternehmen eine Risikofolgenabschätzung bzw. zunächst eine Schwellwertanalyse durchzuführen?
Ein mangelhaftes oder fehlendes Risikomanagement kann als Compliance-Verstoss gewertet werden und weitere Verstösse begründen:
-
rechtliche Risiken der Nichteinhaltung gesetzlicher Vorgaben (Strafen, Bussgelder, Unterlassungsansprüche), finanzielle Risiken (z.B. Schadensersatzansprüche; Aufwand für Ä̈nderungen an IT-Verfahren zur Erreichung eines regelkonformen Zustands; Aufwendungen zur Bearbeitung und Folgenbehebung von «Datenpannen»),
-
Reputationsrisiken (z.B. auf Grund negativer Berichterstattung in Medien oder wegen kritischer Kundenäusserungen in sozialen Medien bis hin zu sog. «shitstorms»), -
Geschäfts- und organisatorische, meist innengerichtete Risiken (z.B. die Nichterreichung von Geschäftszielen, die intensive Inanspruchnahme von Managementkapazität).
Datenschutz im Unternehmen muss «lebendig» bleiben. Ein effizientes Datenschutzmanagement ist unerlässlich, wobei das Risikomanagement ein Baustein des allgemeinen Datenschutz-managements sein sollte mit dem Ziel:
-
frühzeitig Risiken zu erkennen, bewerten und zu minimieren bzw. vermeiden
-
angemessene Massnahmen zum Datenschutz zu ergreifen
-
Kenntnis der Verantwortlichen (HME – höchste Management Ebene) der Datenschutz-Risiken
-
Abwägung unternehmerische Interessen und Datenschutz-Risiken
Seiner Organisationspflicht genügt ein Vorstandsmitglied bei entsprechender Gefährdungslage in der Regel nur dann, wenn er eine auf Schadensprävention und Risikokontrolle angelegte Compliance- Organisation einrichtet.
Spannungsfelder sind:
-
alle Unternehmensbereiche sind betroffen
-
gegebenenfalls EU-weit geltender Rechtsrahmen mit nationalen Besonderheiten
-
Rechtsunsicherheiten
-
Sanktionen und Bussgelder
-
Nachweispflicht
Gerne unterstützen wir Sie in der neutralen Analyse:
-
Analyse pro Abteilung
-
Ermittlung von Risikofaktoren
-
Einordnung in Daten-Schutzstufen
-
Umfassende Beurteilung und Bewertung
Dokumentation
Nehmen Sie den Papierkram in Angriff und erkennen Sie den Mehrwert.
Durch das Datenschutzgesetz legt die Gesetzgebung diverse Dokumentationen vor, welche oft als mühselige Bürokratie angesehen werden könnten. Doch saubere Prozesse, klare Anweisungen, detaillierte Berichte und Regelungen bringen KMU Synergieeffekte und deutliche Mehrwerte. Sie schützen sich vor Fehlern, schaffen Transparenz und erleichtern Ihnen den Arbeitsalltag.
Umsetzung
Unser «Baukasten» an vorgefertigten Compliance-Dokumenten entsprechen den gesetzlichen Anforderungen und können an die Bedürfnisse Ihres Unternehmens angepasst werden.
Diese Baukasten-Module umfassen u. a.:
-
Datenschutz-Reglement
-
Einwilligungen
-
Verzeichnis Bearbeitungstätigkeiten
-
Auftragsbearbeitungsverträge
-
Verschwiegenheitsverpflichtungen
-
Prozessdokumentationen
-
Datenschutzerklärungen
-
Planunterlagen für eine Datenschutzfolgenabschätzungen (vorgängig Schwellwertanalyse)
-
Prozess Meldungen bei Datenpannen
-
Prozess Beauskunftung
-
Checklisten und weitere Dokumentationen
Beratung
Seien Sie mutig, Wissenslücken einzugestehen und vertrauen Sie auf kompetente, fachkundige Beratung. Das neue Datenschutzgesetz wird unter Berücksichtigung moderner Technologien den Anforderungen unserer Zeit gerecht. Vieles erscheint aber genau deshalb fremd und besonders kompliziert. So werden auch Sie mit vielen Fragen konfrontiert. Kunden, Externe sowie Mitarbeitende erwarten Antworten, welche fundierte IT-Kenntnisse, allgemeine Datenschutz-Praktiken sowie Kenntnisse über die detaillierte Gesetztes-Verordnungen voraussetzen.
Doch seien Sie unbesorgt. Wir sind Ihre Anlaufstelle und beraten Sie kompetent bei einzelnen spezifischen Fragen aber auch vollumfänglich im Bereich Datenschutz und Sicherheit.
Campus - Mitarbeiterschulung
Machen Sie Ihre Mitarbeiter fit und schliessen Sie die verbleibenden Sicherheitslücken.
Sicherheitslücken können durch technische Massnahmen und Dokumentationen reduziert werden. Doch leider entstehen die meisten Fehler und Datenpannen aufgrund fehlenden Wissens oder Bewusstseins beim Personal.
Deshalb ist es besonders wichtig, Mitarbeitende auf die Gefahren und richtiges Vorgehen hin zu sensibilisieren und über die gesetzlichen Bestimmungen zum Datenschutz zu unterrichten. Achtsamkeit und Sorgfalt im Umgang mit personenbezogenen Daten schliessen die letzten Sicherheitslücken.
Als externe Experten schulen wir Ihr Personal auch gerne bei Ihnen im Unternehmen.
Wir bilden Ansprechpersonen, Datenschutz-Manager als auch interne Datenschutzberater aus.
Informieren Sie sich zu den Fortbildungsangeboten der CroPro Swiss AG.
Datenschutzberater
DSG und die EU DS-GVO verlangen ggf. das Stellen, Benennen, Eintragen und Melden eines Datenschutzberaters. Hierdurch entfallen zum Teil Meldepflichten von Bearbeitungstätigkeiten an den EDÖB. Diese Vorteile können nur abgeschöpft werden, wenn der Datenschutzberater die gesetzlichen Anforderungen an dieses Instrument der Selbstkontrolle erfüllt. So muss der Datenschutzberater eigenverantwortlich und unabhängig agieren können. Dies trifft in der Regel nicht zu, wenn bspw. der IT-Administrator, HR-Manager oder Personen aus der höchsten Managementebene als Datenschutzberater benannt werden. Des Weiteren muss der Datenschutzberater über die notwendigen Fachkenntnisse verfügen.
Wir stellen für Sie den externen Datenschutzberter als zentrale und verlässliche Anlaufstelle für Management, Mitarbeitende, interessierte Parteien, Betroffene sowie die Aufsichtsbehörden bei allen Fragen und Themen die den Datenschutz betreffen.
Durch die externe Vergabe ergeben sich erfahrungsgemäss Synergien und Einsparpotenziale.
