DSGVO

So funktioniert es

Weil die DSGVO eine Verordnung und keine Richtlinie ist, gilt sie unmittelbar in jedem Mitgliedstaat, ohne nationales Umsetzungsgesetz. Die Aufsicht bleibt national: in Deutschland die Landesdatenschutzbehörden und der BfDI, in Frankreich die CNIL, in Spanien die AEPD, abgestimmt im Europäischen Datenschutzausschuss.

Artikel 5 enthält die sechs Grundsätze, die alles einrahmen: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit. Artikel 6 regelt die Rechtsgrundlagen. Artikel 32 ist der, mit dem IT-Teams täglich leben: dem Risiko angemessene Sicherheit, mit Pseudonymisierung und Verschlüsselung ausdrücklich genannt, die Fähigkeit zur Wiederherstellung der Verfügbarkeit und eine regelmäßige Überprüfung der Maßnahmen.

Nach einem Vorfall laufen zwei Uhren. Artikel 33 gibt 72 Stunden für die Meldung an die Aufsichtsbehörde, gerechnet ab Ihrer Kenntnis. Artikel 34 verlangt zusätzlich die Information der Betroffenen bei hohem Risiko, es sei denn, die Daten waren so verschlüsselt, dass sie unverständlich bleiben. Bußgelder nach Artikel 83 reichen bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Warum es für eine Flotte wichtig ist

Ein verlorenes Telefon mit Mail-Client, synchronisierten Kontakten und einem CRM-Cache ist in dem Moment eine Datenschutzverletzung, in dem Sie nicht belegen können, dass es geschützt war. Der Beleg ist ein Gerätedatensatz: Speicher verschlüsselt, Sperrcode erzwungen, Löschbefehl gesendet und bestätigt. Ohne ihn rät Ihr Datenschutzbeauftragter zur Meldung, und die machen Sie dann binnen 72 Stunden ohne Fakten.

Schwieriger wird es bei BYOD. Das Gerät gehört der Beschäftigten, ihre Fotos und Nachrichten sind ihre eigenen personenbezogenen Daten, und eine vollständige Löschung ist ausgeschlossen. Die Aufsichtsbehörden sagen dazu klar: Die Kontrolle des Arbeitgebers muss auf die beruflichen Daten begrenzt bleiben. Ein Arbeitsprofil oder ein Container verwalteter Apps macht aus dieser Grenze einen technischen Mechanismus statt eines Satzes in einer Richtlinie.

Dann die Übermittlungen. Seit dem Schrems-II-Urteil vom Juli 2020 verlangt jede Übermittlung an einen US-gehosteten Dienst ein dokumentiertes Transferinstrument und eine Risikobewertung. Daten, die in der EU bleiben, ersparen Ihnen diese Arbeit.

So handhabt es Appaloosa

Appaloosa handelt als Auftragsverarbeiter nach Artikel 28 und hält keine Zertifizierung. Die Plattform macht Sie nicht DSGVO-konform: Die Pflichten des Verantwortlichen bleiben bei Ihnen. Sie liefert die technische Hälfte von Artikel 32 auf der mobilen Seite, also erzwungene Speicherverschlüsselung und Sperrcode, einen Compliance-Zustand je Gerät, eine selektive Löschung nur der Arbeitsdaten und Protokolle darüber, wann ein Befehl gesendet und ausgeführt wurde.

Die Plattform läuft auf einer Infrastruktur in Frankreich mit der SecNumCloud-Qualifizierung der ANSSI (Referenzrahmen Version 3.2, der die Immunität gegen außereuropäische Gesetze abdeckt), und Kundendaten bleiben in der EU, sodass Sie kein Transferinstrument dokumentieren müssen. Minimierung ist Teil der Auslegung: Die Konsole erfasst Inventar- und Compliance-Signale, nicht Standort oder Browserverlauf. Ihr Mobile Device Management ist damit auch die Stelle, an der ein Datenschutzbeauftragter nachlesen kann, was mit einem Gerät passiert ist.