Fördermitglied des Hotel- und Gaststättenverband Berlin e.V.

Die Sicherheit der Kontodaten von Karteninhabern ist eine sehr wichtige datenschutzrechtliche Angelegenheit. In vielen Ländern gab es Vorfälle, in denen Hacker auf Computersysteme zugriffen, Datenträger verloren wurden oder Daten unberechtigt übermittelt wurden. In den meisten Fällen wurden äußerst sensible Daten Unbefugten zugänglich gemacht, das Tor zu kriminellen Aktivitäten wurde geöffnet.

Daraufhin hat die Kreditkartenindustrie einen Datenschutzstandard entwickelt, den PCI DSS. Es handelt sich um ein Regelwerk von Anforderungen und Verfahren für die gesamte Kartenzahlungsbranche. Dieses soll dafür sorgen, dass die wertvollen Kontodaten der Karteninhaber stets gesichert sind.

Der Leitfaden für Händler, herausgegeben von der Kreditkartenindustrie, der auch maßgebend für die Hotellerie ist, beschreibt in 7 Schritten den Weg zu einem sicheren Umgang mit den Daten der Karteninhaber.

1. Vertraut machen mit den PCI-Datenschutzstandards

2. Datenfluss im Unternehmen darstellen

3. Status der Dienstleister überprüfen und kontrollieren

4. Schwachstellen-(Lücken)Analyse

5. Kontroll- und Zertifizierungsoptionen

6. Verbesserungen planen und umsetzen

7. Zertifizierung

Das Regelwerk berücksichtigt nachfolgende Punkte zur Umsetzung:

Datensicherheitsmaßnahmen

- Installation und regelmäßige Aktualisierung einer Firewall und einer Antiviren-Software

- Entwicklung und Verwendung sicherer Systeme und Anwendungen

Unternehmensrichtlinien

- Richtlinien im Umgang mit Passwörtern

Änderung vorgegebener System-Passwörter oder andere Sicherheitsparameter

- Regelungen im Umgang mit Karteninhaberdaten

Technische und organisatorische Maßnahmen (§ 9 BDSG Anlage)

- Zugangskontrolle

Persönliche Passwörter und Benutzerkennung

- Zugriffskontrolle

Beschränkung des Datenzugriffs

- Weitergabekontrolle

Verschlüsselte Übertragung von Karteninhaberdaten und sensiblen Informationen in offenen Netzwerken

- Eingabekontrolle

Nachvollziehbarkeit und Überwachung aller Zugriffe

- Auftragskontrolle

Vertragliche, datenschutzrechtliche Vereinbarungen mit Dienstleistern, die Einsicht in Karteninhaberdaten haben können

- Verfügbarkeitskontrolle

Absicherung gespeicherter Daten, Karten- oder Transaktionsdaten, wie vollständige Kartennummer, Daten der Magnetstreifenspur, Kartenverifizierungscode (CVV2) oder PIN

Datenschutzkontrollen

- Regelmäßige Überprüfung von Sicherheitssystemen und Prozessabläufen

- Datenschutzaudit

Weitere Informationen unter: http://www.pcisecuritystandards.org