ISO 27001 Checkliste für NGOs und Wohlfahrt: in zwölf Schritten zum Zertifikat

Gemeinnützige Organisationen verarbeiten Daten, die zu den sensibelsten überhaupt gehören: Sozial- und Gesundheitsdaten, Falldaten von Klientinnen und Klienten, Kontodaten von Spendern. Gleichzeitig ist das Budget knapp und ein Teil der Arbeit wird ehrenamtlich geleistet. Beides muss eine brauchbare Liste berücksichtigen, sonst passt sie auf einen Konzern und nicht auf einen Verband.

Was gehört in eine ISO 27001 Checkliste für NGOs und Wohlfahrt?

Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Der Zuschnitt ist hier die wichtigste Entscheidung. In den Geltungsbereich gehören die sensiblen Prozesse mit Sozial-, Spender- und Klientendaten, die Außenstellen und die externen Dienstleister samt Cloud-Diensten. Und weil Artikel 9 DSGVO für Gesundheits- und Sozialdaten eine besondere Kategorie kennt, ist die Kennzeichnung dieser Datenarten im Asset-Register kein Formalismus, sondern die Grundlage jeder späteren Risikobewertung.

Welche Pflichten kommen bei Dienstleistern zur ISO 27001 Checkliste für NGOs und Wohlfahrt hinzu?

Deutlich mehr als der Auftragsverarbeitungsvertrag, sobald Sozialdaten im Spiel sind. Soweit eine Einrichtung Sozialdaten im Sinne des Sozialgesetzbuchs verarbeitet, gilt § 80 SGB X neben Artikel 28 DSGVO, und der verlangt zwei Dinge zusätzlich.

Erstens eine Anzeige: Der Verantwortliche muss seine Rechts- oder Fachaufsichtsbehörde rechtzeitig vor der Auftragserteilung schriftlich unterrichten, und zwar mit Angabe des Auftragsverarbeiters, der technischen Maßnahmen, der Datenarten, des betroffenen Personenkreises, des Zwecks und etwaiger Unterauftragnehmer. Zweitens eine Rechtfertigung: Bei nicht öffentlichen Stellen ist die Auslagerung nur zulässig, wenn beim Verantwortlichen sonst Störungen im Betriebsablauf auftreten können oder die Arbeiten beim Auftragsverarbeiter erheblich kostengünstiger erledigt werden. Ein Wechsel des Cloud-Anbieters ist damit kein reiner IT-Vorgang, sondern ein Verfahren mit Vorlaufzeit. Wer das erst beim Vertragsabschluss merkt, verliert Wochen.

Wie behandelt die ISO 27001 Checkliste für NGOs und Wohlfahrt Ehrenamtliche?

Wie alle anderen, und genau darin liegt der Aufwand. Die Norm verlangt Kompetenz und Bewusstsein für alle Personen, die unter der Kontrolle der Organisation arbeiten, unabhängig vom Vertragsverhältnis. Das Datenschutzrecht sieht es genauso: Nach Artikel 29 und Artikel 32 Absatz 4 DSGVO dürfen unterstellte Personen personenbezogene Daten nur auf Weisung verarbeiten, und die Aufsichtsbehörden zählen dazu ausdrücklich auch Ehrenamtliche, Praktikanten, Leiharbeitskräfte und freie Mitarbeitende.

Praktisch heißt das drei Punkte in der Liste. Erstens eine dokumentierte Verpflichtung auf Vertraulichkeit für jede dieser Personen. Eine bestimmte Form schreibt die DSGVO nicht vor, aber ohne Unterschrift mit Ort und Datum fehlt der Nachweis. Zweitens die Einbeziehung in die Pflichtschulung, nicht nur der Festangestellten. Und drittens eine Auffrischung in Abständen, weil die Aufsichtsbehörden das ausdrücklich empfehlen. Bei hoher Fluktuation im Ehrenamt ist das ein laufender Prozess und keine einmalige Aktion.

Lohnt sich ein Pilot-Scope bei der ISO 27001 Checkliste für NGOs und Wohlfahrt?

Oft ja, aber mit einer Einschränkung, die man kennen sollte. Die Liste schlägt vor, zunächst eine Abteilung als ersten Geltungsbereich zu prüfen. Das ist bei knappen Mitteln vernünftig: Der Aufwand sinkt, die Auditdauer sinkt, und die Organisation lernt den Zyklus aus internem Audit und Managementbewertung an einem überschaubaren Ausschnitt.

Die Einschränkung: Der Geltungsbereich steht auf dem Zertifikat. Fördergeber und institutionelle Partner lesen genau diese Zeile, und ein Zertifikat über die Verwaltung hilft nicht, wenn die Frage den Beratungsdienst betrifft. Deshalb gehört die Auswahl des Pilotbereichs nicht nach der Machbarkeit, sondern nach der Frage, welchen Bereich die Geldgeber wissen wollen. Und in die Planung gehört von Anfang an, wie der Geltungsbereich später erweitert wird, denn eine Erweiterung ist einfacher als eine Verkleinerung.

Welche Punkte der ISO 27001 Checkliste für NGOs und Wohlfahrt werden am häufigsten unterschätzt?

Drei. Erstens private Geräte. Ehrenamtliche und Honorarkräfte arbeiten häufig auf eigenen Laptops und Telefonen. Verlangt ist eine Regel dafür, mit klaren Aussagen zu Speicherung, Verschlüsselung und dem Umgang beim Ausscheiden, nicht ein stilles Dulden.

Zweitens Löschung und Aufbewahrung. Spenderdaten, Falldaten und Bewerbungsunterlagen haben unterschiedliche Fristen, und Zuwendungsrecht kann Aufbewahrungspflichten begründen, die der Löschpflicht entgegenstehen. Das gehört einmal aufgeschrieben, statt im Einzelfall entschieden. Drittens Kapitel 9.1, Überwachung und Messung: Verlangt sind Kennzahlen zur Wirksamkeit. Für gemeinnützige Organisationen ist das ein Nebengewinn, weil sich dieselben Zahlen im Bericht an Fördergeber verwenden lassen.

Was steht in der Checkliste?

• Zwölf Schritte in verbindlicher Reihenfolge, von Auftrag und Geltungsbereich bis zum laufenden Betrieb
• Abhakbare Punkte je Schritt, von der Kennzeichnung sensibler Datenarten über die Clean-Desk-Regelung bis zur Homeoffice-Regelung und dem Umgang mit externen Datenträgern
• Vier Treiber, die den Zeitpunkt bestimmen: Förderbedingungen, DSGVO-Pflichten, Cyberrisiken und das Vertrauen von Partnern und Spendern
• Was Stage 1 und Stage 2 des Zertifizierungsaudits jeweils prüfen
• Der Hinweis auf das kirchliche Datenschutzrecht, das bei kirchlichen Trägern zusätzlich zu prüfen ist

Die Checkliste richtet sich an Geschäftsführungen, Vorstände sowie Datenschutz- und IT-Verantwortliche in Wohlfahrtsverbänden, sozialen Einrichtungen und gemeinnützigen Organisationen. Laden Sie sie kostenfrei herunter.