Betroffene Personen

Was sind betroffene Personen?

Eine betroffene Person ist eine Person, die entweder direkt oder indirekt über einen qualifizierenden Identifikator identifiziert werden kann. Der Identifikator könnte eine ID-Nummer, ein Name, ein Standort oder andere Faktoren über diese Person sein.

Der Begriff wird am häufigsten im Zusammenhang mit der Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union in Bezug auf personenbezogene Daten verwendet, die über Personen gesammelt werden könnten. Eines der Hauptziele der DSGVO ist es, personenbezogene Daten zu schützen und sicherzustellen, dass Unternehmen, die diese Daten verwenden, dies mit der vollen Zustimmung der betroffenen Person tun.

In den meisten Geschäftsfällen sind betroffene Personen Mitarbeiter oder Kunden des Unternehmens. In einigen Fällen kann es erforderlich sein, die persönlichen Informationen einer betroffenen Person zur Analyse offenzulegen. Mit Tools zur Daten-De-Identifikation können Unternehmen die wichtigsten Datenstücke aus diesen Personen extrahieren, ohne dass ihre persönlich identifizierbaren Informationen dem Risiko eines Datenschutzverstoßes ausgesetzt werden.

Arten von betroffenen Personen

Wer eine betroffene Person ist, hängt hauptsächlich davon ab, welche Informationen ein Unternehmen sammelt und wie die Personen mit dem Unternehmen in Beziehung stehen. Einige der häufigsten Typen sind:

• Mitarbeiter. Unternehmen halten große Mengen an Daten über ihre Mitarbeiter, von persönlichen Details wie Wohnadresse, Sozialversicherungsnummer und Geburtsdatum bis hin zu finanziellen Details wie Bankkontoinformationen. Mitarbeiter machen in der Regel den größten Prozentsatz der Datenbank eines Unternehmens aus.
• Kunden. Nach den Mitarbeitern ist dies typischerweise der nächstgrößte Prozentsatz. Je nach Art des Unternehmens können einige Unternehmen große Mengen sehr persönlicher Daten über diese Personen haben. Andere haben möglicherweise nur einen Namen, eine Adresse und Zahlungsinformationen von früheren Käufen.
• Lieferanten oder Anbieter. Jedes Unternehmen, das mit anderen Unternehmen zusammenarbeitet, hat grundlegende Informationen in seinen Datenbanken über seine Anbieter. Wie bei Kunden könnten diese Informationen minimal sein, werden aber dennoch als private Informationen über diese spezifischen betroffenen Personen betrachtet.
• Bewerber. Wenn Unternehmen neue Mitarbeiter einstellen, sammeln sie Daten in jeder Phase des Bewerbungsprozesses. Dies ist besonders bei Online-Bewerbungen der Fall, bei denen Tracking-Details für jeden Bewerber aufgezeichnet werden können, zusammen mit den Informationen, die sie über sich selbst in Bewerbungsformularen eingeben.
• Interessenten. Für Unternehmen, die aktiv daran arbeiten, ihre Kundenliste zu erweitern, kann auch ein Datensatz potenzieller Kunden gesammelt werden. Ein Customer Relationship Management System (CRM) kann Informationen über Interessenten speichern, damit das Vertriebsteam diese Leads pflegen und in zahlende Kunden umwandeln kann.
• Angehörige. Die Personalabteilung kann im Falle eines Notfalls eines Mitarbeiters die Daten der Angehörigen aufbewahren. Bestimmte Branchen wie das Gesundheitswesen können mehr Informationen über Angehörige haben, falls medizinische Entscheidungen getroffen werden müssen.

Grundlegende Elemente von betroffenen Personen

Jede Person hat zahlreiche Identifikatoren, die ein Unternehmen speichern könnte, um sie als betroffene Person zu identifizieren. Dazu gehören:

• Name. Dies ist der häufigste Identifikator, den Unternehmen über Mitarbeiter, Kunden oder Anbieter haben. Einige Unternehmen verbergen oder verschlüsseln diese Informationen, um die Identität der betroffenen Personen zu schützen.
• Identifikationsnummer. Einer betroffenen Person könnte eine ID-Nummer zugewiesen werden, oder sie könnte bereits eine eigene haben, wie eine Pass- oder Führerscheinnummer, die in eine Datenbank zur Identifikation eingegeben werden kann.
• Physische Adresse. In den meisten Fällen ist die einer betroffenen Person zugewiesene Adresse ihr Wohn- oder Bürostandort.
• E-Mail-Adresse. Eine geschäftliche oder persönliche E-Mail-Adresse wird für alle Arten von betroffenen Personen aufgezeichnet, damit ein Unternehmen sie bei Bedarf leicht kontaktieren kann.
• Fotografie. Einige Unternehmen behalten visuelle Informationen über ihre betroffenen Personen. Mitarbeiterfotos können an ihre Personalakte angehängt und von der Personalabteilung aufbewahrt werden. Strafverfolgungsbehörden führen fotografische Aufzeichnungen von Personen, die verhaftet oder in Gewahrsam genommen wurden.
• Biometrische Daten. Netzhautscans oder Fingerabdruckdaten können auch von einigen Unternehmen aufbewahrt werden, insbesondere von solchen, die in stark gesicherten Branchen arbeiten. Einige Technologieunternehmen verwenden diese Informationen auch, wenn betroffene Personen auf Bürostandorte oder bestimmte Geschäftssysteme zugreifen müssen.

Unter DSGVO-Vorschriften sollte eine betroffene Person auch in eine der fünf Kategorien passen:

• In der EU ansässig
• Einwohner der EU
• Bürger der EU
• Ein EU-Einwohner oder Bürger außerhalb der EU
• Persönliche Daten innerhalb der EU gespeichert

Best Practices für betroffene Personen

Jedes Unternehmen hat mehrere betroffene Personen, unabhängig vom Typ. Der Schutz ihrer Informationen ist entscheidend, daher sollten Organisationen mehrere Best Practices befolgen.

• Zugriff auf Informationen von betroffenen Personen kontrollieren. Nicht jeder innerhalb eines Unternehmens benötigt Zugriff auf das gleiche Niveau an Informationen von betroffenen Personen. Für Mitarbeiter sollte das HR-Team diese Daten verwalten, während Kundeninformationen nicht außerhalb der Vertriebs- und Marketingabteilungen geteilt werden müssen. Die Informationen von betroffenen Personen auf die kleinste notwendige Gruppe zu beschränken, schützt persönliche Details.
• Daten auf allen Ebenen verschlüsseln. Cybersecurity-Verstöße nehmen zu, daher ist es unerlässlich, sensible Informationen vor unbefugtem Zugriff zu schützen. Durch Verschlüsselung von Daten vor dem Teilen wird es für unbefugte Benutzer schwieriger, auf die Informationen zuzugreifen.
• Regelmäßige Durchführung von Cybersecurity-Audits. Die Verschlüsselung von Daten reicht nicht aus, wenn es um Cybersecurity geht. IT-Teams sollten regelmäßig die Sicherheitspraktiken des Unternehmens bewerten, um Schwachstellen im System zu identifizieren und notwendige Updates vorzunehmen, um Datenverstöße zu verhindern.
• Einhaltung von Branchenvorschriften. Unternehmen müssen sicherstellen, dass der Schutz personenbezogener Daten weiterhin den vereinbarten Standards entspricht, insbesondere bei der Arbeit mit betroffenen Personen in der EU oder in stark regulierten Branchen.

Schützen Sie die gespeicherten Daten Ihres Unternehmens und garantieren Sie die Sicherheit der persönlichsten Informationen Ihrer betroffenen Personen mit Datenbank-Sicherheitssoftware.