Sicherstellung der Konformität mit dem Datenaustausch mit Dritten: Wichtige Vorschriften und bewährte Praktiken

Wachsende Geschäftsnetzwerke von Drittanbietern, Geschäftspartnern und Partnern können oft zu einem komplexen Datenaustausch führen, der undurchsichtig und schwer zu messen ist. So kann beispielsweise ein Drittanbieter, der die IT-Systeme eines Unternehmens verwaltet, Zugang zu sensiblen Daten haben, die nicht absichtlich oder direkt mit ihm geteilt wurden. Die Risiken laxer Richtlinien für den Datenaustausch mit Drittanbietern sind weit verbreitet, wie unsere Studie zum Risikomanagement von Drittanbietern 2024 zeigt, in der 61 % der Unternehmen in den letzten 12 Monaten von einer Datenverletzung oder einem Sicherheitsvorfall durch Dritte berichteten.

Dieses komplexe Ökosystem des Datenaustauschs erhöht die Notwendigkeit der Einhaltung von Vorschriften. Unternehmen müssen sich der sich ständig ändernden rechtlichen Rahmenbedingungen bewusst sein und dem Datenschutz und der Privatsphäre Vorrang einräumen. Dieser Beitrag befasst sich mit den wichtigsten Überlegungen für Unternehmen, die diese Herausforderungen meistern, die Einhaltung von Vorschriften sicherstellen und ihre Abwehrkräfte gegen die mit der gemeinsamen Nutzung von Daten durch Dritte verbundenen Risiken stärken müssen.

Gemeinsame Nutzung von Daten durch Dritte und Einhaltung von Vorschriften

Die gemeinsame Nutzung von Daten durch Dritte umfasst verschiedene Szenarien, von der Nutzung cloudbasierter Speicherlösungen bis zur Auslagerung der Zahlungsabwicklung oder des Kundensupports. Mit zunehmender Abhängigkeit von externen Stellen wird das Verständnis der Compliance-Implikationen jedes Datenaustauschs entscheidend.

Die Weitergabe von Kundendaten an eine Marketingagentur kann beispielsweise die Einhaltung von GDPR oder CCPA erfordern, während die Weitergabe sensibler Finanzdaten an einen Zahlungsabwickler die Einhaltung der PCI DSS-Standards erfordern kann. Branchenspezifische Vorschriften wie HIPAA für das Gesundheitswesen und FERPA für Bildungseinrichtungen machen die Compliance-Landschaft noch komplexer. Das Erkennen der verschiedenen Szenarien für die gemeinsame Nutzung von Daten durch Dritte und deren Auswirkungen auf die Einhaltung der Vorschriften ist entscheidend für eine proaktive Risikomanagementstrategie.

Beispiele für die gemeinsame Nutzung von Daten durch Dritte

Hier sind einige Beispiele dafür, wie sich die gemeinsame Nutzung von Daten durch Dritte auf die Einhaltung der Vorschriften auswirken kann:

• Cloud-Speicher und Datenschutzbestimmungen: Unternehmen nutzen häufig Cloud-Speicherlösungen wie AWS oder Microsoft Azure, um sensible Kundendaten zu speichern. Sie müssen Datenschutzgesetze wie die GDPR in Europa oder die CCPA in Kalifornien einhalten. Die Einhaltung dieser Vorschriften setzt voraus, dass der von ihnen gewählte Cloud-Dienst angemessene Sicherheitsmaßnahmen, Datenverschlüsselung und vertragliche Garantien zum Schutz der anvertrauten Informationen bietet.
• Verwaltung personenbezogener Gesundheitsinformationen (PHI): Organisationen des Gesundheitswesens lagern die Verwaltung elektronischer Patientenakten (EHR) häufig an externe Anbieter aus oder lagern Funktionen wie die Patientenabrechnung aus, was den Zugriff des Geschäftspartners auf ePHI erfordert. Um den Health Insurance Portability and Accountability Act (HIPAA) einzuhalten, muss überprüft werden, ob EHR-Anbieter die strengen Datenschutz- und Sicherheitsvorschriften einhalten. Dazu gehören eine ordnungsgemäße Zugriffsverwaltung, Verschlüsselung und Verfahren zur Meldung von Verstößen. Auch Drittanbieter, die mit PHI arbeiten, müssen die Sicherheitsvorschriften des HIPAA einhalten.
• Zahlungsabwicklung & PCI DSS: Viele Organisationen arbeiten bei der Zahlungsabwicklung mit externen Diensten wie Stripe oder PayPal zusammen und geben sensible Finanzdaten wie Kreditkartennummern weiter. Sie müssen sicherstellen, dass diese Partner den Payment Card Industry Data Security Standard (PCI DSS) einhalten und die erforderlichen Sicherheitsmaßnahmen zum Schutz von Kundendaten umsetzen.

Gemeinsame Nutzung von Daten durch Dritte Wichtige Compliance-Vorschriften

Gesetz zur Übertragbarkeit und Rechenschaftspflicht von Krankenversicherungen

Der 1996 eingeführte HIPAA schützt sensible Patientendaten. Mit dem Aufkommen digitaler Gesundheitsakten und der zunehmenden Abhängigkeit von externen Partnern ist das Verständnis der HIPAA-Konformität für den Datenaustausch mit Dritten von entscheidender Bedeutung. Zu den kritischen Bereichen für die Einhaltung des HIPAA gehören:

• Vereinbarungen mit Geschäftspartnern (Business Associate Agreements, BAAs): Der HIPAA verlangt von den betroffenen Einrichtungen, dass sie mit Drittanbietern, die geschützte Gesundheitsinformationen (PHI) verarbeiten, Vereinbarungen über Geschäftspartnerschaften abschließen. BAAs legen die Verantwortlichkeiten und Verpflichtungen beider Parteien beim Schutz von PHI fest, wie z. B. die Umsetzung angemessener Sicherheitsmaßnahmen, die Einhaltung der HIPAA-Datenschutz- und Sicherheitsregeln und die Meldung von Datenverletzungen.
• Risikobewertungen und Sicherheitsmaßnahmen: Die betroffenen Unternehmen müssen ihre Geschäftspartner einer gründlichen Risikobewertung unterziehen, um sicherzustellen, dass die notwendigen Schutzmaßnahmen für PHI vorhanden sind. Bei den Bewertungen sollten die administrativen, physischen und technischen Sicherheitsmaßnahmen des Drittanbieters beurteilt werden. Regelmäßige Audits und Sicherheitsbewertungen sollten ebenfalls durchgeführt werden, um die Einhaltung der Vorschriften zu überwachen und aufrechtzuerhalten.
• Schulung und Sensibilisierung: Der HIPAA schreibt vor, dass alle Mitarbeiter, die mit PHI zu tun haben, eine angemessene Schulung zu den Vorschriften sowie den Richtlinien und Verfahren der Organisation erhalten. Diese Anforderung gilt auch für Geschäftspartner, und es liegt in der Verantwortung der betroffenen Einrichtung, sicherzustellen, dass ihre Partner angemessen geschult sind und ihre Verpflichtungen gemäß HIPAA kennen.

GDPR und gemeinsame Nutzung von Daten durch Dritte

Die im Mai 2018 in Kraft getretene GDPR ist eine umfassende Datenschutzverordnung, die die Erhebung, Verarbeitung und Speicherung personenbezogener Daten von Einzelpersonen in der Europäischen Union regelt. Zu den wichtigsten Grundsätzen gehören die Datenminimierung, die Zweckbindung und die Gewährleistung angemessener Sicherheitsmaßnahmen zum Schutz personenbezogener Daten. Im Folgenden finden Sie einige wichtige Überlegungen zur GDPR und zur gemeinsamen Nutzung von Daten durch Dritte:

• Vereinbarungen zur Datenverarbeitung (DPAs): Die DSGVO verlangt von Unternehmen, dass sie Datenverarbeitungsverträge mit Drittanbietern abschließen, die personenbezogene Daten in ihrem Auftrag verarbeiten. In diesen Vereinbarungen werden die Verantwortlichkeiten beider Parteien festgelegt, einschließlich des Umfangs und des Zwecks der Datenverarbeitung, der Umsetzung von Sicherheitsmaßnahmen und der Löschung oder Rückgabe von Daten bei Beendigung des Vertrags.
• Datenschutz-Folgenabschätzungen (Data Protection Impact Assessments, DPIAs): Organisationen müssen Datenschutzfolgenabschätzungen durchführen, um die potenziellen Risiken im Zusammenhang mit der gemeinsamen Nutzung von Daten durch Dritte und der anschließenden Verarbeitung personenbezogener Daten zu bewerten. Dazu gehört auch die Ermittlung potenzieller Bedrohungen für die Rechte der betroffenen Personen und die Ergreifung der erforderlichen Maßnahmen zur Minderung dieser Risiken.

CCPA und gemeinsame Nutzung von Daten durch Dritte

Das im Januar 2020 in Kraft getretene kalifornische Gesetz zum Schutz der Privatsphäre von Verbrauchern (California Consumer Privacy Act- CCPA) ist eine bundesstaatliche Datenschutzregelung, die die Rechte und den Schutz der Verbraucher in Kalifornien verbessern soll. Zu den wichtigsten Bestimmungen gehören das Recht auf Zugang, Löschung und Widerspruch gegen den Verkauf von personenbezogenen Daten.

• Vereinbarungen mit Dienstleistern: Gemäß CCPA müssen Organisationen Vereinbarungen mit Drittanbietern, sogenannten Dienstleistern, abschließen, die personenbezogene Daten in ihrem Auftrag verarbeiten. Diese Vereinbarungen sollten den Zweck und den Umfang der Datenverarbeitung detailliert festlegen, die Aufbewahrung, Verwendung oder Weitergabe personenbezogener Daten für andere als die im Vertrag festgelegten Zwecke untersagen und den Dienstleister zur Einhaltung angemessener Sicherheitsmaßnahmen verpflichten.
• Sorgfaltspflicht des Anbieters: Ähnlich wie GDPR schreibt CCPA vor, dass Unternehmen bei der Auswahl und Beauftragung von Drittanbietern mit der gebotenen Sorgfalt vorgehen. Dazu gehört die Bewertung der Einhaltung des CCPA durch den Dienstleister, die Sicherstellung der Implementierung angemessener Sicherheitsmaßnahmen und die Überwachung der kontinuierlichen Einhaltung der Verordnung durch den Dienstleister.

PCI DSS und gemeinsame Nutzung von Daten durch Dritte

Der Payment Card Industry Data Security Standard(PCI DSS) wurde 2004 entwickelt und liegt nun in der Version 4.0 vor. Ziel ist es, die Sicherheit der Daten von Karteninhabern zu verbessern und die breite Einführung einheitlicher Datensicherheitsmaßnahmen weltweit zu erleichtern. Der Standard soll sicherstellen, dass Unternehmen über die richtigen Kontrollen und Verfahren zum Schutz von Karteninhaberdaten verfügen. Zu den wichtigsten Aspekten der gemeinsamen Nutzung von Daten durch Dritte gehören:

• Beurteilungen von Drittanbietern: Um die PCI DSS-Konformität aufrechtzuerhalten, müssen Unternehmen bei der Auswahl von Drittanbietern, die mit Karteninhaberdaten umgehen, eine sorgfältige Prüfung durchführen. Dieser Prozess umfasst die Bewertung des PCI DSS-Konformitätsstatus, der Sicherheitsmaßnahmen und der Datenverarbeitungspraktiken des Anbieters. Durch die Zusammenarbeit mit PCI DSS-konformen Anbietern wird das Risiko von Datenschutzverletzungen minimiert und die sichere Verarbeitung von Karteninhaberdaten gewährleistet.
• PCI DSS-Anforderungen für Dienstanbieter: Drittanbieter von Dienstleistungen die Daten von Karteninhabern verarbeiten, speichern oder übertragen, müssen die Anforderungen des PCI DSS erfüllen. Zu den wichtigsten Anforderungen gehören:
  • Aufrechterhaltung eines sicheren Netzes durch Firewalls und andere Netzsicherheitsmaßnahmen.
  • Schutz der Daten von Karteninhabern durch Implementierung starker Verschlüsselungs- und Zugangskontrollmechanismen.
  • Regelmäßige Überwachung und Prüfung der Netze auf Schwachstellen und Sicherstellung der unverzüglichen Beseitigung festgestellter Risiken.
  • Umsetzung und Aufrechterhaltung einer Informationssicherheitspolitik, die die Verpflichtung der Organisation zum Schutz von Karteninhaberdaten darlegt.
• Vertragliche Vereinbarungen und Verantwortlichkeiten: Unternehmen müssen vertragliche Vereinbarungen mit Drittanbietern treffen, in denen deren Verantwortlichkeiten für die Einhaltung des PCI DSS festgelegt werden. Diese Vereinbarungen sollten Sicherheitsmaßnahmen und das Management von Vorfällen regeln.

Übergreifende Maßnahmen können die Einhaltung der Vorschriften insgesamt verbessern

Mehrere Verordnungen, wie GDPR und CCPA, haben Ähnlichkeiten in ihren Datenschutzzielen. Unternehmen, die in mehreren Rechtsordnungen tätig sind, können von der Implementierung von Cross-Compliance-Maßnahmen profitieren, wie z. B:

• Privacy by Design and Default: Integrieren Sie datenschutzfreundliche Praktiken in die Entwicklung und Implementierung neuer Produkte, Dienstleistungen oder Prozesse, indem Sie sicherstellen, dass personenbezogene Daten nur dann erhoben und verarbeitet werden, wenn es notwendig ist, und indem Sie den Zugang zu Daten auf eine Need-to-know-Basis beschränken.

• Datenmapping und -inventarisierung: Führen Sie ein aktuelles Verzeichnis aller personenbezogenen Daten, die innerhalb der Organisation verarbeitet werden, einschließlich der Daten, die mit Drittanbietern geteilt werden. Auf diese Weise können Organisationen den Datenfluss effektiv verwalten und überwachen und die Einhaltung der GDPR- und CCPA-Anforderungen sicherstellen.

• Verwaltung und Meldung von Vorfällen: Führen Sie robuste Verfahren für die Identifizierung, Verwaltung und Meldung von Datenschutzverletzungen oder Sicherheitsvorfällen ein, da sowohl GDPR als auch CCPA eine unverzügliche Benachrichtigung über solche Ereignisse verlangen.

• Kontinuierliche Bewertung und Überwachung: Führen Sie regelmäßige Bewertungen der Datenschutz- und Sicherheitskontrollen von Drittanbietern durch und validieren Sie die Wirksamkeit dieser Kontrollen anhand beobachtbarer Cyber-Metriken. Wenn die Daten Ihrer Kunden aufgrund einer Datenschutzverletzung durch einen Drittanbieter in einem Dark-Web-Forum auftauchen, schlagen Sie Abhilfemaßnahmen vor, um die Risiken zu mindern.

• Durchsetzbare Vertragsmaßnahmen schaffen : Stellen Sie sicher, dass alle Verträge mit Drittanbietern durchsetzbare Maßnahmen für Audits, Reaktion auf Zwischenfälle und Datenwiederherstellung enthalten.

Schlussfolgerung

Die Navigation in der komplexen Welt des Datenaustauschs mit Dritten und der Einhaltung von Vorschriften ist eine ständige Herausforderung für alle Branchen. In diesem Beitrag werden HIPAA, GDPR, CCPA und PCI DSS hervorgehoben, aber viele andere regionale, branchenspezifische und globale Vorschriften regeln die Praktiken der Datenweitergabe an Dritte. Die Investition in robuste Risikomanagementstrategien und die Einhaltung klarer vertraglicher Vereinbarungen sind von entscheidender Bedeutung. Indem sie diese Überlegungen proaktiv angehen, können Unternehmen vertrauensvoll vom Datenaustausch mit Drittanbietern profitieren und gleichzeitig die Daten ihrer Kunden schützen und die gesetzlichen Anforderungen erfüllen.

Wie Prevalent helfen kann

Prevalent bietet Unternehmen eine umfassende Lösung zur Verwaltung ihrer Beziehungen zu Drittanbietern, um die Einhaltung von Vorschriften für die gemeinsame Nutzung von Daten zu gewährleisten. Unsere einzige, integrierte Plattform für das Risikomanagement von Drittanbietern (TPRM) macht es einfach,:

• Integration von Datenschutzmaßnahmen in Verträge mit Drittanbietern
• Erkennen und Zuordnen von Daten zwischen Beziehungen zwischen Dritten, 4. und N. Parteien
• Durchführung von Selbstbewertungen, um den Reifegrad der internen Prozesse und der Dateneigentümer zu verstehen
• Bewertung der Datenschutzkontrollen bei Dritten
• Automatisieren Sie Risikoreaktionen und Abhilfemaßnahmen, wenn die Antworten Dritter nicht den Erwartungen entsprechen.
• Bericht über relevante Compliance-Vorschriften mit integriertem Reporting
• Vereinfachen und beschleunigen Sie die Berichterstattung durch die automatische Zuordnung von Bewertungsergebnissen zu mehr als 50 Vorschriften und Best-Practice-Rahmenwerken
• Erhalten Sie automatische Benachrichtigungen über Datenschutzverletzungen, um mögliche Risiken für die Daten Ihrer Kunden zu erkennen.

Wenn Sie mehr darüber erfahren möchten, wie Prevalent Unternehmen bei der Bewertung der Sicherheitskontrollen von Drittanbietern unterstützen kann, lesen Sie unser Whitepaper zu den Datenschutzbestimmungen, oder fordern Sie noch heute eine Demo und ein Strategiegespräch an.