Unsere Leistungen
analysieren • bewerten • umsetzen
Audit
Wir bevorzugen einen systemischen Ansatz an Datenschutzaudits unter Beachtung der wesentlichen Anforderungen:
-
Etablierung eines Verfahrens
-
Wiederholbarkeit
-
Überprüfungsform
-
Bewertung und Evaluierung der Wirksamkeit von Massnahmen
-
risikobasierten Ansatz
in einer Mischform aus Compliance-, System- und Prozessaudit.
Die Auditprinzipien der ISO 19011:2018 bilden die Grundlage für die Arbeit der Auditoren bei der Prüfung des (Datenschutz-) Managementsystems beim Kunden:
-
Integrität
-
sachliche Darstellung
-
angemessene beruflich Sorgfalt
-
Vertraulichkeit hinsichtlich der Sicherheit von Informationen
-
Unabhängigkeit
-
faktengestützter Ansatz
Risikoanalyse
Aufsichtsbehörden setzen ein betriebliches Risikomanagement Datenschutz voraus. Folgende Punkte stehen hierbei im Fokus:
-
kann ein angemessenes Schutzniveau der technisch organisatorischen Massnahmen im Unternehmen und bei den Dienstleistern gewährleistet werden?
-
gibt es Prozesse zur Überprüfung der Sicherheit der Verarbeitung gemäss Art. 8 revDSG
-
sind Verarbeitungen von pbD mit einem voraussichtlich hohen Risiko für Rechte und Freiheiten betroffener Personen identifiziert?
-
ist sichergestellt, dass Datenschutzverletzungen erkannt werden? Gibt es Methoden zur Ermittlung eines Risikos oder eines hohen Risikos?
-
besteht die Möglichkeit im Unternehmen eine Risikofolgenabschätzung bzw. zunächst eine Schwellwertanalyse durchzuführen?
Ein mangelhaftes oder fehlendes Risikomanagement kann als Compliance-Verstoss gewertet werden und weitere Verstösse begründen:
-
rechtliche Risiken der Nichteinhaltung gesetzlicher Vorgaben (Strafen, Bussgelder, Unterlassungsansprüche), finanzielle Risiken (z.B. Schadensersatzansprüche; Aufwand für Ä̈nderungen an IT-Verfahren zur Erreichung eines regelkonformen Zustands; Aufwendungen zur Bearbeitung und Folgenbehebung von «Datenpannen»),
-
Reputationsrisiken (z.B. auf Grund negativer Berichterstattung in Medien oder wegen kritischer Kundenäusserungen in sozialen Medien bis hin zu sog. «shitstorms»),
-
Geschäfts- und organisatorische, meist innengerichtete Risiken (z.B. die Nichterreichung von Geschäftszielen, die intensive Inanspruchnahme von Managementkapazität).
Datenschutz im Unternehmen muss «lebendig» bleiben. Ein effizientes Datenschutzmanagement ist unerlässlich, wobei das Risikomanagement ein Baustein des allgemeinen Datenschutz-managements sein sollte mit dem Ziel:
-
frühzeitig Risiken zu erkennen, bewerten und zu minimieren bzw. vermeiden
-
angemessene Massnahmen zum Datenschutz zu ergreifen
-
Kenntnis der Verantwortlichen (HME – höchste Management Ebene) der Datenschutz-Risiken
-
Abwägung unternehmerische Interessen und Datenschutz-Risiken
Seiner Organisationspflicht genügt ein Vorstandsmitglied bei entsprechender Gefährdungslage in der Regel nur dann, wenn er eine auf Schadensprävention und Risikokontrolle angelegte Compliance- Organisation einrichtet.
Spannungsfelder sind:
-
alle Unternehmensbereiche sind betroffen
-
gegebenenfalls EU-weit geltender Rechtsrahmen mit nationalen Besonderheiten
-
Rechtsunsicherheiten
-
Sanktionen und Bussgelder
-
Nachweispflicht
Gerne unterstützen wir Sie in der neutralen Analyse:
-
Analyse pro Abteilung
-
Ermittlung von Risikofaktoren
-
Einordnung in Daten-Schutzstufen
-
Umfassende Beurteilung und Bewertung
Dokumentation
Durch das Datenschutzgesetz legt die Gesetzgebung diverse Dokumentationspflichten vor, welche oft als mühselige Bürokratie angesehen werden könnten. Doch klare Prozesse und Anweisungen, detaillierte Berichte und Regelungen bringen KMU Synergieeffekte und deutliche Mehrwerte. Sie schützen sich vor Fehlern, Schäden, schaffen Transparenz und erleichtern Ihren Arbeitsalltag.Nehmen Sie mit uns zusammen den "Papierkram" in Angriff.
Umsetzung im Unternehmen
Unser «Baukasten» an vorgefertigten Compliance-Dokumenten entsprechen den gesetzlichen Anforderungen und können an die Bedürfnisse Ihres Unternehmens angepasst werden.
Diese Baukasten-Module umfassen u. a.:
-
Datenschutz-Reglement
-
Einwilligungen
-
Verzeichnis Bearbeitungstätigkeiten
-
Auftragsbearbeitungsverträge
-
Verschwiegenheitsverpflichtungen
-
Prozessdokumentationen
-
Datenschutzerklärungen
-
Planunterlagen für eine Datenschutzfolgenabschätzungen (vorgängig Schwellwertanalyse)
-
Prozess Meldungen bei Datenpannen
-
Prozess Beauskunftung
-
Checklisten und weitere Dokumentationen
Beratung
Wissenslücken einräumen und auf kompetente, fachkundige Beratung setzen. Das neue Datenschutzgesetz wird unter Berücksichtigung moderner Technologien den Anforderungen unserer Zeit gerecht. Vieles erscheint aber genau deshalb fremd und besonders kompliziert. So werden auch Sie mit vielen Fragen konfrontiert. Kunden, Dienstleister sowie Mitarbeitende erwarten Antworten, welche fundierte IT-Kenntnisse, allgemeine Datenschutz-Praktiken sowie Kenntnisse über die detaillierte Gesetztes-Verordnungen voraussetzen.
Wir sind Ihre Anlaufstelle und beraten Sie kompetent bei allen und spezifischen Fragen im Bereich Datenschutz und Informationssicherheit.
Campus
Machen Sie Ihre Mitarbeitenden im Bereich Datenschutz und Informationssicherheit fit und reduzieren Sie hierdurch den Hauptrisiko-Faktor "menschliches Versagen".
Nachweislich entstehen die meisten Fehler und Datenpannen aufgrund fehlenden Wissens oder Bewusstseins beim Personal.
Es ist besonders wichtig, Mitarbeitende auf die Gefahren und auf richtiges Vorgehen hin zu sensibilisieren und über die gesetzlichen Bestimmungen zum Datenschutz zu unterrichten. Achtsamkeit und Sorgfalt durch die Mitarbeitenden im Umgang mit personenbezogenen Daten schliessen die letzten Sicherheitslücken.
Als externe Experten schulen wir Ihr Personal auch gerne bei Ihnen im Unternehmen.
Wir bilden Ansprechpersonen, Datenschutz-Manager als auch Datenschutzberater aus.
Informieren Sie sich zu den Fortbildungsangeboten der CroPro Swiss AG.
Datenschutzberater
DSG und die EU DS-GVO verlangen ggf. das Stellen, Benennen, Eintragen und Melden eines Datenschutzberaters. Hierdurch entfallen zum Teil Meldepflichten von Bearbeitungstätigkeiten an den EDÖB. Diese Vorteile können nur genutzt werden, wenn der Datenschutzberater die gesetzlichen Anforderungen an dieses Instrument der Selbstkontrolle erfüllt. So muss der Datenschutzberater eigenverantwortlich und unabhängig agieren können. Dies trifft in der Regel nicht zu, wenn ein interner Datenschutzberater benannt wird bspw. der IT-Administrator, HR-Manager oder eine Person aus der höchsten Managementebene. Des Weiteren muss der Datenschutzberater über die notwendigen Fachkenntnisse verfügen.
Wir stellen für Sie den externen Datenschutzberter als zentrale und verlässliche Anlaufstelle für Management, Mitarbeitende, interessierte Parteien, Betroffene sowie die Aufsichtsbehörden bei allen Fragen und Themen die den Datenschutz betreffen.
Durch die externe Vergabe ergeben sich erfahrungsgemäss Synergien und Einsparpotenziale.
