08.10.2014 Auf was sollten Mittelständler achten?

Checkliste zur sicheren Datenlöschung

Von: Benno Opiolka

Damit Unbefugte keinen Zugriff auf nicht mehr benötigte Daten erhalten, sollten mittelständische Unternehmen Daten- und Datenträger korrekt und sicher löschen (lassen) – was gibt es dabei zu beachten?

Zerstörte Datenträger müssen säuberlich dokumentiert werden.

Für viele Mittelständler ist eine eigene Ausstattung für die korrekte Datenträgervernichtung bzw. -löschung oft kostspielig in der Anschaffung und komplex in der Bedienung – so können sie alternativ einen IT-Dienstleister mit der externen Datenlöschung und –Entsorgung beauftragen. Folgende Aspekte sollten Unternehmen laut der K&P Computer Service- und Vertriebs-GmbH dabei beachten:

Sind personenbezogene Daten betroffen sollte ein Vertrag zur Auftragsdatenverarbeitung nach §11 BDSG abgeschlossen werden, u.a. mit folgenden Informationen: Umfang, Art und Zweck der vorgesehenen Verarbeitung oder Nutzung von Daten; zu treffende technische und organisatorische Maßnahmen; Pflichten des Auftragnehmers; Kontrollrechte des Auftraggebers, Umfang der Weisungsbefugnisse des Auftraggebers u.v.m. Außerdem wird eine sorgfältige Auswahl des Auftragnehmers gefordert.
Beim Abschluss eines Dienstleistungsvertrages zur Entsorgung der Datenträger sollten Mittelständler darauf achten, dass das Lösch-/ Vernichtungsverfahren (z.B. Überschreiben, Schreddern, Degaussen) und ggf. auch die Norm genau definiert sind.
Es sollte eine Geheimhaltungsvereinbarung für nicht-personenbezogene Daten abgeschlossen werden. Diese sollte auch eine Vertragsstrafe bei Verstößen beinhalten.
Unternehmen müssen sicherstellen, dass zu löschende/zu zerstörende Datenträger dokumentiert und in gesicherten Behältern gesammelt/gelagert werden. Die Dokumentation umfasst Art, Seriennummer und ggf. Hersteller sowie Typ jedes Datenträgers.
Es sollte geprüft werden, ob ein sicherer Transport der Datenträger zum Ort der Vernichtung/Löschung gewährleistet ist. Der Transport sollte nur in verschlossenen und/oder plombierten Behältern und möglichst als Direktfahrt – ggf. mit GPS-Überwachung – stattfinden.
Mittelständler sollten prüfen, ob die lückenlose Dokumentation aller Prozessschritte durch Übergabe- und Transportprotokolle gewährleistet ist: vom dem Zeitpunkt, an dem die Datenträger dem externen Dienstleister übergeben werden, bis zur Vernichtung bzw. Löschung der Datenträger.
Der Dienstleister sollte dem Kunden ein Löschzertifikat ausstellen, das mindestens folgende Informationen beinhaltet: Ort und Datum der Vernichtung/Löschung; Seriennummer der Festplatte, idealerweise auch Hersteller und Typ; eingesetztes Lösch-/bzw. Vernichtungsverfahren; ggf. Angaben zur weiteren Verwendung des Datenträgers.