Governance von Daten und Datenschutz in einem Telekommunikationsunternehmen strukturieren

Ein Modell, das Daten, Zuständigkeiten und Kontrollen verbindet

In einem Telekommunikationsunternehmen können personenbezogene Daten durch sehr unterschiedliche Systeme und Prozesse fließen: vom Vertragsabschluss und Kundenservice bis hin zur Abrechnung und zum Lieferantenmanagement. Sie zu steuern bedeutet nicht nur, Sicherheitstools auszuwählen. Es erfordert, festzulegen, wer über die jeweilige Verarbeitung entscheidet, zu welchen Zwecken die Daten verwendet werden, wie lange sie aufbewahrt werden und welche Kontrollen in jeder Phase anzuwenden sind.

Die Data Governance bietet diesen Rahmen: Sie verbindet Richtlinien, Funktionen, Prozesse und Kontrollen, damit Informationen zuverlässig sind, einem festgelegten Zweck dienen und sicher verwaltet werden. Bei personenbezogenen Daten muss dieses Modell mit den jeweils geltenden Pflichten in Einklang stehen, darunter der Datenschutz-Grundverordnung (DSGVO). In Spanien sind außerdem die nationalen Datenschutzvorschriften zu berücksichtigen. Welche konkreten Regeln gelten, hängt von der Tätigkeit, den Verarbeitungsvorgängen und den Gebieten ab, in denen das Unternehmen tätig ist.

1. Verarbeitungsvorgänge erfassen, bevor Kontrollen festgelegt werden

Der erste Schritt besteht darin, einen nachvollziehbaren Überblick über personenbezogene Daten zu gewinnen: Welche Informationen werden erhoben, woher stammen sie, zu welchem Zweck werden sie verwendet, wo werden sie gespeichert, wer greift darauf zu und mit wem werden sie geteilt? Das Verzeichnis sollte außerdem die beteiligten Systeme, die Datenflüsse zwischen Bereichen und Lieferanten sowie Aufbewahrungsfristen oder -kriterien abbilden.

Bei einem Telekommunikationsunternehmen empfiehlt es sich, die Kundenprozesse zu überprüfen und die Analyse nicht auf eine einzelne Datenbank zu beschränken. Zu einer Geschäftsbeziehung können Systeme für Vertragsabschluss, Support, Abrechnung und Störungsmanagement gehören. Den gesamten Datenfluss abzubilden hilft, doppelte Datensätze, funktionsfremde Zugriffe und überprüfungsbedürftige Übermittlungen zu erkennen.

Auf Grundlage des Verzeichnisses kann das Unternehmen Informationen nach Sensibilität, Zweck und Schutzbedarf klassifizieren. Die Klassifizierung soll dazu dienen, Maßnahmen und Berechtigungen festzulegen, nicht die Datenerhebung auszuweiten: Der Grundsatz der Datenminimierung verlangt, die Daten auf das für den jeweiligen Zweck Notwendige zu beschränken.

2. Zuständigkeiten zuweisen und Funktionen trennen

Für eine wirksame Governance müssen klar benannte Verantwortliche vorhanden sein. Die Geschäftsleitung sollte den Rahmen unterstützen und Prioritäten klären; die Geschäftsbereiche sollten ihre Datennutzung begründen; IT und Sicherheit sollten Kontrollen einführen und aufrechterhalten; und die Funktionen für Datenschutz, Datenschutzbeauftragte und Rechtsberatung sollten an der Bewertung der für sie einschlägigen Pflichten und Risiken mitwirken.

Zudem muss geklärt sein, wer als Verantwortlicher für die Verarbeitung handelt und wann Auftragsverarbeiter beteiligt sind, etwa Lieferanten, die Informationen im Auftrag des Telekommunikationsunternehmens verarbeiten. Die vertragliche Bezeichnung allein entscheidet nicht über alle Fälle: Maßgeblich sind die tatsächlichen Funktionen der Beteiligten und die konkrete Verarbeitung. Vereinbarungen und Überwachungsprozesse sollten diese Zuständigkeiten widerspiegeln.

Eine Zuständigkeitsmatrix kann jeden Verarbeitungsvorgang mit seiner operativen Verantwortung, den verwendeten Systemen, den genehmigten Zugriffen, den erforderlichen Überprüfungen und dem Eskalationsverfahren verknüpfen. So bleibt ein Auskunftsersuchen oder ein Vorfall nicht deshalb unbearbeitet, weil mehrere Bereiche annehmen, ein anderer werde sich darum kümmern.

3. Datenschutz und Sicherheit von Anfang an einbeziehen

Kontrollen sollten eine Verarbeitung von ihrer Konzeption an und bei allen wesentlichen Änderungen begleiten. Vor dem Start eines Prozesses, der Integration einer Plattform oder einer Änderung der Datennutzung empfiehlt es sich zu prüfen, ob der Zweck klar abgegrenzt ist, ob die angeforderten Informationen erforderlich sind und ob Zugriffsrechte und Aufbewahrungsfristen festgelegt wurden.

Zu den technischen und organisatorischen Maßnahmen können funktionsbasierte Zugriffskontrollen, geeignete Authentifizierung, Zugriffsprotokollierung, Verschlüsselung und Verfahren zur Überprüfung von Berechtigungen gehören. Die konkrete Auswahl sollte sich nach den Risiken und der Art der Verarbeitung richten; keine einzelne Maßnahme ersetzt die Prüfung des jeweiligen Falls.

Datenschutz durch Technikgestaltung bedeutet auch, zu verhindern, dass Daten automatisch für andere als die ursprünglichen Erhebungszwecke weiterverwendet werden. Wird ein neuer Zweck vorgeschlagen, muss die Nutzung vor ihrer Aktivierung geprüft und gegebenenfalls müssen die Dokumentation und die Informationen für die betroffenen Personen aktualisiert werden.

4. Betroffenenrechte und Aufbewahrung als operative Prozesse verwalten

Anfragen betroffener Personen – zum Beispiel auf Auskunft, Berichtigung, Löschung, Einschränkung oder Widerspruch – erfordern einen Ablauf, der es ermöglicht, die betreffenden Daten zu finden, das Erforderliche zu überprüfen, die beteiligten Bereiche zu koordinieren und innerhalb der geltenden gesetzlichen Fristen zu antworten. In den gesetzlich vorgesehenen Fällen kann auch das Recht auf Datenübertragbarkeit relevant sein. Antworten und Ausnahmen hängen vom geltend gemachten Recht und den Umständen ab; nicht alle Daten müssen bei jeder Anfrage ohne Weiteres gelöscht werden.

Damit eine einheitliche Antwort möglich ist, muss das Telekommunikationsunternehmen wissen, in welchen Systemen die Daten liegen und welche Regeln für die einzelnen Datensätze gelten. Ein gemeinsames Verfahren sollte den Eingangskanal, die Zuweisung von Zuständigkeiten, die Suche in Systemen und bei Lieferanten, die Prüfung der Antwort und die Dokumentation der Maßnahmen festlegen.

Die Aufbewahrung muss an den Zweck und die jeweils geltenden Pflichten geknüpft sein. Sobald Daten für den Zweck, der ihre Verwendung gerechtfertigt hat, nicht mehr erforderlich sind, muss die Richtlinie ihre Löschung oder gegebenenfalls ihre Sperrung nach den anwendbaren Regeln vorsehen. Kriterien für einzelne Verarbeitungsvorgänge helfen sowohl dabei, eine unbegrenzte Aufbewahrung als auch Löschungen zu vermeiden, die geltende Pflichten außer Acht lassen.

5. Auf Vorfälle vorbereitet sein und Dritte überwachen

Ein Vorfallplan sollte festlegen, wie eine mögliche Datenschutzverletzung erkannt und eskaliert wird, wer ihre Auswirkungen bewertet und wie Entscheidungen dokumentiert werden. Soweit erforderlich, muss er auch die Erfüllung der gesetzlich vorgesehenen Meldepflichten ermöglichen. Die Vorbereitung stützt sich auf klare Zuständigkeiten, Kommunikationswege sowie regelmäßige Übungen oder Überprüfungen; es reicht nicht aus, einen Plan zu verfassen, den die Beschäftigten nicht kennen.

Lieferanten und andere Dritte müssen entsprechend ihrem Datenzugriff und der erbrachten Dienstleistung bewertet werden. Das Telekommunikationsunternehmen sollte dokumentieren, welche Informationen sie erhalten, zu welchem Zweck sie diese verarbeiten, welche Maßnahmen sie ergreifen und wie Änderungen, Vorfälle und das Ende der Dienstleistung gehandhabt werden. Bei internationalen Übermittlungen sind die für den jeweiligen Fall geltenden Bedingungen und Garantien zu prüfen.

6. Nachweise, Schulungen und kontinuierliche Verbesserung gewährleisten

Die Organisation muss nachweisen können, wie sie Verarbeitungsvorgänge steuert. Dazu empfiehlt es sich, Verzeichnisse der Verarbeitungstätigkeiten, Richtlinien, einschlägige Bewertungen, Entscheidungen zu Risiken sowie Nachweise über Überprüfungen und Schulungen aktuell zu halten. Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und das für diese Analyse vorgesehene Verfahren zu befolgen.

Interne Audits können überprüfen, ob Berechtigungen weiterhin angemessen sind, ob die Aufbewahrungsregeln eingehalten werden und ob Verfahren für Betroffenenrechte und Vorfälle in der Praxis funktionieren. Schulungen sollten sich an den jeweiligen Aufgaben orientieren: Beschäftigte im Kundenservice, technische Teams und Personen, die Lieferanten verwalten, stehen im Arbeitsalltag vor unterschiedlichen Entscheidungen.

Durch regelmäßige Überprüfungen lassen sich neue Systeme, Änderungen der Dienstleistungen und Prüfungsergebnisse berücksichtigen, ohne Governance als abgeschlossenes Projekt zu behandeln. Ziel ist, dass Zuständigkeiten, Kontrollen und Dokumentation weiterhin der tatsächlichen Datennutzung des Telekommunikationsunternehmens entsprechen.

Die Rolle von ePrivacy im Rahmen

Die Einhaltung der DSGVO ersetzt nicht automatisch die Pflichten nach ePrivacy. Im Telekommunikationsbereich können besondere Vorschriften für Aspekte wie elektronische Kommunikation und die Nutzung bestimmter Daten oder Technologien relevant sein; ihre Anwendung hängt jedoch von der Dienstleistung, der Tätigkeit und der jeweiligen Rechtsordnung ab. Daher muss das Telekommunikationsunternehmen ermitteln, welche sektorspezifischen und nationalen Vorschriften für die jeweilige Verarbeitung gelten, anstatt davon auszugehen, dass eine allgemeine Datenschutzrichtlinie alle Fälle abdeckt.

Ein Implementierungsfahrplan

1. Anwendungsbereich festlegen: Dienstleistungen, Prozesse, Gebiete und einbezogene Systeme bestimmen.
2. Erfassen und klassifizieren: Daten, Zwecke, Zugriffe, Datenflüsse, Dritte und Aufbewahrung dokumentieren.
3. Zuständigkeiten zuweisen: Verantwortliche für Verarbeitungsvorgänge sowie Zuständigkeiten für Datenschutz, Sicherheit, Geschäftsbereiche und IT festlegen.
4. Kontrollen priorisieren: Datenminimierung, Berechtigungen, technische Schutzmaßnahmen sowie Verfahren für Betroffenenrechte und Vorfälle überprüfen.
5. Rechtliche Anforderungen prüfen: DSGVO, nationale Vorschriften und einschlägige ePrivacy-Anforderungen analysieren sowie gegebenenfalls internationale Übermittlungen berücksichtigen.
6. Dokumentieren und überprüfen: Nachweise pflegen, Beschäftigte schulen und Feststellungen durch regelmäßige Überprüfungen korrigieren.

Dieser Ablauf ersetzt nicht die rechtliche Prüfung der einzelnen Verarbeitungsvorgänge. Er dient dazu, Pflichten und Richtlinien in überprüfbare Prozesse zu überführen, sie in den täglichen Betrieb einzubetten und bei Änderungen der Dienstleistungen oder der Datennutzung überprüfbar anzupassen.