Herausforderung der DSGVO
Die Einführung der Datenschutz-Grundverordnung (DSGVO) stellte das Unternehmen vor erhebliche Herausforderungen. Angesichts der Sensibilität der verarbeiteten Daten, die unter Art. 9 DSGVO fallen und daher besondere Schutz- und Sicherungsmaßnahmen erfordern, suchte Lebensbaum nach einem kompetenten Partner für die Implementierung nachhaltiger Datenschutzlösungen.
Zusammenarbeit mit firstbyte digital consulting
Um diesen hohen Anforderungen gerecht zu werden und die internen Prozesse zu optimieren, wandte sich das Unternehmen an firstbyte digital consulting. Seit 2021 arbeitet Lebensbaum kontinuierlich mit firstbyte digital consulting zusammen, um eine umfassende und rechtssichere Datenschutzstrategie zu entwickeln und umzusetzen.
Zielsetzung
Integration von Datenschutzmaßnahmen
Das Hauptziel der Lebensbaum Gruppe ist die nahtlose Integration von Datenschutzmaßnahmen in die digitalen Geschäfts- und Pflegeprozesse. Dies soll es den Beschäftigten ermöglichen, sich auf ihre Kernaufgaben zu konzentrieren – die Pflege und Gesundheit der Menschen.
Herausforderungen
Spezifische Datenschutzprobleme
Die Lebensbaum Gruppe verarbeitet eine Vielzahl sensibler Patientendaten, die unter Art. 9 DSGVO fallen. Diese beinhalten medizinische Informationen, die besonders geschützt werden müssen. Das Unternehmen stellte fest, dass bestehende Datenschutzmaßnahmen unzureichend waren, was das Risiko für Datenschutzverletzungen erhöhte. Ein weiteres Problem war das Fehlen regelmäßiger Schulungen für Mitarbeiter im Umgang mit sensiblen Daten.
Besondere Herausforderungen im Gesundheitswesen
Im Gesundheitswesen ist der Schutz von Patientendaten von höchster Priorität, da Verstöße schwerwiegende rechtliche und ethische Konsequenzen haben können. Zusätzlich zur DSGVO müssen auch nationale Vorschriften und branchenspezifische Standards eingehalten werden. Die Implementierung muss daher nicht nur technisch robust sein, sondern auch die Arbeitsabläufe im täglichen Betrieb unterstützen, ohne den Arbeitsfluss zu beeinträchtigen.
Digitalisierung im Gesundheitswesen und Telematikinfrastruktur
Die Digitalisierung im Gesundheitswesen, die sich auch in die Einflusssphäre der Lebensbaum Gruppe auswirkt, soll zahlreiche Vorteile mit sich bringen, wie verbesserte Patientenversorgung, effizientere Abläufe und bessere Verfügbarkeit von medizinischen Informationen. Ein zentraler Bestandteil dieser Entwicklung ist die Telematikinfrastruktur (TI), die eine sichere und zuverlässige Vernetzung aller Akteure im Gesundheitswesen ermöglichen soll. Sie sorgt dafür, dass medizinische Daten schnell und sicher zwischen Ärzten, Krankenhäusern, Apotheken und anderen Akteuren im Gesundheitswesen ausgetauscht werden können. Dabei sind hohe Anforderungen an Datenschutz und Datensicherheit unerlässlich, um die Vertraulichkeit sensibler Gesundheitsdaten zu gewährleisten und gleichzeitig die Qualität der medizinischen Versorgung zu verbessern. Die Implementierung dieser Infrastruktur stellt jedoch viele Einrichtungen wie auch die Lebensbaum Gruppevor erhebliche Herausforderungen, insbesondere im Hinblick auf die Integration in bestehende Systeme und die gleichzeitige Einhaltung bereits etablierten internen Datenschutzanforderungen.
Lösungsansatz
Analyse und Strategieentwicklung
Um die Datenschutzprobleme zu identifizieren und eine maßgeschneiderte Strategie zu entwickeln, wurde die Einführung eines Datenschutzmanagementsystems (DSMS) nach dem Standard VdS 10010 vereinbart, ohne jedoch hiernach zertifiziert zu werden. Dieser Standard bietet spezifische Richtlinien für kleine und mittlere Unternehmen zur Umsetzung der DSGVO.
Implementierungsprozess
- Regelmäßige Meetings: Mit der IT-Leitung wurden zweiwöchentliche Regeltermine vereinbart, in denen alle IT- und datenschutzrechtlichen Themen besprochen und die Anforderungen aus VdS 10010 umgesetzt werden. Diese regelmäßigen Meetings gewährleisten eine kontinuierliche Überwachung und Anpassung der Datenschutzmaßnahmen.
- Mitarbeiterschulungen: Monatlich wiederholende Schulungstermine werden für die Beschäftigten angesetzt. In diesen Schulungen lernen die Mitarbeiter alles rund um Datenschutz, die Bedeutung von IT-Sicherheit und wie beides zusammenhängt. Diese regelmäßigen Schulungen qualifizieren die Beschäftigten kontinuierlich und gewährleisten, dass alle auf dem neuesten Stand sind. Rückmeldungen aus den Schulungen fließen wieder in die Regelmeetings und das DSMS ein, um den Verbesserungsprozess fortlaufend zu optimieren.
- Integration und Anpassung: Der Implementierungsprozess beinhaltet auch die nahtlose Integration des DSMS in bestehende IT-Systeme und Arbeitsabläufe. Dies stellt sicher, dass Datenschutzmaßnahmen effektiv und ohne Beeinträchtigung der Arbeitsprozesse implementiert werden.
Ergebnisse und Vorteile
Kurzfristige Vorteile
Nach der Implementierung des Datenschutzmanagementsystems konnte die risikopriorisierte Verarbeitung zügig datenschutzrechtlich abgesichert werden. Insbesondere die umfassenden Informationspflichten wurden effizient und rechtzeitig erfüllt, was zu einer sofortigen Verbesserung der Datenschutzcompliance führte.
Langfristige Ergebnisse
Durch regelmäßige interne Audits wird festgestellt, dass die Beschäftigten im täglichen Umgang mit Daten sehr sensibel für Datenschutzthemen geworden sind. Dies führt dazu, dass Mitarbeiter eigene Ideen und Initiativen zur Verbesserung des Datenschutzes einbringen. Zudem wurde die Befolgung von Handlungsanweisungen deutlich verbessert, was die allgemeine Compliance innerhalb des Unternehmens stärkt.
Ein weiterer langfristiger Vorteil ist die Einbindung des Datenschutzbeauftragten von Anfang an in neue Projekte. Dies ermöglicht es, digitale Prozesse von vornherein datenschutzkonform zu gestalten und somit spätere Anpassungen und potenzielle Risiken zu minimieren.
Messbare Erfolge
Ein konkretes Beispiel für den Erfolg der neuen Datenschutzmaßnahmen war die Abwehr eines Phishing-Angriffs. Nach der Erkennung des Angriffs wurden sofort Maßnahmen ergriffen, darunter die Erstellung und Verbreitung von Sensibilisierungsvideos, die Einbindung des Themas in Schulungen und die Information aller Beschäftigten sowie externer Partner. Diese proaktive und umfassende Reaktion sorgte dafür, dass der Angriff erfolglos blieb und das Bewusstsein für IT-Sicherheit im gesamten Unternehmen gestärkt wurde.
