DSGVO Geräteinventar: Wo Personendaten liegen

Personenbezogene Daten liegen auf einem Gerät, sobald sie dort gespeichert, zwischengespeichert oder synchronisiert werden, also auf Laptops, Handys, USB-Laufwerken und Scannern, nicht nur auf Servern. Ein DSGVO-Geräteinventar listet jedes Gerät auf, das personenbezogene Daten halten kann, wer es hat, ob es verschlüsselt ist und wie es gelöscht wird, damit Sie angemessene Sicherheit nach Artikel 32 belegen und bei einem Verlust innerhalb der 72-Stunden-Frist von Artikel 33 entscheiden können, ob Sie die Aufsichtsbehörde informieren müssen. Die DSGVO verwendet das Wort „Geräteinventar“ nicht, aber was Sie nicht auflisten können, können Sie weder schützen noch melden.

Warum interessiert sich die DSGVO für Geräte?

Die Verordnung verlangt eine sichere Verarbeitung personenbezogener Daten (Artikel 5 Absatz 1 Buchstabe f), und Artikel 32 fordert von Verantwortlichen und Auftragsverarbeitern dem Risiko angemessene technische und organisatorische Maßnahmen, mit Verschlüsselung als einem Beispiel. Ein Laptop mit einem Kundenexport gehört zu diesem Risiko. Artikel 33 verlangt dann, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Artikel 33 Absatz 5 verlangt außerdem, jede Verletzung zu dokumentieren, auch die, die Sie nicht melden.

Artikel 30 verlangt ein Verzeichnis von Verarbeitungstätigkeiten, das Datenkategorien und Systeme beschreibt statt einzelner Geräte. Das Geräteinventar verbindet dieses Verzeichnis mit der physischen Wirklichkeit.

Der Verordnungstext, einschließlich der Artikel 5, 30, 32 und 33, ist veröffentlicht unter eur-lex.europa.eu. Dies ist praktische Orientierung, keine Rechtsberatung.

Wo liegen personenbezogene Daten auf Geräten tatsächlich?

Teams denken an ihre Hauptsysteme und vergessen die Kopien. Gehen Sie diese Orte durch, wenn Sie das Inventar abgrenzen.

Was sollte ein DSGVO-Geräteinventar erfassen?

Halten Sie es kurz genug, um es zu pflegen. Diese Felder beantworten, was eine Behörde oder ein Kunde nach einem Vorfall fragen wird.

• Gerät und Seriennummer: damit eine Verlustmeldung ein konkretes Objekt benennt.
• Verantwortlicher: die zuständige Person, mit Beginn und Ende der Zuweisung.
• Verschlüsselungsstatus: verschlüsselt oder nicht, und woher Sie das wissen, zum Beispiel ein Verweis auf Ihre Geräteverwaltung.
• Mögliche Daten: ein einzeiliger Hinweis wie „Exporte aus dem Kundensupport“.
• Standort: Büro, Homeoffice oder Lager.
• Lebensende: Entsorgungsdatum und Löschzertifikat.

Was tun, wenn ein Gerät mit personenbezogenen Daten verloren geht?

Starten Sie die Uhr, sobald Sie es wissen. Notieren Sie, wann Sie davon erfuhren, welches Gerät es war, wer es hatte und ob es verschlüsselt war, und bewerten Sie dann das Risiko für die Betroffenen. Die benötigten Fakten sind genau die obigen Inventarfelder, weshalb ein Verlust der beste Test für das Register ist. Den Ablauf von der Fernsperre bis zur Meldung beschreibt das Verfahren bei verlorenem oder gestohlenem Laptop.

Ob Sie melden müssen, hängt von der Risikobewertung ab. Ein verschlüsseltes Gerät mit starker Sperre kann das Risiko senken, die Entscheidung dokumentieren Sie aber trotzdem, wie Artikel 33 Absatz 5 es verlangt.

Und ausgemusterte Geräte, Austritte und Remote-Mitarbeitende?

Hier fließen personenbezogene Daten am häufigsten ab. Ein Ausscheidender, der ein Handy behält, ein Laptop ohne Löschung zurückgegeben, eine Schublade alter Laufwerke: nichts davon taucht in einem Hauptsystem auf, und alles kann Daten enthalten. Verknüpfen Sie das Inventar mit Ihrem Entsorgungsprozess, damit jedes ausgemusterte Gerät eine erfasste Löschung hat, und mit den Praktiken zur Ausstattung von Remote-Mitarbeitenden, damit Versand und Rückgabe protokolliert werden.

Wo passt InventorIA hinein?

InventorIA führt das Hardwareregister mit Zuweisung, Status, Garantie, Standort und Lebenszyklusstatus, verknüpft über Personen und Offboarding jede Person mit den Geräten, die sie hält, und exportiert als CSV oder Excel. So haben Sie Verantwortlichen, Standort und Lebensende-Spur jedes Geräts an einem Ort. Es scannt keine Geräte und prüft nicht, ob eine Festplatte verschlüsselt ist, erfassen Sie das aus Ihrem Geräteverwaltungstool. Es macht Sie auch nicht allein DSGVO-konform.

Um das Register mit Beispieldaten zu sehen, öffnen Sie die Live-Demo oder starten Sie einen kostenlosen Arbeitsbereich mit bis zu 10 Assets.

Häufige Fragen

Verlangt die DSGVO ein Geräteinventar?

Nicht unter diesem Namen. Die Artikel 32 und 33 verlangen angemessene Sicherheit und Meldung von Verletzungen, beides ist schwer zu erfüllen, wenn Sie die Geräte mit personenbezogenen Daten nicht auflisten können.

Müssen private Geräte für die Arbeit aufgelistet werden?

Wenn sie personenbezogene Unternehmensdaten halten, müssen Sie davon wissen. Entweder verbietet Ihre Richtlinie sie, oder Sie erfassen sie und legen fest, wie Daten beim Austritt entfernt werden.

Ist Verschlüsselung nach der DSGVO Pflicht?

Artikel 32 nennt Verschlüsselung als Beispiel für eine angemessene Maßnahme. Ob sie verlangt ist, hängt vom Risiko ab, bei tragbaren Geräten ist sie aber die übliche Grundlage.

Muss der Verlust eines verschlüsselten Laptops gemeldet werden?

Das hängt von Ihrer Risikobewertung ab. Verschlüsselung kann ein Risiko für Personen unwahrscheinlich machen, die Verletzung und Ihre Begründung dokumentieren Sie aber nach Artikel 33 Absatz 5.

Reicht eine Tabelle?

Ja, wenn sie vollständig ist, Verantwortliche und Daten enthält und aktuell bleibt. Ein Tool hilft vor allem bei der Spur für Austritte und Entsorgung.