Wenn sich Datensätze mit dem neuen Datenschutzgesetz wohlfühlen

Seit dem 1. September 2023 gelten in der Schweiz neue, einheitliche Regeln im Umgang mit personenbezogen Daten. Der Datenschutz und die dafür benötigten technischen und organisatorischen Massnahmen sind aber für viele Firmen noch ungewohntes Terrain. Zeit für einen Praxisbericht von der AAC Infotray AG in Winterthur, wo die Datenpflege mit grosser Leidenschaft betrieben wird.

Stellen wir uns vor, wir sind ein Datensatz, bestehend aus Namen, Mail-Adresse und Telefonnummer. Als Datensatz wurden wir geboren, während uns ein Webbesucher vertrauensvoll in die Felder des Online-Formulars von Infotray eingetippt hat. Welches Schicksal wird uns erwarten? Werden wir unsere Vertraulichkeit, Verfügbarkeit und Integrität behalten? Werden wir dem Zweck entsprechend verarbeitet oder kann uns jeder User unkontrolliert verwenden und verändern?
Bei der AAC Infotray ist ein Datensatz von Beginn weg gut aufgehoben. Nicht nur dass die gesamte Belegschaft eine hohe Datenschutzkultur pflegt, so stellt auch die Softwareumgebung jeden erdenklichen Komfort für einen frisch eingegebenen Datensatz zur Verfügung: Die Einwilligung durch den Besitzer zur Weiterverarbeitung wird auf allen Webseiten eingeholt, dann wird der Datensatz in einer Datenbank gespeichert, auf die nur berechtigte Personen Zugriff haben. Attribute zur späteren Selektionierung werden hinzugefügt und eine effiziente Suchtechnologie ermöglicht das gezielte Wiederauffinden der relevanten Daten.

Das menschliche Sein und das wirtschaftliche Tun

«Ein integriertes Managementsystem, wie wir es leben, mit gut ausgebildeten Mitarbeitenden, muss einen Rahmen vorgeben, in welchem die Menschen im Tagesgeschäft funktionieren können. Es verbindet das menschliche Sein erfolgreich mit dem wirtschaftlichen Tun», erklärt der QM-Leiter eine der wichtigsten Firmenphilosophien. «Die Investition in ein TQMS vor über zwanzig Jahren war eine der besten Entscheidungen in unserer Firmengeschichte. Das QM-System hat das Fundament gelegt, auf dem wir seither sicher und kontinuierlich gewachsen sind, von einer Firma mit fünf Personen zu einer Firma mit heute 50 Mitarbeitenden.» Das seit 2001 nach ISO 9001 zertifizierte QM-System wurde in den vergangenen Jahren durch die Aspekte Datenschutz und Informationssicherheit stark erweitert und erhielt als integriertes Managementsystem im November 2024 die ISO-27001:2022-Zertifizierung. Doch was hat ein integriertes Managementsystem mit dem neuen Datenschutzgesetz zu tun? Es bildet die essenzielle Grundlage für eine funktionierende Datenschutz- und Informationssicherheitsumgebung einer Firma. Dieses stabile Managementsystem ist der sichere Rückzugsort, der die Daten vor den Unwettern in der digitalen Welt schützt. Die eigentliche Managementhelferin aber ist eine effiziente QM-Software, mit ihr lassen sich Informationssicherheit und Datenschutz erst richtig in die Realität umsetzen.

Schlanke und pragmatische Software

Limsophy BPM ist die QM-Software aus dem Hause AAC Infotray AG und stellt zahlreiche Module für schlanke und effiziente Managementsysteme zur Verfügung. Um die geforderten Datenschutzvorgaben optimal zu implementieren, wurde die Software erst kürzlich um ein Asset-Modul erweitert, in welchem alle nichtmonetären Werte verwaltet werden. Die personenbezogenen Daten, die zu den Assets zählen und nach dem neuen Datenschutzgesetz in einem Verarbeitungsverzeichnis aufgeführt werden müssen, werden ebenfalls im Asset-Modul verwaltet und mit den geforderten zusätzlichen Kriterien beschrieben. Das Verarbeitungsverzeichnis wird schliesslich aus den Daten im Asset-Modul als mitgeltendes Dokument automatisch erzeugt und versioniert abgelegt. Die softwaregesteuerte Versionierung von Daten in Dokumenten ermöglicht eine Historisierung, ohne die Datenpflege kompliziert werden zu lassen. Die Nachvollziehbarkeit der Änderungen für Management und Auditoren ist in einfacher und klarer Form gewährleistet.

Vertraulichkeit – Verfügbarkeit – Integrität

Nachdem im integrierten Risikomanagment die Risiken zu den Assets erfasst und nach ihrer Eintrittswahrscheinlichkeit und Auswirkung bewertet worden sind, erkennt man schnell, welchen Risiken die personenbezogenen Daten in der ganzen Kommunikationslandschaft ausgesetzt sind (z.B. bei der Vertraulichkeit und Verfügbarkeit) und kann geeignete Massnahmen zur Risikominderung treffen und umsetzen. Die Massnahmen zur Risikominderung werden, wie alle Eingaben zur fortlaufenden Verbesserung, im Modul Q-Meldungen von Limsophy BPM zentral verwaltet und abgearbeitet. Via Limsophy BPM Web kann die ganze Belegschaft Hinweise zu Datenschutzereignissen, technischen Verbesserungen, Reklamationen oder Kundenlob einpflegen und hält so das hauseigene QM-System lebendig. Nebst der oben erwähnten Versionierung von mitgeltenden Dokumenten kann mittels eines Audit-Trails in jedem Feld nachgeprüft werden, wer welche Änderung wann durchgeführt hat, womit eine hohe Datenintegrität gewährleistet wird.

Kein Datenschutz ohne Stakeholder

Um eine wirkungsvolle Umsetzung für Datenschutz- und Informationssicherheitsvorgaben zu gewährleisten, kommen noch drei weitere Module von Limsophy BPM zum Einsatz. Über das Modul Weiterbildungen können Datenschutzvorgaben und Informationssicherheitsschulungen dokumentiert und damit der Wissensstand der ersten Stakeholder-Gruppe, der Mitarbeitenden, abgebildet werden. Die nächste Gruppe kann im Modul Lieferantenbeurteilung im Sinne eines Third-Party-Risk-Managements strukturell beurteilt und vorhandene Risiken formuliert werden. Die abgeleiteten Massnahmen werden auch hier zentral in den Q-Meldungen verwaltet. Ebenfalls können die Verträge mit Lieferanten bequem im Modul Vertragsmanagement gepflegt und mit den Risiken zu Lieferanten bzw. der Lieferantenbeurteilung verknüpft werden.

Basis für nachhaltiges Wachstum

Unser Datensatz hat nun bereits viele Abteilungen kennengelernt und fühlt sich in der Softwarelandschaft gut aufgehoben. Was aber ist der konkrete Mehrwert dieser Massnahmen für eine Firma? Der QM-Leiter formuliert es so: «Das Managementsystem stellt sicher, dass Informationssicherheit und Datenschutz in alle relevanten Geschäftsprozesse einfliessen, die entsprechenden Verantwortlichkeiten geregelt sind, die verlässliche Implementierung von Prozessen, Richtlinien und Verfahren umgesetzt ist und neue Erkenntnisse im Sinne von Verbesserungen berücksichtigt werden. Die regelmässigen Schulungen haben zu einer deutlich höheren Awareness bei den Mitarbeitenden geführt. Auf Basis dieser Sicherheit können wir unsere Produkte gezielt und marktgerecht weiterentwickeln und die Kundenprojekte mit dem nötigen Datenschutz und der geforderten Informationssicherheit realisieren.» Mit dem Wissen, dass sich die Gefahren im Cyberspace ständig weiterentwickeln, investiert die AAC Infotray AG sehr viel in Datenschutz und Informationssicherheit und sichert so die Daten für die Zukunft exzellent ab.