DATENSCHUTZ - vace-sec.at · wie ISO/IEC 27001:2013, IEC 62443, BSI IT Grundschutz, ISO 9001 und dgl. einzubinden. Diese Normen und Gesetze, welche sich teilweise überschneiden,

www.vace-sec.atVACE Systemtechnik GmbH

Linzer Straße 16e A-4221 Steyregg


business unit SECURITYLinzer Straße 16e, 4221 Steyregg

DATENSCHUTZnach EU-DSGVO & Anpassungsgesetze

Wer ist VACE? - Unternehmensüberblick

www.vace-sec.at VACE Security – member of the VACE [email protected]

1981 Gründung der VACEDie „Voest Alpine Consulting Engineering“ - kurz VACE - wird am Standort Linz gegründet.

Eingliederung in die MCEIm Zuge einer Umstrukturierung wird die VACE von der damaligen MCE übernommen.

neue EigentümerstrukturDreißig Jahre nach ihrer Gründung ist die VACE von der MCE losgelöst.

Gründung der VACE GROUPNeu aufgestellt präsentiert sich die VACE Group als spezialisierter Industriedienstleister mit 8 Standorten in Österreich und Deutschland.

1990

2010

2014

Wer ist VACE? - Unternehmensüberblick

www.vace-sec.at

• Geschäftsleitung: Helmut Altreiter, Andreas Obermüller, Franz Humer, Klaus Kremmair

• VACE-Bereiche: VACE Engineering, VACE Systemtechnik, VACE IT Services, VACE Security, VACE Education & Training

• VACE Mitarbeiter: über 1.300

• Zertifizierungen und Auszeichnungen• ISO 9001:2008 zertifiziert• Best Recruiters: goldenes Gütesiegel 2016/17 (Branchensieger

Österreich); Gütesiegel Top Ten Arbeitgeber der D-A-CH Region• Kununu-Arbeitgeber-Ranking Top Company• Trend-Ranking – Top Arbeitgeber 2017

Andreas Obermüller Helmut AltreiterFranz Humer Klaus Kremmair

VACE Security – member of the VACE [email protected]

Warum - VACE Security?

www.vace-sec.at

Digitalisierung benötigt Sicherheit!

• Langjähriges Know-how

• Reiche Branchenerfahrung: Maschinen- und Anlagenbau, Automotive und Chemische-Industrie,

öffentlicher Bereich, Provider, EVU, IT Systemhäuser, Banken, Handel, …

• Zertifiziertes Personal: Certified Data & IT Security Expert, ISO 27001 Lead Auditor, Certified Ethical Hacker, ITIL v3, …

• Fundiertes Know-how: ISO/IEC 27001:2013, BSI Grundschutz, ITIL v3, OWASP, IEC 62443,

EU DSGVO sowie im IT Umfeld

• Arbeitsgruppen: Cyber Security Austria, Privacy Officers, WKO IT Security Experts Group

• Eigentümergeführtes und finanziell gesundes Unternehmen

• Regionale Ressourcen

• Unsere Nähe zur Industrie

Wir begleiten Sie bei Analyse, Umsetzung, Training & Aufbau einer eigenen Security- und Datensicherheits-Abteilung!


www.vace-sec.at

Für welche Unternehmen ist die Europäische Datenschutz-Grundverordnung gültig?

• Es gelten grundsätzlich alle Pflichten der EU-DSGVO für alle Unternehmen!

• Alle Regeln sowie der Haftungsrahmen gelten gleichermaßen für alle Unternehmensgrößen!

• Die Ausnahme für den Entfall des „Verzeichnis der Verarbeitungstätigkeiten“ bei Unternehmen

unter 250 Mitarbeitern gilt nur dann, wenn die Verarbeitung von personenbezogenen Daten

nur gelegentlich geschieht.


Datenschutz Grundverordnung EU-DSGVO

www.vace-sec.at

• Grundrecht für EU Bürger Die Europäische Union verankert den Schutz, natürlicher Personen betreffende,personenbezogene Daten auf Grundrechtsebene

• EU-weites Datenschutzrecht Die Verordnung ist der Versuch alle 28 bestehende nationale Gesetz zu vereinheitlichen – auf Grund der Öffnungsklauseln unzureichend

• Sanktionen

• bis 10 Mio. € bzw. 2% des weltweiten Vorjahresumsatzes• Bei Verletzung technischer und organisatorischer Schutzmaßnahmen• Fehlender Nachweis der Verarbeitungstätigkeit, Datenschutz-Folgenabschätzung

• bis 20 Mio. € bzw. 4% des weltweiten Vorjahresumsatzes• Verletzung der Rechtmäßigkeit, mangelnde oder nicht vorhandene Einwilligung• Verletzung der Rechte Betroffener• Drittlandübermittlung• Fehlende Zusammenarbeit mit der Aufsichtsbehörde

• Beweislastumkehr: der Verantwortliche muss die Rechtskonformität seiner Datenverarbeitung nachweisen.

• Meldepflicht bei Datenschutzvergehen, innerhalb von 72 Stunden an die Behörde und die Betroffenen.

• Handlungsbedarf – die Maßnahmen sollten bis zum 25. Mai 2018 bereits umgesetzt sein!



www.vace-sec.at

Wann dürfen personenbezogene Daten verarbeitet werden!

• Wenn von der betroffenen Person eine Einwilligung zur Verarbeitung vorliegt• Der Text der Einwilligung muss vom „Verantwortlichen“ zweifelsfrei nachgewiesen werden können• Zustimmung und Widerruf müssen in einfacher Sprache gleichermaßen präsent sein (Textgröße,

Formulierung, Optik, …)• Zweck der Verarbeitung muss in klaren Worten dargelegt werden• Datenminimierung ist vorgeschrieben• Daten dürfen nur nach Treu und Glauben also zum eindeutigen Zweck der Erhebung, verarbeitet werden



• Zur Abwicklung eines Vertrages• Kopplungsverbot: es dürfen an die Erhebung der Daten keine weiteren Angebote/Verträge gekoppelt werden. Es gilt das

Gebot der Freiwilligkeit.

• Zur Erfüllung rechtlicher Verpflichtungen• Verträge• Rechtliche Aufbewahrungsfristen

• Zur Wahrung berechtigter Interessen, öffentlicher Interessen bzw. Ausübung öffentlicher Gewalt

www.vace-sec.at

Grundsätze der Datenverarbeitung!

• Personenbezogene Daten dürfen nur solange aufbewahrt werden, wie es für den ursprünglichen Zweck, für welchen sie erhoben wurden, unbedingt erforderlich ist.

• Sobald der Zweck erfüllt ist oder der Betroffene es wünscht, müssen die Daten gelöscht werden.

• Die Integrität und Vertraulichkeit der Daten muss am „Stand der Technik“ sowie mit entsprechenden organisatorischen Maßnahmen sichergestellt werden. Die Daten müssen vor

• unbefugter oder unrechtmäßiger Verarbeitung• sowie vor unbeabsichtigtem Verlust oder Schädigung vom „Verantwortlichen“ geschützt werden



• „Verantwortliche“ tragen die Verantwortung, unabhängig ob sie selbst oder externe Auftragsverarbeiter (Outsourcer, Cloud Service Provider und dgl.) ihre Daten verarbeiten.

• Der „Verantwortliche“ muss jederzeit gegenüber betroffenen Personen sowie den Datenschutzbehörden die Rechtmäßigkeit und die Einhaltung der Vorschriften nachweisen können.

• Jeder Betroffene hat das Recht• eine Bestätigung darüber zu bekommen ob und welche Daten von ihm verarbeitet werden• eine Kopie seiner elektronisch verarbeiteten Daten in einem gängigen Format wie Bsp. XML, CSV, DOC, usw. zu verlangen

• Er kann jederzeit seine Einwilligung zur Verarbeitung widerrufen.• Er kann die Korrektur seiner Daten verlangen.

www.vace-sec.at

Verzeichnis der Verarbeitungstätigkeiten & DokumentationspflichtJeder „Verantwortliche“ führt ein Verzeichnis aller Verarbeitungstätigkeiten:

• Beschreibung der getroffenen technischen Maßnahmen• Beschreibung der organisatorischen Prozesse zum Datenschutz• Name und Kontaktdaten des Verantwortlichen• Kategorien betroffener Personendaten und der Empfänger• Zweck der Verarbeitung• Fristen für die Löschung der Daten nach Kategorien• Bei der Übermittlung personenbezogener Daten in ein Drittland müssen diese mit entsprechenden Garantien

dokumentiert werden.



• Dokumentationspflicht• Alle Datenverarbeitungen mit personenbezogenen Daten sind zu dokumentieren.• Entsprechend der Eintrittswahrscheinlichkeit und der schwere der Risiken sind adäquate technische und organisatorische

Maßnahmen für die rechtmäßige Verarbeitung zu setzen und zu dokumentieren.• Ergibt die Risikoabschätzung auf Grund von Technologien, Art oder Umfang ein hohes Risiko bei der Verarbeitung, ist

vorab zwingend eine Folgenabschätzung zu machen.• Die korrekte Implementierung ist vom Verantwortlichen zu überprüfen.• Die Risikoabschätzungen und Dokumentationen sind regelmäßig zu prüfen und zu aktualisieren.• Dokumentation der Maßnahmen können von der Datenschutzbehörde überprüft werden!

www.vace-sec.at

Welche Daten dürfen nicht be- bzw. verarbeitet werden!

• Verbot der Bearbeitung besonderer Kategorien, dieses Verbot umfasst die Verarbeitung personenbezogener Daten, aus denen

• die rassische und ethnische Herkunft• politische Gesinnung• religiöse oder weltanschauliche Überzeugung oder• die Gewerkschaftszugehörigkeithervorgehen, sowie die Verarbeitung von• genetischen Daten• biometrischen Daten zur eindeutigen Identifizierung natürlicher Personen,• Gesundheitsdaten (Brillenträger, Diabetes/Kantine, …) oder • Daten zur sexuellen Orientierung.

• Ausnahmen für Verarbeitung besonderer Kategorien:• ausdrückliche Einwilligung bzw. lebenswichtige Interessen ohne Einwilligung• Erfordernisse aus dem Arbeitsrecht• wenn die Daten der betroffenen Person selbst öffentlich gemacht wurden• zur Geltendmachung von Rechtsansprüchen vor Gericht



www.vace-sec.at

Privacy by Design bzw. Privacy by default

• Privacy by Design bedeutet Datenschutzvorschriften bereits bei der Entwicklung neuer Applikationen/Prozesse/Technologien zu berücksichtigen

• Datensparsamkeit nur jene Daten welche dem Zweck entsprechend erhoben wurden

• Löschfristen automatische Löschung von Personendaten und Verifizierung ihrer Aktualität

• Datenkorrekturen entsprechend dem Recht auf Richtigstellung

• Auskunftspflicht Benachrichtigung welche personenbezogenen Daten sind gespeichert?

• Privacy by default bedeutet umfassender Schutz der Personendaten ohne Konfiguration

• datenschutzfreundliche Voreinstellungen

• Opt-In: Haken zur Einwilligung muss händisch gesetzt werden



VACE Datenschutz Package

www.vace-sec.at

Der Aufbau eines Datenschutzmanagementsystems (DSMS) und die Durchführung von regelmäßigenDatenschutz-Audits zur Überwachung der Erfüllung der gesetzlichen Vorgaben aus der DSGVO anhandklar definierter „Controls“ und „Maßnahmen“ ist in Anbetracht der möglichen Haftung unerlässlich.


IT-Security

Technische IT-Security bildet die Grundlage für

die Umsetzung

Organisation

Einbettung in UnternehmensprozesseIT gestützte Workflows

Recht

JuristischeAbsicherung

VACEDatenschutz Package


www.vace-sec.at

Datenschutz-WorkshopBei einem Datenschutz-Workshop unterstützen wir Sie bei der Vorbereitung für das Verzeichnis der Verarbeitungstätigkeiten und prüfen den SOLL/IST-Stand. Bei der Erarbeitung des Verarbeitungsverzeichnisses analysieren wir gemeinsam mit Ihnen Ihre Geschäftsprozesse und leiten davon die Verarbeitungsvorgänge ab. Beim SOLL/IST-Vergleich prüfen wir den Reifegrad aller gesetzlichen Mindestanforderungen aus der EU-DSGVO sowie nationaler Gesetzgebungen (zum Beispiel österreichisches Datenschutz-Anpassungsgesetz). Die Erhebung des IST-Zustands wird mit Hilfe eines DSGVO Katalogs durchgeführt, der von unseren zertifizierten Experten und eines Juristen mit langjähriger Erfahrung entwickelt wurde. Zudem werden Handlungsempfehlungen aufbereitet und konkrete Maßnahmenvorschläge gelistet. Dieser Datenschutz-Workshop bildet die Basis für das „Verzeichnis der Verarbeitungstätigkeiten“ und liefert einen Maßnahmenplan für die Datenschutz-Konformität.


ProzesseAuf Basis des GRC Modules (Governance, Risk & Compliance Management) des Weltmarktführers erfolgt die Einbindung des von uns erstellten DSGVO Katalogs und der nationalen Datenschutz-Anpassungsgesetze mit allen Controls. Dieses Werkzeug bietet optional die Möglichkeit weitere, bereits bestehende Normen wie ISO/IEC 27001:2013, IEC 62443, BSI IT Grundschutz, ISO 9001 und dgl. einzubinden. Diese Normen und Gesetze, welche sich teilweise überschneiden, werden in dem Workflow-gestützten Werkzeug GRC abgebildet. Bereiche, welche für mehrere Themen relevant sind, müssen nur einmal abgefragt und eingepflegt werden – die Implementierung in GRC sorgt somit für Synergien. Die Automatisierung der Abläufe reduziert die zeitlichen Aufwände im laufenden Betrieb enorm und liefert so einen erheblichen Mehrwert für Unternehmen.

www.vace-sec.at

Auf Grund der fortlaufenden Änderungen der DSGVO durch nationale Einflussnahme beiÖffnungsklauseln und durch Veränderungen durch die Rechtsprechung, obliegt es uns den DSGVO-Katalog stetig zu entwickeln und anzupassen.

Optional können wir den Katalog mit den nationalen Anpassungsgesetzen in nahezu allen Sprachenanbieten.

Wir achten speziell auf die komplementäre Nutzung sich überschneidender Controls und KatalogeBsp. ISO/IEC 27001, BSI Grundschutz, EU-DSGVO, um ein optimiertes und wartungsreduziertesManagementsystem zu etablieren.

RechtAuf Grund der Komplexität und der Notwendigkeit juristisch fundierte Regelungen, Formulierungund Vereinbarungen treffen zu können, bieten wir zur Komplettierung unseres Managed Servicesoptional die Möglichkeit einen Juristen mit langjähriger Datenschutzkompetenz in unsere ManagedLösung zu integrieren.





Bezeichnung Gesamtkosten

Datenschutz-WorkshopEin von uns durchgeführter Datenschutz-Workshop umfasst die Erstdefinition von Verarbeitungsvorgängen sowie Reifegradanalyse mit einem SOLL:IST Vergleich aller gesetzlichen Mindestanforderungen aus der EU-DSGVO sowie nationaler Gesetzgebungen (zum Beispiel österreichisches Datenschutz-Anpassungsgesetz 2018) mit folgendem Ablauf:

• Erhebung des IST-Zustands mit Hilfe eines von zertifizierten Experten und Juristen entwickelten DSGVO Katalogs

• Feststellung der Abweichung IST zum SOLL• Aufbereitung von Handlungsempfehlungen und Listung konkreter

Maßnahmenvorschläge• Erarbeitung des „Verzeichnis der Verarbeitungstätigkeiten“ auf Basis der

Geschäftsprozesse

€ 2.400,-Preis für 2 PT.,

DurchschnittlicherAufwand je nach

Komplexität 2-4 PT.


Bezeichnung Monatliche Kosten

EU-DSGVO-Katalog• Bereitstellung des EU-DSGVO Basismaßnahmenkatalogs &

kontinuierliche Pflege entsprechend der nationalen Anpassungsgesetze & der aktuellen Judikatur (als Dokument oder für GRC)

Mtl. €250,-

GRC

• Einrichtung & Bereitstellung des ServiceNow GRC Kunden Domain

• Subscription 5-User-Package

• Subscription pro weiteren GRC User

Die Mindestvertagslaufzeit beträgt 24 Monate.


Mtl. €200,-

Mtl. €625,-

Mtl. €125,-

Datenschutzbeauftragter gemäß DSGVO & nationaler Anpassungsgesetze


Bezeichnung Gesamt

Bereitstellung eines Datenschutzbeauftragten und kontinuierliche Pflege DSMS • Überwachung der Unternehmensprozesse und -strategien auf Einhaltung der Datenschutzgrundverordnung und anderer

Datenschutzvorschriften • Beratung hinsichtlich der Pflichten und Anforderungen der DSGVO sowie der Datenschutzfolgeabschätzung für

• den Verantwortlichen • dessen Auftragsverarbeiter • und der Beschäftigten

• Aufbereitung und Durchführung von Schulungsmaßnahmen für die mit der Verarbeitung personenbezogener Daten betrauten Personen

• Zusammenarbeit mit der Aufsichtsbehörde und zentrale Anlaufstelle für Datenschutzthemen• DSMS – Datenschutzmanagementsystem

• Planung von SOLL-Maßnahmen zur Erfüllung der Anforderungen der EU-Datenschutzgrundverordnung • Begleitung und Unterstützung bei der Implementierung von Datenschutzmaßnahmen, -richtlinien und -standards • Erstellung und Wartung von relevanten Dokumenten • Planung und Koordination aller Datenschutzmaßnahmen in der Organisation • Auditing – Überprüfung der vorhandenen Datenschutzmaßnahmen auf Wirksamkeit und Eignung sowie Empfehlung

zusätzlicher und alternativer Maßnahmen • Kontinuierliche Verbesserung und Erweiterung der Datenschutzmaßnahmen anhand von

• neuen oder veränderten rechtlichen Anforderungen • internationalen Best-Practices • neuer interner Auflagen

Mtl. € 2.400,-

Die angeführte Pauschale basiert

auf der Kalkulation von

2 Personentagen pro Monat.


Bezeichnung Gesamt

Optional: Juristische LeistungenJuristische Beratungsleistung im Bezug auf Datenschutzthemen im Umfang von 2 Std. monatlich.

• Bearbeitung von Einzelanfragen in Datenschutzangelegenheiten sowie Unterstützung bei der datenschutzrechtlichen Dokumentationen zum Nachweis der Compliance-Bemühungen zur Erfüllung der Verpflichtungen nach der DSGVO (oder eventueller Verpflichtungen nach dem österreichisch angepassten DSG), insbesondere Erstellung von:

• Datenschutzerklärungen (Privacy Policy) • Einwilligungserklärungen • Erstellung/Beratung bei der Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten (VV, ROPA, Daten-Mapping) • Prüfung der Frage der (verpflichtenden) Bestellung eines Datenschutzbeauftragten (DSB/DPO) • Beratung bei Datenschutz-Folgenabschätzungen (DSFA/PIA) • Beratung bei der Erarbeitung der Prozessabläufe für Data-Breach-Notification gem Art 33, 34 DSGVO • Schulungen oder Trainings und dgl.

• Betreuung bei der Einführung neuer Verarbeitungstätigkeiten im Hinblick auf die Erfüllung der Verpflichtungen aus der DSGVO • Beratung und Erstellung von eventuellen Betriebsvereinbarungen, Vereinbarungen und sonstigen Dokumenten (im

Zusammenhang mit Human Ressources) iZhg mit den arbeitsverfassungsrechtlichen Bestimmungen (ArbVG) oder Einzelvereinbarungen (§ 10 AVRAG)

• Beratung bei den notwendigen Reviews und Unterstützung bei den Überarbeitungen der „DSGVO-Dokumentation“Festgehalten wird, dass mit Beratungspauschale pro Monat die Verfügbarkeit für die Bearbeitung von Anfragen im Rechtsbereich „Datenschutzrecht“ vom Auftragnehmer gewährleistet wird, und etwaige Anfragen zeitnahe bearbeitet werden.

Mtl. € 600,-

Die angeführte Pauschale basiert

auf der Kalkulation von 2 Std. pro

Monat.Darüber hinaus-

gehende Leistungen werden

gesondert verrechnet.

Recht gemäß DSGVO & nationaler Anpassungsgesetze

Exemplarischer Kostenüberblick


Einmalige Kosten

Datenschutz-Workshop2 Personentage (Die Verrechnung erfolgt nach erbrachter Leistung)

€ 2.400,-

Wiederkehrende monatliche Kosten (Mindestlaufzeit von 24 Monaten)

EU-DSGVO Katalog• Bereitstellung des EU-DSGVO

Basismaßnahmenkatalogs & kontinuierliche Pflege

€ 250,-Gesamtkosten monatlich € 3.475,-

GRC

• Einrichtung & Bereitstellung der ServiceNowGRC Kunden Domain

• GRC Subscription 5-User-Package

Optional: juristische Leistungen € 600,-

DSB as a Service• Bereitstellung eines Datenschutz-

beauftragten und kontinuierliche Pflege des Datenschutzmanagementsystems

€ 2.400,-Gesamtkosten Monatlich € 4.075,-

€ 200,-

€ 625,-

Unser Umsetzungsmodell

www.vace-sec.at

• EU-DSGVO-Katalog

• als Katalog im Dokumentenformatoder

• eingebunden in ServiceNow GRC

• ServiceNow GRC

• Subscription GRC-Package (weitere ServiceNow Subscriptions per GRC User)

• Managed Services

• Bereitstellung eines Datenschutzbeauftragten gemäß EU-DSGVO und kontinuierliche Pflege DSMS

• optional: juristische Leistungen


1. Schritt Datenschutz-Workshop der die Basis des „Verzeichnis der Verarbeitungstätigkeiten“ bildet

2. Schritt Lösungsportfolio

Individuelle Projekte auf Grund von Abweichungen sind nicht Bestandteil dieses Managed Services

VACE USP


USPs der VACE SECURITY

Komplettlösung aus einer Hand - wir haben alle nötigen Ressourcen für IT Security, ServiceNow und GRC im Haus

Der von VACE bereitgestellte Datenschutzbeauftragte ist ein IT Security Spezialist mit Kenntnissen in den Bereichen

forensische IT Security Analysen

Penetration-Test für Webseiten, Applikationen, IT Systeme, …

Vulnerability Scan

Wir haben einen Juristen mit langjähriger Erfahrung im Managed Service Paket eingebunden

Wir haben die EU-DSGVO mit den nationalen Anpassungsgesetzen in einen Maßnahmenkatalog mit entsprechenden Controls für GRC aufbereitet

Wir können ServiceNow GRC durch eine Volumens-Lizenz kostengünstig einzeln lizenzieren

Plattform


IT Service Management

IT Operations

Management

IT Business Management

Security Operations HR Service Delivery

BUSINESS APPSIT SECURITY HRCUSTOMER SERVICE

Customer Service

Management

GRC (Governance, Risk

and Compliance)

Platform – Custom AppsPRODUCTS

PLATFORM

WorkflowEngine

SingleDatabase

ContextualCollaboration

ServiceCatalog

ServicePortal

Subscription &

Notification

KnowledgeBase

DeveloperTools

AnalyticsMachine Intelligence

Benchmarks

... ....

.

... .....

.

.

... ....

.

... .....

.

..... ..

......

..

.....

... ....

.

... .....

.

..... .. .....

GRC


Planung der AuditsCompliance Dashboard

Control Assessment

Übersicht der Controls

GRC


Detaillierter Control

Risikobericht

unsere A DNS

Authentisch Wir leben Security und Datenschutz proaktiv und nachhaltig.

Durchgängig Wir begleiten Sie von der Erstanalyse über die Implementierung bis zur Schulung Ihrer Mitarbeiterinnen.

Nachhaltig Mit unserem Know-how im Bereich Personalrecruitment, helfen wir unseren Kunden beim Aufbau

einer eigenen Security- und/oder Datenschutz-Abteilung

Spezialisiert Wir stellen entsprechend spezialisiertes Fachpersonal bei.

A DNS Wir vererben unsere Gene an unsere Kunden!



Linzer Straße 16e A-4221 Steyregg

Das Angebot an Dienstleistern für Human Resources, Engineering, Training und Education, Netzwerk- und IT-Security ist groß,…

…aber wir vereinen all diese Kernkompetenzen zum einzigartigen Nutzen für Sie!

Wir freuen uns auf die Zusammenarbeit!

Documents

DATENSCHUTZ - vace-sec.at · wie ISO/IEC 27001:2013, IEC 62443, BSI IT Grundschutz, ISO 9001 und dgl. einzubinden. Diese Normen und Gesetze, welche sich teilweise überschneiden,