Dieser Blog wurde ursprünglich auf der Aware-Website veröffentlicht, aber mit der Übernahme von Aware durch Mimecast stellen wir sicher, dass er auch für Besucher der Mimecast-Website zugänglich ist.
Es gibt zwar einige Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitern, aber die meisten Unternehmen, die mit Kunden in der EU kommunizieren, unterliegen den GDPR-Vorschriften.
Selbst für große Unternehmen kann das Abrufen der Daten, die für die Einhaltung der DSGVO erforderlich sind, mühsam und kostspielig sein, obwohl automatisierte Tools wie Aware dabei helfen können.
Der Datenschutz steht an erster Stelle. Unternehmen stehen heute unter dem ständigen Druck, sicherzustellen, dass ihre Kommunikations- und Kollaborationstools den verschiedenen Datensicherheitsvorschriften entsprechen. Eine dieser wichtigen Vorschriften ist die Allgemeine Datenschutzverordnung (GDPR). In diesem umfassenden Leitfaden gehen wir auf die Feinheiten von Slack und die Einhaltung der GDPR ein, beantworten die Frage, ob Slack GDPR-konform ist, und untersuchen, wie Sie die Einhaltung von Vorschriften in Slack unterstützen können.
Ist Slack GDPR-konform?
Ja, Slack unterstützt die Einhaltung der GDPR. Slack hat wichtige Schritte unternommen, um die GDPR-Anforderungen für Datenschutz und Sicherheit zu erfüllen. So können von der GDPR abgedeckte Organisationen Slack nutzen und gleichzeitig ihren Verpflichtungen nachkommen, personenbezogene Daten auf konforme Weise zu behandeln.
Was ist GDPR?
Die Allgemeine Datenschutzverordnung ist eine umfassende Datenschutzverordnung, die von der Europäischen Union (EU) erlassen wurde, um dem Einzelnen mehr Kontrolle über seine persönlichen Daten zu geben. Die Datenschutz-Grundverordnung wurde eingeführt, um der wachsenden Besorgnis über Datenschutzverletzungen und den Missbrauch personenbezogener Daten zu begegnen und dem Einzelnen das Recht auf Kenntnisnahme, Zugang und Löschung seiner Daten zu gewähren. Darüber hinaus legt sie strenge Regeln für Organisationen fest, die mit personenbezogenen Daten umgehen, und verhängt harte Strafen bei Nichteinhaltung.
Einige der größten Unternehmen der Welt sind gegen die Datenschutzgrundverordnung verstoßen und wurden bestraft, weil sie es versäumt haben, Nutzerdaten zu schützen. Dazu gehören:
Meta wurde 2023 zu einer Geldstrafe von 1,3 Milliarden Dollar verurteilt, weil es Daten von EU-Nutzern in die USA übermittelt hatte.
Amazon wurde zu einer Geldstrafe in Höhe von 781 Millionen Dollar verurteilt, weil es Nutzerdaten ohne Zustimmung verfolgt hat.
WhatsApp wurde zu einer Geldstrafe in Höhe von 193 Millionen Dollar verurteilt, weil es die Nutzer nicht klar darüber informiert hat, wie mit ihren Daten umgegangen wird.
Google wurde zu einer Geldstrafe von insgesamt 165 Millionen Dollar verurteilt, weil es den Nutzern keine einfache Möglichkeit gab, Cookies abzulehnen.
Verwandte Tags
Data Governance
Teilen
Für wen gilt die GDPR?
GDPR ist ein EU-Gesetz, das die Daten von Personen mit Wohnsitz in der Europäischen Union schützt. Sie kann jedoch gegen Unternehmen mit Sitz in anderen Teilen der Welt durchgesetzt werden, wenn diese personenbezogene Daten erheben und verwalten oder sie im Auftrag anderer verarbeiten. Jedes Unternehmen, das Waren und Dienstleistungen innerhalb der EU anbietet oder das Verhalten von Menschen in diesem Gebiet überwacht, muss die DSGVO einhalten.
Dies gilt sogar für kleine Unternehmen, da die Datenschutz-Grundverordnung unabhängig von der Unternehmensgröße gilt. Unternehmen mit weniger als 250 Beschäftigten sind jedoch von einigen Verpflichtungen befreit, z. B. von der Verpflichtung zur Bestellung eines Datenschutzbeauftragten. Die Datenschutz-Grundverordnung gilt nicht für Personen, die eine "persönliche oder häusliche" Tätigkeit ausüben, wie z. B. die Erstellung eines E-Mail-Newsletters für Freunde und Familie. Die Datenschutz-Grundverordnung gilt jedoch auch für Personen, die einer professionelleren Tätigkeit nachgehen, selbst wenn es sich dabei um ein Hobby handelt, z. B. wenn sie einen E-Mail-Newsletter für Fans einer beliebten Fernsehsendung herausgeben.
GDPR - für die Verarbeitung Verantwortliche vs. Auftragsverarbeiter
Im Rahmen der DSGVO bestimmen die für die Verarbeitung Verantwortlichen die Zwecke und Mittel der Datenverarbeitung, während die Datenverarbeiter im Auftrag der für die Verarbeitung Verantwortlichen handeln. Slack zum Beispiel agiert als Datenverarbeiter, wenn Ihr Unternehmen seine Plattform nutzt. Manche Unternehmen haben jederzeit die Kontrolle über ihre eigenen Daten und nehmen nie einen Auftragsverarbeiter in Anspruch, z. B. wenn Ihr Unternehmen sein eigenes internes Kommunikationstool entwickelt und hostet. Ein Auftragsverarbeiter verarbeitet Daten immer im Auftrag einer anderen Organisation.
Sowohl die für die Verarbeitung Verantwortlichen als auch die Auftragsverarbeiter haben im Rahmen der DSGVO dieselben Pflichten, wenn es um die Verarbeitung von Daten geht, aber die Auftragsverarbeiter sind per Definition auch den für die Verarbeitung Verantwortlichen verpflichtet. Daher ist es von entscheidender Bedeutung, klare Verantwortlichkeiten und Vereinbarungen zwischen den für die Verarbeitung Verantwortlichen und den Auftragsverarbeitern festzulegen, um die Einhaltung der Vorschriften zu gewährleisten. Häufig werden diese Verantwortlichkeiten in einer Datenverarbeitungsvereinbarung festgehalten. Slack bietet einen Datenverarbeitungszusatz (Data Processing Addendum, DPA) als Ergänzung zu seinen Kunden-ATS an. Um gültig zu sein, muss die DPA von einer Person ausgefertigt werden, die befugt ist, im Namen der für die Verarbeitung verantwortlichen Organisation zu unterzeichnen.
Gilt GDPR auch für Kollaborations-Tools wie Slack?
Sie denken bei Collaboration-Tools vielleicht nicht an Behälter für persönliche Daten, aber unsere Untersuchung zeigt, dass viele Kommunikationsplattformen am Arbeitsplatz voll mit sensiblen und vertraulichen Informationen sind. Im Durchschnitt finden sich PII in einem Drittel aller Nachrichten, und eine von 17 enthält mindestens drei sensible Informationen. Diese Risikovermehrung macht es unerlässlich, Tools wie Slack in Betracht zu ziehen, wenn es um die Erfüllung der GDPR-Verpflichtungen geht.
Zusätzlich zu den PII-Risiken, die Slack birgt, gilt für Slack-Daten auch die Möglichkeit, das Recht eines Kunden oder Mitarbeiters auf Vergessenwerden auszuüben. Unternehmen müssen proaktiv darüber nachdenken, wie sie Slack-Daten innerhalb der von der DSGVO vorgegebenen Fristen identifizieren, isolieren und von einem single Verwahrer löschen können.
Sind Mitarbeiter von der GDPR betroffen?
Die DSGVO gilt für alle Daten, einschließlich der Daten von Kunden und Mitarbeitern. Für Mitarbeiterdaten gelten die gleichen Datenschutzstandards wie für Kundendaten. Das bedeutet, dass Unternehmen sicherstellen müssen, dass sie die Daten ihrer Mitarbeiter auf rechtmäßige und transparente Weise verarbeiten. Ein Arbeitnehmer kann jederzeit einen Antrag auf Zugang zu seinen Daten gemäß Artikel 15 stellen und hat das gleiche Recht wie jeder Kunde oder Klient, innerhalb der in Artikel 12 genannten Frist von einem Monat alle Daten einzusehen, die das Unternehmen über ihn gespeichert hat.
Beispiele für GDPR-Risiken in Slack
Die Datenschutz-Grundverordnung gibt Personen das Recht auf Zugang, Überprüfung, Berichtigung und Löschung von Daten, die von für die Verarbeitung Verantwortlichen oder Auftragsverarbeitern über sie gespeichert werden. Die Unternehmen müssen den GDPR-Anforderungen innerhalb bestimmter Fristen nachkommen, was für große Organisationen, die Daten in riesigen, unstrukturierten Datensätzen speichern, problematisch sein kann.
Der durchschnittliche Slack-Benutzer eines Unternehmens sendet 28 Nachrichten pro Tag, und über 90 % davon werden in privaten Channels und DMs verschickt, bei denen selbst Administratoren Schwierigkeiten haben, den vollen Überblick zu behalten. Die Herausforderung, diese Daten rechtzeitig zu extrahieren, kann gar nicht hoch genug eingeschätzt werden, und dies birgt für die Organisation das Risiko von Regulierungsmaßnahmen.
Recht auf Zugang (Data Subject Access Request): Eine Person kann eine Kopie der persönlichen Daten anfordern, die eine Organisation über sie besitzt, indem sie einen Antrag stellt, der als DSAR bekannt ist. Dazu gehören Informationen darüber, wie die Daten verarbeitet werden, welche Zwecke damit verfolgt werden und mit wem sie geteilt werden. Frist zur Erfüllung: 1 Monat.
Recht auf Berichtigung: Wenn eine Person der Meinung ist, dass die von einer Organisation gespeicherten personenbezogenen Daten unrichtig oder unvollständig sind, kann sie den für die Datenverarbeitung Verantwortlichen auffordern, die Daten zu berichtigen oder zu korrigieren. Frist für die Umsetzung: 1 Monat.
Recht auf Löschung (Recht auf Vergessenwerden): Einzelpersonen haben das Recht, die Löschung ihrer personenbezogenen Daten zu verlangen, wenn es für den für die Verarbeitung Verantwortlichen keine legitimen Gründe gibt, die Daten weiter zu verarbeiten. Dieses Recht ist nicht absolut und kann bestimmten Ausnahmen unterliegen. Frist für die Umsetzung: 1 Monat.
Recht auf Datenübertragbarkeit: Einzelpersonen können ihre personenbezogenen Daten in einem strukturierten, allgemein verwendeten, maschinenlesbaren Format anfordern. Sie können auch verlangen, dass die Daten direkt an einen anderen für die Datenverarbeitung Verantwortlichen übermittelt werden, sofern dies technisch möglich ist. Dieses Recht ermöglicht es dem Einzelnen, seine Daten problemlos zwischen verschiedenen Dienstanbietern zu verschieben. Frist für die Umsetzung: 1 Monat.
Fünf Schritte, um Slack GDPR-konform zu machen
Slack unterstützt die Einhaltung der DSGVO in seiner Rolle als Datenverarbeiter, aber die vollständige Einhaltung liegt in der gemeinsamen Verantwortung von Slack und seinen Nutzern (den für die Verarbeitung Verantwortlichen der in Slack gespeicherten Daten). Slack bietet Funktionen und Merkmale, die den Nutzern helfen, die GDPR-Anforderungen zu erfüllen, wie z. B. Datenexport- und Löschfunktionen. Unternehmen müssen jedoch auch ihre Richtlinien und Verfahren implementieren, um die Einhaltung der GDPR in ihrem Slack-Arbeitsbereich zu gewährleisten.
Um Slack GDPR-konform zu machen, sollten Unternehmen und Compliance-Verantwortliche diese fünf Schritte befolgen:
Datenverwendung überprüfen: Verstehen Sie, welche Daten Mitarbeiter auf Slack teilen und stellen Sie sicher, dass diese mit den GDPR-Grundsätzen übereinstimmen.
Legen Sie Richtlinien für die Datenaufbewahrung fest: Legen Sie fest, wie lange Daten auf Slack aufbewahrt werden sollen, und überprüfen und löschen Sie regelmäßig Daten, die Sie nicht mehr benötigen. Erwägen Sie den Einsatz einer DLP-Lösung wie Aware von Mimecast, um die Datenaufbewahrung und -bereinigung von Slack zu automatisieren.
Benutzer schulen: Schulen Sie Ihr Team zu den GDPR-Bestimmungen und den besten Praktiken für die konforme Nutzung von Slack. Alle Slack-Nutzer sollten sich darüber im Klaren sein, dass ihre Kommunikation durch Zugriffsanfragen aufgedeckt werden kann, und sie sollten darauf achten, trotz des informellen Kommunikationsstils von Slack professionell zu bleiben.
Nutzen Sie die Compliance-Funktionen von Slack: Nutzen Sie die in Slack integrierten Verwaltungstools für Datenexport und Profillöschung. Diese Tools unterstützen das Durchsuchen von Slack-Daten und das Entfernen von Nachrichten, die von einem single Benutzer (Custodian) erstellt wurden, in Übereinstimmung mit der GDPR. Sie sollten jedoch wissen, dass dieses Tool alle von Nutzern erstellten Inhalte löscht und möglicherweise auch Daten enthält, die das Unternehmen als Eigentum betrachtet und behalten möchte. Das granulare Aufbewahrungstool von Mimecast Aware ermöglicht es Benutzern, die von der Aufsichtsbehörde erstellten Inhalte zu überprüfen und ihnen vor dem Löschen einen Wert zuzuweisen, so dass wichtige Daten erhalten bleiben.
Beschleunigen Sie die Einhaltung der GDPR mit Mimecast Aware: Mimecast Aware unterstützt die GDPR-Compliance für Slack mit branchenführender KI zur Verarbeitung natürlicher Sprache, um Richtlinien zur akzeptablen Nutzung in Slack durchzusetzen, nicht autorisierte Informationen - einschließlich PII, PHI und unternehmenssensibler Daten - mit intelligenten automatisierten Workflows zu erkennen und zu entfernen und granulare, bidirektionale Aufbewahrungsrichtlinien zu implementieren, um wertvolle Daten automatisch zu löschen oder zu erhalten. Mimecast Aware ist auch ein vertrauenswürdiger Anbieter von GovSlack für Sicherheit und Compliance.
Andere Überlegungen zur Einhaltung von Slack
Zusätzlich zur GDPR müssen Organisationen in stark regulierten Branchen wie dem Gesundheitswesen (HIPAA) oder dem Finanzwesen (FINRA) bei der Verwendung von Slack bestimmte Compliance-Anforderungen einhalten. Und alle Unternehmen, unabhängig von ihrer Branche, sind dafür verantwortlich, persönlich identifizierbare Informationen (PII) und PCI-Daten (Payment Card Industry) innerhalb von Slack zu schützen und ISO 27001 und/oder SOC 2 als Best Practice einzuhalten. Unsere Untersuchungen zeigen, dass Unternehmen, die Kollaborationsplattformen wie Slack einsetzen, diese als Ablage für alle unternehmensbezogenen Daten nutzen, sofern ihnen keine besseren Alternativen geboten werden.
Wie Mimecast Aware GDPR und Compliance in Slack unterstützt
Aware unterstützt die GDPR-konforme Datenverwaltung mit Lösungen, die für die Erfüllung der Verpflichtungen von Unternehmen im Rahmen der GDPR entwickelt wurden:
Artikel 5-Grundsätze für die Verarbeitung personenbezogener Daten durch Organisationen
Artikel 12-Transparente Mitteilung der Rechte der betroffenen Personen
Artikel 15-Recht auf Zugang
Artikel 17-Recht auf Löschung
Mimecast Aware verbindet sich über eine API mit Slack, um nahtlos eine vollständige Aufzeichnung aller Nachrichten in Slack-Kanälen in Echtzeit zu erfassen, ohne dass die IT-Abteilung oder die Endbenutzer davon betroffen sind. Die Slack-Nachrichten werden dann mit Hilfe der proprietären, branchenführenden natürlichen Sprachverarbeitung (NLP) und der KI/ML-Workflows von Aware analysiert, um automatisch den unbefugten Informationsaustausch innerhalb von Slack zu erkennen und abzuschwächen, einschließlich PII, PHI, PCI und anderer sensibler Daten. Mit Aware können Compliance-Teams Risiken über alle Collaboration-Tools hinweg von einer single, zentralisierten Plattform aus minimieren, die Arbeitsabläufe rationalisiert, Benachrichtigungen automatisiert und mühelos Mitarbeiterschulungen und die Durchsetzung von Richtlinien unterstützt.
Zusätzlich zu den Compliance-Funktionen bietet die Aware-Datenplattform eine Reihe von eDiscovery-, DLP- und Sentiment Insights-Funktionen, die das ganzheitliche Management der Mitarbeiterkommunikation im gesamten Unternehmen unterstützen und jeden Aspekt des modernen Erfahrungsworkflows fördern.
Vertrauen Sie auf Mimecast, um die Einhaltung von Richtlinien für Slack und Co. zu identifizieren, zu adressieren und durchzusetzen. Erfahren Sie mehr.
Abonnieren Sie „Cyber Resilience Insights“, um weitere Artikel wie diese zu erhalten
Erhalten Sie die neuesten Nachrichten und Analysen aus der Cybersicherheitsbranche direkt in Ihren Posteingang
Slack GDPR-Konformität: Ist Slack GDPR-konform? | Mimecast
