Premium WordPress-Wartung · by Frontend GmbH
Welche Datenschutzanforderungen gelten für Backup-Speicherorte?
Die Antwort.
Backup-Speicherorte müssen dem Schutzbedarf der enthaltenen personenbezogenen Daten entsprechen und in das Datenschutzkonzept einbezogen werden. Zu prüfen sind insbesondere Auftragsverarbeitung, Speicherregion und Drittlandtransfer, Verschlüsselung, Zugriffskontrolle, Aufbewahrungsfristen, Löschung und Unterauftragnehmer. Welche Rechtsgrundlage und konkreten Garantien erforderlich sind, muss der Verantwortliche datenschutzrechtlich bewerten.
Abhängig vom vereinbarten Umfang dokumentieren wir den technischen Speicherweg Ihrer Backups und setzen die vereinbarten Schutz- und Löschmaßnahmen um; die rechtliche Bewertung bleibt bei Ihnen.
Den Backup-Speicher als eigene Verarbeitung betrachten
Für die konkrete rechtliche Bewertung sind Zweck, Datenarten, Anbieter, Speicherregion und Verträge relevant. Technik und Datenschutzorganisation müssen gemeinsam betrachtet werden.
- Geeignete technische und organisatorische Schutzmaßnahmen bewerten.
- Auftragsverarbeitung und eingesetzte Unterauftragnehmer prüfen.
- Drittlandbezug und tatsächliche Speicherorte nachvollziehen.
- Zugriffsrechte, Verschlüsselung, Aufbewahrung und Löschung festlegen.
Technische Prüfung für die Datenschutzverantwortlichen
Für eine belastbare Bewertung lassen sich Datenkategorien, Verschlüsselung, Zugriffspersonen, Speicherregion, Unterauftragnehmer und Löschmechanismus dokumentieren. Diese Fakten unterstützen die zuständige Datenschutzprüfung, ersetzen sie aber nicht. Relevant ist außerdem, ob der Anbieter Supportzugriffe aus weiteren Regionen ermöglicht und wie eine Datenherausgabe beziehungsweise Löschung nach Vertragsende praktisch nachgewiesen werden kann.
Den Speicherweg für die Datenschutzprüfung dokumentieren
Für die fachliche Bewertung werden Datenarten, Zweck, Anbieter, Speicherregionen, Unterauftragnehmer und mögliche Supportzugriffe erfasst. Auch Verschlüsselung, Schlüsselinhaber, Berechtigte, Aufbewahrung und Löschverfahren gehören in die technische Dokumentation.
Löschmechanismen des Speicheranbieters technisch prüfen
Technisch lässt sich zusätzlich prüfen, ob Löschanfragen beim Speicheranbieter protokolliert werden und welche Backups von dessen eigener Plattform existieren. Die rechtliche Angemessenheit dieses Verfahrens beurteilen die zuständigen Stellen anhand der konkreten Verarbeitung und Vereinbarungen.
Technische Fakten von rechtlicher Bewertung trennen
Diese Fakten unterstützen Datenschutzverantwortliche bei Vertrags- und Transferprüfung, ersetzen aber keine Rechtsberatung. Wichtig ist die tatsächliche Verarbeitung und nicht nur die beworbene Region. Beim Vertragsende werden Export, bestätigter Empfang, Löschfristen und mögliche Restkopien betrachtet. Änderungen am Speicherdienst sollten eine erneute Bewertung auslösen.
Verwandte Fragen.
Welches RTO ist für eine Unternehmenswebsite sinnvoll?
Ein sinnvolles RTO für eine Unternehmenswebsite ergibt sich aus der maximal tragbaren Ausfallzeit und muss mit Infrastruktur, Zuständigkeiten und getesteter Wiederherstellung realistisch erreichbar sein.
Welches RPO ist für eine Unternehmenswebsite sinnvoll?
Für eine selten geänderte Unternehmenswebsite ist ein RPO von 24 Stunden oft ein sinnvoller Ausgangspunkt; bei häufigen Anfragen oder Transaktionen muss es deutlich kürzer sein.
Was passiert, wenn keine aktuelle Sicherung vorhanden ist?
Ohne aktuelle Sicherung muss geprüft werden, welcher ältere Stand nutzbar ist und welche Daten aus Logs, externen Systemen, E-Mails oder Exporten rekonstruiert werden können.
Wie oft sollte ein Disaster-Recovery-Plan aktualisiert werden?
Ein Disaster-Recovery-Plan sollte regelmäßig sowie nach wesentlichen technischen, organisatorischen oder personellen Änderungen geprüft und aktualisiert werden.
Ihre Website-Betreuung klären.
Beschreiben Sie uns Ihre Website und Ihr Anliegen. Im Gespräch legen wir fest, welche Betreuung Sie benötigen.