Datenschutz auf höchstem Niveau

Digitalisierung und Datenschutz beschreiben ein Span­nungsfeld. Big Data verändert die Arbeitswelt zuneh­mend, während der Datenschutz oft als Hemmschuh angese­hen wird. Dabei stehen der Schutz und die Sicherheit perso­nenbezogener Daten nicht erst seit den Änderungen der seit dem 25. Mai 2018 zur Anwendung kommenden Datenschutz-Grundverordnung (DS-GVO) ganz oben auf der Agenda jedes verantwortungsvollen Unternehmens. Die gesetzlichen Vorga­ben sind komplex und oft herausfordernd, besonders für die Mitglieder der Genossenschaft, die verpflichtet sind, die per­sonenbezogenen Daten ihrer Mandantinnen und Mandanten zu schützen. Allerdings führen die zunehmende Digitalisie­rung und der nicht zu vernachlässigende Arbeitsdruck dazu, dass Datenpannen immer häufiger vorkommen und einen ho­hen Reputationsverlust für das eigene Unternehmen bedeuten können. Folglich haben Datensicherheit und Datenschutz für DATEV immer oberste Priorität. Sie sind im Code of Business Conduct öffentlich einsehbar und als Versprechen hinterlegt sowie als Markenzeichen Vertrauensvoll für DATEV von grund­legender Bedeutung in der Beziehung zum Kunden.

Glaubens- oder Vertrauensfrage?

Die Genossenschaft bekommt von ihren Mitgliedern so­wie von den Unternehmen hochsensible und auch perso­nenbezogene Daten zur Verarbeitung und Speicherung von Lohn-, Rechnungswesen- beziehungsweise Abschlussprü­fungsdaten anvertraut. Dies geschieht im Vertrauen auf ein partnerschaftliches Miteinander sowie dem Wissen, dass der Umgang mit den Daten den gesetzlichen Anforderungen ge­nügt (vgl. Art 28 Abs. 1 DS-GVO). Aber wie können sich die Auftraggeber ein Bild davon machen, ob DATEV den Daten­schutz tatsächlich ordnungsgemäß vollzieht? Insoweit kann zunächst auf die eigenen Unternehmensinformationen (www.datev.de/dsgvo-information) sowie die in der DATEV-Hilfe ver­öffentlichten Datenschutz-Steckbriefe (www.datev.de/daten­schutz-steckbrief) verwiesen werden, die Zweck und Rechts­grundlagen der Verarbeitung von personenbezogenen Daten erläutern sowie Informationen zur Spei­cherung und Löschung derartiger Daten enthalten. Aber reicht hier Vertrauen aus? Letztlich kann nur eine unabhängige Be­wertung tatsächlich etwas über die Einhal­tung der gesetzlichen Vorgaben aussagen.

Transparenz und Sicherheit

So führt an einer externen Bestätigung der Umsetzung der gesetzlichen Vorga­ben kein Weg vorbei. Nur auf diese Weise bekommt der Kunde die Sicherheit, dass eine ordnungsge­mäße Datenverarbeitung erfolgt. Hier hat sich die Zertifizie­rung des Datenschutzmanagementsystems bewährt, das bei DATEV seit 2006 nach § 9a Bundesdatenschutzgesetz (BDSG) alt zertifiziert wurde und seit 2018 mit einem unab­hängigen Datenschutzgütesiegel nachgewiesen wird. 2020 wurde dann die ISO 27701 als eine neue Erweiterung der ISO 27001 und ISO 27002 im Datenschutz veröffentlicht. Sie kann nur zusammen mit ISO 27001 zertifiziert werden und hat den gleichen Geltungsbereich. Die ISO 27701 reguliert und prüft das Managementsystem der Genossenschaft zu­sätzlich zur Informationssicherheit für die Aufrechterhal­tung und fortlaufende Verbesserung des Datenschutzes. Da­bei zeigt sich, dass Informationssicherheit und Datenschutz eng miteinander verbunden sind. Viele Maßnahmen der In­formationssicherheit sind auch notwendig, um als tech­nisch-organisatorische Maßnahmen den Schutz personen­bezogener Daten sicherzustellen (Art. 32 DS-GVO). Das Da­tenschutzmanagementsystem von DATEV, das im Frühjahr 2022 nach der ISO 27701 auditiert wurde, betrachtet die in­ternen Vorgaben in Form von Policies, Richtlinien und Stan­dards für eine datenschutzkonforme Datenverarbeitung und deren Umsetzung.

Digitale Produkte und Services

In Art. 42 DS-GVO wird von einer Zertifizierung digitaler Pro­dukte und Services gesprochen, die DS-GVO-konform arbei­ten und die gesetzlichen Anforderungen erfüllen. Sechs Jahre nach Inkrafttreten der DS-GVO gibt es hier aber noch keine offizielle Zertifizierung, die den Anforderungen des Verfah­rens nach den Art. 42 und 43 DS-GVO sowie § 39 BDSG ent­spricht. Die ISO-27701-Zertifizierung ist hierfür leider nicht ausreichend, da insoweit die Managementsysteme im Mit­telpunkt stehen. Eine Zertifizierung nach den Art. 42 und 43 DS-GVO hingegen bezieht sich immer auf den Nachweis von digitalen Produkten und Prozessen, wie etwa zum Lohnver­arbeitungs- oder zum Buchungsdatenservice. Gemäß Art. 43 DS-GVO sind hier Datenschutzzertifizierungen auf Grundla­ge der ISO 17065 erforderlich. Für den europäischen Markt werden hier die ersten Angebote zur Zertifizierung von digi­talen Produkten und Services noch in die­sem Jahr erwartet.

Vorteile der Zertifizierung ISO 27701

Generell ist eine ISO-Zertifizierung immer weltweit gültig. Die Norm selbst baut zwar auf die europaweit gültige DS-GVO auf, bietet aber ein weltweit gültiges Zertifikat zum Betrieb eines Datenschutzmanage­mentsystems; damit wird ein datenschutz­konformer Umgang mit personenbezogenen Daten bei digi­talen Prozessen und Dienstleistungen bestätigt. Mit dem ISO-27701-Zertifikat und dem dazugehörenden Testat erhalten alle Mitglieder und Kunden der Genossenschaft die Nach­weismöglichkeit, dass sie ihre Daten vertrauensvoll in die Hände des Auftragsverarbeiters DATEV legen können. Alle Zertifikate zur Nachweismöglichkeit einer datenschutzkon­formen Umsetzung von datenschutzrelevanten Vorgaben sind im öffentlichen Bereich unter Zertifikate der DATEV oder www.datev.de/datenschutz in der jeweils aktuellen Fas­sung hinterlegt.