Einführung: Warum Donor Data Security und Privatsphäre wichtiger sind als je zuvor

Wohltätigkeitsorganisationen arbeiten auf einer Vertrauensbasis. Unterstützer geben nicht nur ihr Geld, sondern auch ihre persönlichen Informationen - Namen, Adressen, E-Mail-Kontakte, Telefonnummern und finanzielle Details wie Kreditkartennummern oder Bankkontodaten. Ein einziger Datenverstoß oder Datenschutzfehler kann dieses Vertrauen in Sekunden zerbrechen, was zu Abnutzung durch die Spender, negativer Medienberichterstattung und sogar zu behördlichen Bußgeldern führt, die die finanzielle Stabilität des Unternehmens gefährden.

In den letzten Jahren ist das regulatorische Umfeld um den Datenschutz erheblich strenger geworden. Gesetze wie die Datenschutz-Grundverordnung der Europäischen Union (DSGVO), der California Consumer Privacy Act (CCPA) und ähnliche Gesetze in anderen Ländern legen klare Verpflichtungen fest, wie gemeinnützige Organisationen personenbezogene Daten sammeln, speichern, verarbeiten und teilen. Nichteinhaltung kann dazu führen, dass Strafen in Millionenhöhe verhängt werden. Über das rechtliche Risiko hinaus sind sich die Spender selbst zunehmend über Datenschutzprobleme bewusst; eine Umfrage des Pew Research Center im Jahr 2023 ergab, dass 79% der Erwachsenen besorgt darüber sind, wie Unternehmen und Organisationen ihre personenbezogenen Daten verwenden. Wohltätigkeitsorganisationen, die kein Engagement für Datensicherheit und Datenschutz zeigen können, riskieren, sowohl aktuelle Unterstützer als auch zukünftige Perspektiven zu verlieren.

Dieser Artikel enthält einen umfassenden Leitfaden zu bewährten Verfahren für die Sicherheit von Spenderdaten und den Datenschutz in gemeinnützigen Organisationen. Er behandelt die entscheidende Bedeutung des Schutzes sensibler Informationen, detaillierte Maßnahmen für das Sicherheits- und Datenschutzmanagement, die rechtliche und ethische Landschaft und umsetzbare Empfehlungen, die jede gemeinnützige Organisation unabhängig von Größe oder Budget umsetzen kann.

Verständnis der Bedeutung von Datensicherheit für Nonprofits

Die Arten von Spenderdaten in Gefahr

Spenderdaten gehen weit über einen einfachen Namen und eine E-Mail-Adresse hinaus. Wohltätigkeitsorganisationen halten in der Regel mehrere Kategorien von persönlich identifizierbaren Informationen (PII):

  • Kontaktinformationen: Vollständiger Name, Privatadresse, Telefonnummer, E-Mail-Adresse.
  • Finanzdaten: Kreditkartennummern, Bankkontoinformationen, Transaktionshistorien, wiederkehrende Geschenkdetails.
  • Demographische und Verhaltensdaten: Alter, Einkommensspanne, Spendenhistorie, Teilnahme an Veranstaltungen, Kommunikationspräferenzen, Engagement-Scores und sogar politische oder religiöse Zugehörigkeiten, die aus der Angabe von Mustern abgeleitet werden könnten.
  • Gesundheits- oder sensible Informationen: In Fällen von medizinischem Fundraising oder Katastrophenhilfe können Organisationen Gesundheitsdaten oder andere spezielle Kategorien von Daten speichern, die einen erhöhten Schutz erfordern.

Diese Datensammlung ist eine Fundgrube für Cyberkriminelle. Gestohlene Spenderaufzeichnungen können für Identitätsdiebstahl, Kreditkartenbetrug, Phishing-Angriffe verwendet oder auf Dark-Web-Märkten verkauft werden. Laut dem Verizon Data Breach Investigations Report (DBIR) ist der gemeinnützige Sektor nicht immun; obwohl er nicht so häufig ins Visier genommen wird wie Finanzen oder Gesundheitsfürsorge, können die Auswirkungen eines Verstoßes auf eine kleine bis mittlere Wohltätigkeitsorganisation verheerend sein, da die Ressourcen für die Wiederherstellung begrenzt sind.

Folgen von Datenverletzungen und Datenschutzverletzungen

Die Folgen eines unzureichenden Datenschutzes können verschiedene Formen annehmen:

  • Reputationsschäden: Nachrichten über eine Datenschutzverletzung untergraben das Vertrauen der Spender sofort. Eine Studie des Better Business Bureau von 2022 ergab, dass 60% der Spender sagten, sie würden aufhören, an eine Organisation zu geben, die eine Datenschutzverletzung mit ihren persönlichen Daten erlitten hat.
  • Rechts- und Regulierungsstrafen: Nach DSGVO können Geldbußen bis zu 4% des jährlichen Weltumsatzes oder 20 Millionen Euro (je nachdem, welcher Wert höher ist) betragen. Verstöße gegen CCPA führen zu Strafen von bis zu 7.500 US-Dollar pro vorsätzlichem Verstoß. Selbst wenn keine Geldbußen verhängt werden, können die Kosten für Ermittlungen, Benachrichtigungen und Rechtsstreitigkeiten erheblich sein.
  • Operationelle Störung: Ransomware-Angriffe oder Systemkompromisse können Unternehmen aus ihren eigenen Datenbanken sperren, Spendenkampagnen stoppen und Wochen Ausfallzeiten erfordern, um Systeme wiederherzustellen.
  • Spender Churn und Reduced Giving: Ein Verstoß führt oft zu sofortiger Stornierung wiederkehrender Spenden, Verlust wichtiger Geschenke und Schwierigkeiten beim Erwerb neuer Unterstützer.

Angesichts dieser Einsätze sind proaktive Investitionen in die Sicherheit von Spenderdaten kein Luxus - es ist eine zentrale operative Anforderung für jede gemeinnützige Organisation, die langfristige Beziehungen zu ihrer Gemeinschaft pflegen möchte.

Best Practices für Donor Data Security

Die Sicherheit konzentriert sich auf den Schutz von Daten vor unbefugtem Zugriff, Veränderung, Zerstörung oder Offenlegung.Die folgenden Praktiken bilden eine Grundlage, die jede Wohltätigkeitsorganisation unabhängig von technischem Fachwissen anwenden sollte.

1. Implementierung starker Passwortrichtlinien und Multi-Faktor-Authentifizierung

Schwache Passwörter bleiben einer der häufigsten Angriffsvektoren. Mitarbeiter und Freiwillige müssen komplexe, eindeutige Passwörter für jedes System verwenden, das auf Spenderdaten zugreift. Passwörter sollten mindestens 12-16 Zeichen lang sein, eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Symbolen enthalten und niemals plattformübergreifend wiederverwendet werden. Regelmäßige Passwortänderungen durchsetzen, obwohl das National Institute of Standards and Technology (NIST) jetzt eine obligatorische willkürliche Rotation empfiehlt, es sei denn, es gibt Hinweise auf Kompromisse; konzentrieren Sie sich stattdessen auf die Stärke und die Überwachung von Verstößen.

Mehrfaktor-Authentifizierung (MFA) fügt eine zusätzliche Sicherheitsebene hinzu, indem eine zweite Form der Verifizierung erforderlich ist - wie ein einmaliger Code, der an ein Telefon gesendet wird, ein biometrischer Scan oder ein Hardware-Token. MFA auf allen E-Mail-Konten, Spenderverwaltungssystemen (CRMs), Zahlungsgateways und Cloud-Speicherplattformen aktivieren. Tools wie Duo Security, Microsoft Authenticator oder Google Authenticator sind kostengünstig und einfach zu implementieren.

Externe Ressource: Für detaillierte Anleitungen zu Passwortrichtlinien siehe NIST Cybersecurity Framework und die begleitenden Passwortempfehlungen in der NIST Special Publication 800-63B.

2. Verschlüsselung von Daten im Ruhezustand und im Transit

Die Verschlüsselung stellt sicher, dass selbst wenn eine unbefugte Partei Zugriff auf die Datenspeicherung erhält oder Daten in Bewegung abfängt, die Informationen ohne den richtigen Entschlüsselungsschlüssel unlesbar bleiben.

  • Verschlüsselung im Ruhezustand: Alle Spenderdatenbanken, Backup-Dateien, Tabellenkalkulationen und Archivdatensätze sollten mit starken Algorithmen wie AES-256 verschlüsselt werden. Die meisten modernen Datenbanksysteme (z. B. MySQL, PostgreSQL) und Cloud-Dienste (AWS, Azure, Google Cloud) bieten integrierte Verschlüsselungsfunktionen, die mit minimaler Konfiguration aktiviert werden können.
  • Verschlüsselungstransit: Verwenden Sie SSL/TLS (Transport Layer Security) für den gesamten Web-Datenverkehr mit Spendenformularen, Spenderportalen oder administrativen Schnittstellen. Stellen Sie sicher, dass das Zertifikat Ihrer Website gültig und aktualisiert ist. Für die interne Netzwerkkommunikation sollten Sie VPNs oder SSH-Tunnel verwenden, wenn Sie aus der Ferne auf Spenderdatenbanken zugreifen.

Auch wenn Ihr Unternehmen einen Drittanbieter-Zahlungsprozessor verwendet, sollten alle Spenderinformationen, die Ihre Systeme durchlaufen, über verschlüsselte Kanäle übertragen werden.

3. Software und Systeme auf dem neuesten Stand halten

Cyberkriminelle nutzen häufig bekannte Schwachstellen in veralteter Software. Richten Sie einen regelmäßigen Patch-Management-Zeitplan für Ihr Spender-Management-System, Ihr Content-Management-System, Ihre Betriebssysteme, Firewalls und alle Plugins oder Integrationen von Drittanbietern ein. Aktivieren Sie nach Möglichkeit automatische Updates und überwachen Sie die Ankündigungen von Anbietern auf kritische Sicherheitspatches.

Legacy-Systeme – insbesondere benutzerdefinierte Datenbanken oder alte Versionen gängiger CRMs – sind besonders riskant. Wenn Ihr Unternehmen immer noch auf Software angewiesen ist, die keine Sicherheitsupdates mehr erhält, sollten Sie die Migration zu einer unterstützten Plattform priorisieren. Viele erschwingliche, sichere Alternativen sind verfügbar, einschließlich Cloud-basierter Lösungen, die das Patchen automatisch durchführen.

4. Den Zugang zu Spenderdaten nach dem Prinzip des geringsten Privilegs einschränken

Nicht jeder Mitarbeiter oder Freiwillige benötigt Zugang zu allen Spenderdaten. Implementierung einer rollenbasierten Zugangskontrolle (RBAC), um den Datenzugriff auf nur Personen zu beschränken, die dies für ihre spezifischen Aufgaben benötigen.

  • Fundraising-Mitarbeiter müssen möglicherweise die Kontaktinformationen des Spenders und die Historie anzeigen, jedoch nicht die vollständigen Kreditkartennummern.
  • Finanzpersonal benötigt möglicherweise Zugang zu Transaktionsaufzeichnungen, jedoch keine persönlichen Adressen oder Engagement-Notizen.
  • Praktikanten oder Zeitarbeitnehmer sollten einen Lesezugriff oder zeitlich begrenzte Berechtigungen haben.

Regelmäßige Überprüfung der Zugriffsprotokolle auf ungewöhnliche Aktivitäten, wie z. B. das Herunterladen großer Datenmengen außerhalb der normalen Arbeitszeiten durch einen Mitarbeiter. Die Bereitstellung und De-Provisionierung von Benutzern sollte automatisiert werden: Wenn ein Mitarbeiter die Organisation verlässt oder seine Rollen wechselt, sollten seine Zugriffsrechte sofort widerrufen oder angepasst werden.

5. Verwenden Sie sichere Zahlungsgateways und erfüllen Sie PCI DSS

Wenn Ihr Unternehmen Kreditkartenspenden akzeptiert – online, telefonisch oder persönlich – müssen Sie den Payment Card Industry Data Security Standard (PCI DSS) einhalten.

  • Speichern Sie niemals vollständige Kreditkartennummern, CVV-Codes oder Magnetstreifendaten, nachdem eine Transaktion autorisiert wurde.
  • Verwendung von Tokenisierung oder Verschlüsselung, um sensible Kartendaten durch nicht sensible Äquivalente zu ersetzen.
  • Vertrag mit einem PCI-kompatiblen Zahlungsprozessor (z. B. Stripe, PayPal, Braintree oder spezialisierte gemeinnützige Prozessoren wie Donorbox oder GiveWP).
  • Durchführung jährlicher Selbsteinschätzungen oder Schwachstellenscans, wie von Ihrer übernehmenden Bank verlangt.

Viele gemeinnützige Organisationen können ihre PCI-Compliance-Belastung reduzieren, indem sie ein Drittanbieter-Zahlungsgateway verwenden, das Kartendaten direkt verarbeitet, so dass die Wohltätigkeitsorganisation niemals vollständige Kartennummern berührt oder speichert.

Externe Ressource: Erfahren Sie mehr über PCI DSS-Anforderungen für kleine Unternehmen und gemeinnützige Organisationen auf der offiziellen Website des PCI Security Standards Council.

Best Practices für das Datenschutzmanagement

Während sich die Sicherheit auf technische Kontrollen konzentriert, befasst sich die Privatsphäre damit, wie Spenderdaten gesammelt, verwendet, geteilt und aufbewahrt werden - und wie Spender informiert und kontrolliert werden.

1. Entwicklung einer klaren, zugänglichen Datenschutzrichtlinie

Jede gemeinnützige Organisation sollte eine schriftliche Datenschutzerklärung haben, die erklärt:

  • Welche Arten von Spenderdaten werden gesammelt (z. B. Name, Kontaktdaten, Zahlungsinformationen, Browserverhalten bei Verwendung von Cookies).
  • Wie die Daten erhoben werden (Onlineformulare, Offline-Events, Quellen von Drittanbietern).
  • Die Zwecke, für die Daten verwendet werden (Verarbeitung von Spenden, Versand von Quittungen, Marketingkommunikation, Analyse).
  • Ob Daten an Dritte (z.B. Zahlungsabwickler, E-Mail-Marketing-Plattformen, Data Analytics-Dienste) weitergegeben werden und unter welchen Bedingungen.
  • Wie lange Daten gespeichert werden und wie Spender eine Löschung beantragen können.
  • Rechte der Spender nach geltendem Recht (z. B. Recht auf Zugriff, Berichtigung, Löschung oder Portierung ihrer Daten; Recht auf Nichterfüllung des Verkaufs/Teilens).
  • Kontaktinformationen für Datenschutzanfragen.

Die Richtlinie sollte prominent auf Ihrer Website (in der Regel in der Fußzeile), geschrieben in einfacher Sprache, und gehalten, um auf dem neuesten Stand, wie Daten Praktiken entwickeln.

2. Explizite Zustimmung zur Datenerhebung und -verarbeitung einholen

Nach vielen Datenschutzbestimmungen muss die Einwilligung frei, spezifisch, informiert und eindeutig erteilt werden, was bedeutet, dass vorgecheckte Kästchen oder die implizite Zustimmung aus einer Spendentransaktion nicht mehr für Marketingzwecke ausreichen.

  • Verwenden von Opt-in-Checkboxen (nicht Opt-out) für E-Mail-Newsletter, SMS-Updates oder den Austausch von Daten mit Partnerorganisationen.
  • Bereitstellung detaillierter Auswahlmöglichkeiten - zum Beispiel, indem Spender auswählen können, welche Arten von Kommunikation sie erhalten möchten.
  • Klare Angabe des Zwecks der Datenerhebung zum Zeitpunkt der Erfassung (z. B. „Wir verwenden Ihre E-Mail, um Ihre Steuerbescheinigung und gelegentliche Updates über unsere Arbeit zu senden – Sie können sich jederzeit abmelden).
  • Aufzeichnung und Speicherung des Einwilligungsnachweises (z. B. Zeitstempel, IP-Adressen und angezeigter Einwilligungstext), damit Sie bei einer Prüfung die Einhaltung nachweisen können.

Für bestehende Spender, die an Bord waren, bevor Ihre Organisation robuste Zustimmungspraktiken eingeführt hat, sollten Sie eine Kampagne zur erneuten Zustimmung in Betracht ziehen, um Ihre Datenbank in Übereinstimmung zu bringen.

3. Minimierung von Praxisdaten

Wenn Sie nicht das Geburtsdatum, die Telefonnummer oder den Beruf eines Spenders benötigen, um ein Geschenk zu verarbeiten, fordern Sie es nicht an. Die Datenminimierung reduziert den potenziellen Schaden eines Verstoßes und vereinfacht die Einhaltung der Aufbewahrungs- und Löschungsverpflichtungen.

Überprüfen Sie Ihre Spendenformulare, Eventregistrierungsseiten und Freiwilligenanträge regelmäßig, um unnötige Felder zu entfernen. Verwenden Sie bedingte Logik, um optionale Felder nur dann anzuzeigen, wenn dies relevant ist. Fragen Sie beispielsweise nach Arbeitgeberinformationen nur, wenn der Spender angibt, dass er an Arbeitgeber-Geschenken interessiert ist.

4. Festlegung von Datenspeicherung und Sicherung von Entsorgungsrichtlinien

Spenderdaten sollten nicht unbegrenzt aufbewahrt werden; einen Aufbewahrungsplan erstellen, der festlegt, wie lange jede Kategorie von Daten auf der Grundlage der operativen Erfordernisse und rechtlichen Anforderungen aufbewahrt wird; zum Beispiel:

  • Transaktionsaufzeichnungen müssen möglicherweise 7 Jahre lang aufbewahrt werden (zu Steuerzwecken).
  • Marketing-Engagement-Daten (z. B. E-Mail-Öffnungsraten) können 3 Jahre lang aufbewahrt werden.
  • Inaktive Spenderprofile (keine Aktivität seit 5+ Jahren) können archiviert oder gelöscht werden.

Wenn die Daten das Ende ihrer Aufbewahrungsfrist erreicht haben, müssen sie sicher entsorgt werden. Einfaches Löschen reicht nicht aus - Festplatten und Backups können immer noch wiederherstellbar sein. Verwenden Sie Datei-Shredding-Tools für digitale Dateien (z. B. Software, die Daten mehrfach überschreibt) und physische Shredder-Dienste für Papieraufzeichnungen. Ziehen Sie in Betracht, mit einem zertifizierten Datenvernichtungsanbieter zusammenzuarbeiten.

5. Trainieren Sie alle Mitarbeiter und Freiwilligen zu Datenschutz und Sicherheit

Menschliche Fehler – wie das Klicken auf Phishing-Links, das Sichtbarmachen von Spenderdatensätzen auf freigeschalteten Bildschirmen oder das Teilen von Passwörtern – bleiben die Hauptursache für Datenvorfälle. Implementieren Sie obligatorische Schulungsprogramme, die Folgendes abdecken:

  • Wie man Phishing-Versuche, Social Engineering und verdächtige E-Mails erkennt
  • Richtiger Umgang mit Spenderdaten: keine Diskussion über Spenderinformationen an öffentlichen Orten, kein unverschlüsseltes Versenden von Tabellenkalkulationen per E-Mail, Sperren von Arbeitsstationen, wenn sie nicht betreut werden.
  • Verfahren zur Meldung vermuteter Datenschutzverletzungen oder Datenschutzvorfälle.
  • Verständnis der Datenschutzgesetze, die für Ihre Gerichtsbarkeit relevant sind.

Die Schulung sollte bei der Anstellung und mindestens einmal jährlich danach stattfinden. Geben Sie Beispiele und Quiz aus der Praxis, um das Lernen zu fördern. Fördern Sie eine Kultur, in der Mitarbeiter sich wohl fühlen, wenn sie Fehler melden, ohne Angst vor Vergeltung zu haben - eine frühzeitige Berichterstattung kann den Schaden durch einen Verstoß begrenzen.

Rechtliche und ethische Überlegungen

Wichtige Datenschutzgesetze, die gemeinnützige Organisationen betreffen

Je nachdem, wo Ihre Organisation tätig ist oder wo Ihre Spender wohnen, können mehrere Gesetze gelten.

  • GDPR (Europäische Union): Gilt für jede Organisation, die die personenbezogenen Daten von Personen in der EU verarbeitet, unabhängig vom Standort der Organisation. Erfordert eine rechtmäßige Grundlage für die Verarbeitung, eine obligatorische Meldung von Verstößen innerhalb von 72 Stunden, Datenschutzfolgenabschätzungen für Aktivitäten mit hohem Risiko und die Ernennung eines Datenschutzbeauftragten (DPO) in bestimmten Fällen.
  • CCPA/CPRA (Kalifornien, USA): Gewährt den Einwohnern Kaliforniens das Recht zu wissen, welche personenbezogenen Daten gesammelt werden, sie zu löschen, sich aus dem Verkauf zu entfernen und diese Rechte nicht zu diskriminieren. Während gemeinnützige Organisationen derzeit von Teilen des CCPA ausgenommen sind, hat der kalifornische Generalstaatsanwalt signalisiert, dass gemeinnützige Organisationen, die Spenderdaten besitzen, weiterhin ähnliche Standards wie Best Practice anwenden sollten.
  • PIPEDA (Kanada): Erfordert eine sinnvolle Zustimmung, Datenminimierung und Rechenschaftspflicht für den Datenschutz. Gilt für Wohltätigkeitsorganisationen, die kommerzielle Aktivitäten ausüben oder Daten in allen Provinzen sammeln.
  • Andere staatliche Gesetze: Virginias CDPA, Colorados CPA, Connecticuts CTDPA und andere erweitern den Patchwork der US-Datenschutzbestimmungen. Globale Wohltätigkeitsorganisationen müssen möglicherweise auch Brasiliens LGPD oder Japans APPI einhalten.

Es ist komplex zu verstehen, welche Gesetze für Ihre Organisation gelten. es ist ratsam, sich an einen auf Datenschutz oder Nonprofit-Recht spezialisierten Rechtsberater zu wenden, um eine Compliance-Prüfung durchzuführen.

Externe Ressource: Für einen detaillierten Überblick über die Datenschutzgesetze der US-Bundesstaaten besuchen Sie den IAPP US State Privacy Legislation Tracker.

Ethisches Datenmanagement über Compliance hinaus

Ethische Datenverwaltung bedeutet, weiter zu gehen, um die Autonomie der Spender zu respektieren und langfristige Beziehungen aufzubauen.

  • Transparenz standardmäßig: Spender proaktiv darüber informieren, wie ihre Daten verwendet werden, auch wenn dies nicht gesetzlich vorgeschrieben ist. Wenn Sie beispielsweise Spenderlisten mit anderen gemeinnützigen Organisationen teilen, legen Sie dies klar offen und bieten ein Opt-out an.
  • Respektiere die Präferenzen der Spender: Ehre die Kommunikationsabmeldungen umgehend (innerhalb von 10 Werktagen ist ein üblicher Standard). Implementiere ein zentralisiertes Präferenzmanagementsystem, um zu vermeiden, dass Mailings an Spender gesendet werden, die eine Entfernung beantragt haben.
  • Datenschutzfolgenabschätzungen: Vor dem Start einer neuen Fundraising-Kampagne, Technologieplattform oder Datenaustausch-Partnerschaft sollten Sie eine Datenschutz-Folgenabschätzung durchführen, um potenzielle Risiken für die Privatsphäre der Spender zu identifizieren und diese im Voraus zu mindern.
  • Datenübertragbarkeit: Geber können auf Anfrage eine Kopie ihrer Daten herunterladen, was den guten Willen fördert und dem Geist des Dateneigentums entspricht.

Beim ethischen Umgang mit Spenderdaten geht es nicht nur darum, Geldbußen zu vermeiden – es geht darum zu zeigen, dass Ihre Organisation die Menschen, denen sie als Partner in der Mission dient, schätzt, nicht nur die Einnahmequellen.

Fazit: Aufbau einer Kultur der Sicherheit und Privatsphäre

Datensicherheit und Datenschutz von Spendern sind keine einmaligen Projekte; es sind fortlaufende Verpflichtungen, die kontinuierliche Aufmerksamkeit, Investitionen und Anpassung an neue Bedrohungen und regulatorische Veränderungen erfordern. Wohltätigkeitsorganisationen, die diese Praktiken in ihren täglichen Betrieb integrieren - durch strenge technische Kontrollen, transparente Richtlinien, regelmäßige Schulungen und ethische Entscheidungen - werden sich nicht nur vor Schäden schützen, sondern auch das Vertrauen stärken, das für ihre Mission von entscheidender Bedeutung ist.

Beginnen Sie dort, wo Sie sind. Führen Sie eine Dateninventur durch, um zu verstehen, welche Spenderinformationen Sie haben und wo sie sich befinden. Führen Sie eine Risikobewertung durch, um Ihre kritischsten Schwachstellen zu identifizieren. Implementieren Sie die in diesem Leitfaden beschriebenen Praktiken, wobei Sie die Bereiche mit dem höchsten Risiko priorisieren (wie Zahlungsabwicklung und Fernzugriff). Dokumentieren Sie Ihre Richtlinien und Verfahren schriftlich und überprüfen Sie sie mindestens einmal jährlich.

Keine Organisation kann jegliches Risiko ausschließen, aber durch bewusste, informierte Schritte können Sie die Wahrscheinlichkeit und die Auswirkungen eines Datenvorfalls erheblich reduzieren.Die Bemühungen, die Sie heute in die Sicherung von Spenderdaten investieren, werden sich in nachhaltiges Vertrauen der Spender, Einhaltung gesetzlicher Vorschriften und die langfristige Gesundheit Ihrer gemeinnützigen Organisation auszahlen.

Externe Ressource: Für zusätzliche Anleitungen zur Erstellung eines gemeinnützigen Datensicherheitsplans siehe die Cybersecurity and Infrastructure Security Agency (CISA) Ressourcen für kleine Organisationen.