Datenschutz und DSGVO: Auch in nichtproduktiven Systemen wird dieses Thema in Bezug auf Testdaten und das Testdatenmanagement immer relevanter. Im Mai 2022 jährt sich das Inkrafttreten der DSGVO zum vierten Mal. Auch die DSGVO unterliegt wie jedes andere Gesetz, jährlichen Änderungen und Anpassungen. DSGVO-konformes Testdatenmanagement ist seit dem Inkrafttreten der DSGVO ein MUSS für jedes Unternehmen. Doch nach wie vor werden die Vorgaben zum Datenschutz häufig nicht in dem geforderten Umfang erfüllt. Das große Dilemma: Wie soll in den Testumgebungen realistisch und DSGVO-konform gearbeitet werden? Diese konkrete Frage haben wir im ersten Teil der Blogbeitragsreihe zum Thema „Testdatenmanagement im Einklang mit der EU-DSGVO“ bereits genauer beleuchtet.
Im zweiten Teil geht es nun speziell um die Themen Sicherheitskonzept, Informationspflicht und Prozessdefinition für ein DSGVO-konformes Testdatenmanagement. Zudem klären wir die Frage: „Was droht Unternehmen bei Verstößen gegen die DSGVO?“
Testdaten unterliegen den restriktiven Anforderungen an den technischen und organisatorischen Datenschutz, die auch das Testen von Software und Systemen betreffen. Dies betrifft somit das gesamte Testdatenmanagement eines Unternehmens. Unter anderem müssen Unternehmen die sogenannte Zugriffskontrolle sicherstellen. Das heißt, um den Datenschutz zu gewährleisten, dürfen personenbezogene Daten nach Verarbeitung, Nutzung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden. Des Weiteren muss die Verfügbarkeitskontrolle durch die Unternehmen sichergestellt werden. Das bedeutet, dass personenbezogene Daten vor zufälliger Zerstörung oder Verlust geschützt werden müssen.
Hinzu kommt, dass durch die DSGVO eine Trennung von Produktions- und Testsystemen erforderlich ist. Das hat zur Folge, dass im realen Betrieb nicht getestet werden darf. Die Verwendung echter personenbezogener Daten im Testbetrieb, die auch unter datenschutzrechtlichen Gesichtspunkten zu beurteilen sind, ist grundsätzlich nicht hinnehmbar, da dies einen Zweckverstoß darstellt. Zusätzlich sind sowohl die Integrität als auch die Vertraulichkeit der Daten gefährdet.
Es kann vorkommen, dass ein System derart vielschichtig und komplex ist, dass ohne reale Daten keine aussagekräftigen Tests durchgeführt werden können. In solchen Fällen können auch Ausnahmen der oben beschriebenen Regel greifen. Jedoch verlangt Artikel 32 DSGVO, wie schon Artikel 25 DSGVO, dass dabei der Einsatz eines Testdatenmanagement Tools zur Anonymisierung oder Pseudonymisierung, wie Libelle DataMasking, unbedingt berücksichtigt werden muss. (Quelle)
„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein:
a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten
b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen“
(Quelle: DSGVO Artikel 32 Absatz 1)
Abhängig von der Umgebung und insbesondere vom Szenario des Tests, besteht die Gefahr innerhalb des Testdatenmanagements, dass durch Verfahrensfehler produktive, und damit personenbezogene und personenbeziehbare Daten an mitunter unberechtigte Dritte übertragen werden. Vor Inkrafttreten der DSGVO sah das bis dahin geltendes Bundesdatenschutzgesetz (BDSG) vor, dass die zuständige Aufsichtsbehörde und auch die Betroffenen selbst über den Verlust der Daten informiert werden müssen. Allerdings nur dann, wenn es sich bei den abhanden gekommenen Daten um „besonders sensible“ Daten handelte, wie beispielsweise Bankdaten. Gemäß der DSGVO muss mittlerweile jeder Datenverlust der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden gemeldet werden, d.h. ungeachtet der Sensibilität der Daten. Ist in den Unternehmen jedoch ein Sicherheitskonzept zum Schutz der Daten im Testdatenmanagement vorhanden und sieht dieses die Verfremdung der Daten durch Verschlüsselung, Anonymisierung oder Pseudonymisierung vor, kann das Risiko des Verlustes von Echtdaten drastisch gesenkt werden.
Werden in einem Unternehmen neue Technologien eingesetzt, die Risiken für die Betroffenen aufweisen, muss das Unternehmen entsprechend Artikel 35 DSGVO eine sogenannte Datenschutz-Folgenabschätzung durchzuführen. Sollen in dem IT-System besonders sensible Daten verarbeitet werden, muss bei der Planung der Tests dieses Systems eine technische Risikoanalyse durchgeführt werden. Das Testdatenmanagement wird somit genau unter die Lupe genommen und es wird analysiert, ob der Datenschutz weiterhin gewährleistet ist. Inhalt der Analyse ist die Minimierung oder gar der Ausschluss des Risikos eines Datenverlusts durch den Einsatz einer Software mindestens zur Pseudonymisierung, besser sogar zur Anonymisierung der Testdaten. Hier eignet sich unser Testdatenmanagement Tool Libelle DataMasking hervorragend. (Quelle)
Mit Inkrafttreten der EU-DSGVO wurde das Strafmaß bei Verstößen gegen die Regelung erheblich verschärft. So können Unternehmen Bußgelder in einer Höhe bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes drohen, je nachdem, welcher Betrag höher ist. Hinzu kommt, dass die zuständige Aufsichtsbehörde die Wirksamkeit, Verhältnismäßigkeit und Abschreckung der verhängten Bußgelder zu berücksichtigen und sicherzustellen hat.
„Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 4, 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.“
(Quelle: DSGVO Artikel 83 Absatz 1)
Aufsichtsbehörden und betroffene Personen sollten nach der Risikobewertung auch informiert werden, wenn sensible Daten aufgrund unzureichender Tests von Sicherheitssystemen und verfahren verloren gehen. Der Imageverlust ist für ein Unternehmen natürlich der größte Verlust. Doch ist zu beachten, dass Datenverluste auch strafbar sein können, denn sie können zur Verletzung von z.B. Amts- oder Berufsgeheimnissen oder dem Verrat von Geschäftsgeheimnissen führen. (Quelle)
Die Datenschutzvorschriften sind mit der DSGVO in verschiedenen Bereichen erheblich strenger geworden. Hinzu kommt, dass gleichzeitig zum einen die technischen und die fachlichen Anforderungen an Unternehmen gestiegen sind, zum anderen aber auch die Bedeutung der Datenhoheit und der Schutz externen Quellen. Das führt nicht selten zu neu zu definierenden Prozessen im betrieblichen Ablauf, wobei die Unternehmen die Kompetenzen, Tools und Ressourcen ebenfalls definieren müssen. Daraus ergeben sich eindeutig definierte Prozesse, die die Einhaltung der gesetzlichen Rahmenbedingungen garantieren.
Für die Verantwortlichen im Unternehmen ist wichtig, die Architektur des Datenverlaufs durchgehend zu verstehen, sowohl Quell- als auch Zielsysteme zu analysieren und auch Schnittstellen verschiedener Services zu erkennen. So lassen sich die Anforderungen an Testdaten sehr schnell ableiten und die beteiligten Systeme identifizieren und integrieren. Dadurch kann die verantwortliche Person den Testprozess und die Verfahren im Detail kennen und damit umgehen. Eine visuelle Darstellung der betrieblichen Verarbeitungsprozesse erleichtert es nicht nur den Verantwortlichen, sondern dem gesamten Unternehmen, die eigenen Prozesse zu verstehen. Wenn das Verständnis der einzelnen Prozessschritte vorhanden ist, kann das massenhafte Vorhalten von Daten entfallen, weil dann Testdaten gezielt für einzelne Testfälle bereitgestellt werden können.
Wurde der Überblick und das Verständnis über die einzelnen Verarbeitungsprozesse gewonnen, kann in der Folge auch die Auswahl der benötigten Testdatenmanagement Tools eingegrenzt werden, um Testdaten rechtssicher zu verarbeiten. Dazu muss die Anforderung für jeden einzelnen Schritt dokumentiert werden. Auf diesem Weg kann eine Matrix für die Auswahl des oder der benötigten Tools für ein DSGVO-konformes Testdatenmanagements entwickelt werden. (Quelle)
Wie so oft, kann es für eine Person in einem Unternehmen schwer werden, den Überblick über die betrieblichen Abläufe zu wahren. Daher ist die Empfehlung, verschiedene Rollen zu definieren, um Klarheit im Management von Testdaten zu schaffen. Als konkrete Rollen sind hier Projektverantwortliche, Testdatenmanager und Testdatenanalysten zu nennen. Die Projektverantwortung umfasst auch die technische Verantwortung für das Testprojekt. Hier erfolgt die Definition der fachlichen und regulatorischen Anforderungen, außerdem werden deren Einhaltung unter Bereitstellung der entsprechenden Ressourcen sichergestellt.
Der Testdatenmanager ist verantwortlich für die fachlichen Anforderungen des Projektes und deren technische Umsetzung. Außerdem verfolgt er die Liefer- und Betriebsfähigkeit mit einem Laufzeittestdatenanalysten. Der Analyse wiederum zeichnet sich verantwortlich für die technische Umsetzung und die laufende Überwachung der verwendeten (Testdatenmanagement) Tools und Umgebungen.
Ausnahmslos alle Bereiche eines Unternehmens sehen sich durch die DSGVO mit Veränderungen in der Datenverarbeitung und einer zunehmenden Sensibilisierung konfrontiert. Durch die Berücksichtigung der in der DSGVO enthaltenen Anforderungen schaffen Unternehmen nicht nur Rechtssicherheit. Es kann letzten Endes auch Zeit und Geld sparen, denn oftmals wird deutlich, dass das Testen einen erheblichen Overhead verursacht, insbesondere im Hinblick auf die Datenverarbeitung und -nutzung. (Quelle)
Im Bereich des Testdatenmanagements geht es nicht nur um den Datenschutz, sondern auch um die automatisierte Bereitstellung von Testdaten, wie es unser Dreamteam Libelle SystemCopy und Libelle DataMasking bietet. Auch das Zurücksetzen von Daten nach ihrer Nutzung, das Protokollieren der Validität, des Alters und der Verbrauchsstandes der Testdaten sind wichtige Bestandteile des Testdatenmanagements.
Lesen Sie hierzu mehr in unserem Blogbeitrag zum Thema „Was ist Testdatenmanagement (TDM) eigentlich?“ oder machen Sie den Libelle Datenschutz Quick-Check für ihr Testdatenmanagement.