Technische und organisatorische Maßnahmen

Gemäß § 9 Bundesdatenschutzgesetz (BDSG) sind alle Stellen, welche personenbezogene Daten verarbeiten, erheben oder nutzen verpflichtet, technische und/oder organisatorische Maßnahmen (kurz: TOM) zu treffen, um zu gewährleisten, dass die Sicherheits- und Schutzanforderungen des BDSG erfüllt sind. Die Spezifizierung dieser Anforderungen ergibt sich aus der Anlage (zu § 9 Satz 1) BDSG.

Abgrenzung technisch und organisatorisch

Unter technischen Maßnahmen sind alle Schutzversuche zu verstehen, die im weitesten Sinne physisch umsetzbar sind, wie etwa

  • Umzäunung des Geländes
  • Sicherung von Türen und Fenstern
  • bauliche Maßnahmen allgemein
  • Alarmanlagen jeglicher Art

oder Maßnahmen die in Soft- und Hardware umgesetzt werden, wie etwa

  • Benutzerkonto
  • Passworterzwingung
  • Logging (Protokolldateien)
  • biometrische Benutzeridentifikation

Als organisatorische Maßnahmen sind solche Schutzversuche zu verstehen, die durch Handlungsanweisung, Verfahrens- und Vorgehensweisen umgesetzt werden. Beispiele hierfür sind

  • Besucheranmeldung
  • Arbeitsanweisung zum Umgang mit fehlerhaften Druckerzeugnissen
  • Vier-Augen-Prinzip
  • festgelegte Intervalle zur Stichprobenprüfungen


Checklisten, die als Hilfsmittel für eine Einschätzung und Prüfung der erforderlichen Maßnahmen herangezogen werden können, sind unter Checkliste Technische und organisatorische Maßnahmen zu finden.

TOM gemäß Anlage zu § 9 BDSG

Die Anlage zu gibt vor, in welchen Kategorien Schutzmaßnahmen sichergestellt sein müssen. Nachfolgend werden die einzelnen Anforderungen nebst Beispielen beschrieben.

Zutrittskontrolle

Gemeint sind Maßnahmen, die verhindern, dass Unbefugte Zutritt (räumlich zu verstehen) zu Datenverarbeitungsanlagen erhalten, mit denen personenbezogene Daten verarbeitet werden.

  • Gebäudesicherung
    • Zäune
    • Pforte
    • Videoüberwachung
  • Sicherung der Räume
    • Sicherheitsschlösser
    • Chipkartenleser
    • Codeschlösser
    • Sicherheitsverglasung
    • Alarmanlagen

Zugangskontrolle

Gemeint sind Maßnahmen, die verhindern, dass Datenverarbeitungsanlagen von Unbefugten benutzt werden können, wobei sich allerdings das Wort "nutzen" nicht auf die Legaldefinition des § 3 Abs. 5 BDSG beschränkt.

  • Zugang zu Rechnern/Systemen (Authentifizierung)
    • Benutzerkennung mit Passwort
    • biometrische Benutzeridentifikation
    • Firewall
    • zertifikatsbasierte Zugangsberechtigung

Zugriffskontrolle

Es muss gewährleistet werden, dass die zur Benutzung von DV-Anlagen berechtigten Nutzer ausschließlich auf Inhalte zugreifen können, für die sie berechtigt sind und, dass personenbezogene Daten bei der Verarbeitung und Nutzung und nach dem Speichern nicht unbefugt kopiert, verändert oder gelöscht werden können.

  • Berechtigungskonzept
  • Benutzerkennung mit Passwort
  • gesicherte Schnittstellen (USB, Firewire, Netzwerk, etc.)
  • Datenträgerverwaltung
  • zertifikatsbasierte Zugriffsberechtigung

Weitergabekontrolle

Es muss verhindert werden, dass personenbezogene Daten bei der elektronischen Übertragung oder beim Transport oder bei der Speicherung auf Datenträgern unbefugt gelesen, kopiert, verändert oder gelöscht werden können und dass festgestellt werden kann, an welchen Stellen eine Übermittlung solcher Daten im DV-System vorgesehen ist.

  • Sicherung beim Transport
    • Verschlossene Behälter
    • Verschlüsselung
  • Sicherung bei der Übermittlung
    • Verfahrensverzeichnis
    • Protokollierungsmaßnahmen

Eingabekontrolle

Es muss sichergestellt werden, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten eingegeben, verändert oder gelöscht worden sind.

  • Protokollierung
  • Benutzeridentifikation

Auftragskontrolle

Es muss sichergestellt werden, dass personenbezogene Daten, die im Auftrag verarbeitet werden, gemäß den Weisungen des Auftraggebers verarbeitet werden.

  • Weisungsbefugnisse festlegen
  • Vor-Ort Kontrollen
  • Datenschutzvertrag gemäß den Vorgaben nach § 11 BDSG
  • Stichprobenprüfung
  • Kontrollrechte

Verfügbarkeitskontrolle

Es muss sichergestellt werden, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt werden.

  • Brandschutzmaßnahmen
  • Überspannungsschutz
  • Unterbrechungsfreie Stromversorgung
  • Klimaanlage
  • RAID (Festplattenspiegelung)
  • Backupkonzept
  • Virenschutzkonzept
  • Schutz vor Diebstahl

Trennungsgebot

Es ist sicher zu stellen, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden können.

  • Trennung von Produktiv- und Testsystemen
  • getrennte Ordnerstrukturen (Auftragsdatenverarbeitung)
  • separate Tables innerhalb von Datenbanken
  • getrennte Datenbanken

Insbesondere sind allgemeine Verschlüsselungsverfahren nach aktuellem Stand der Technik zu berücksichtigen.

Prinzip der Verhältnismäßigkeit

Das BDSG schränkt sich in den zu treffenden Schutzmaßnahmen selbst ein. Für TOM gilt ein sog. Verhältnismäßigkeitsprinzip. Demnach müssen personenbezogene Daten nicht unendlich stark geschützt werden, wenn die Maßnahmen dafür wirtschaftlich unangemessen hoch ausfallen würden. Daraus lässt sich ableiten, dass bei einer Auftragsdatenverarbeitung (ADV) der Dienstleister, welcher nur einen Teil der Daten zur Bearbeitung erhält, nicht zwingend die gleichen Schutzmaßnahmen treffen muss, wie sie etwa die verantwortliche Stelle ausführt.

Beispiel: Der EDV-Dienstleister einer Bank kann (aus wirtschaftlicher Sicht) nicht die gleichen Sicherheitsmaßnahmen gewährleisten wie die Bank selbst. Da er in aller Regel nur auf einen Teilbereich der Daten Zugriff hat (oder zur Verfügung), ist dies gesetzlich auch nicht geboten, selbst wenn die Daten als sensibel zu betrachten sind (Kontonummern, Kredikartenumsätze).

Kritik

Aus der IT-Sicherheit besteht Kritik an den Formulierungen in der Anlage zu § 9 BDSG diesbezüglich, dass die genannten Schutzzwecke mit den "drei Säulen der IT-Sicherheit" (Verfügbarkeit, Vertraulichkeit, Integrität) übereinstimmen, aber unnötig auseinander gerissen werden. Dadurch wird die gemeinsame Sprache zwischen IT-Sicherheitsverantwortlichen und Datenschutzbeauftragten zersplittert.

Quelle: Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Kurz: bfdi


Ist Datensicherheit bei Ihnen gewährleistet?

Zitate aus dem Bundesdatenschutzgesetz (BDSG)

§ 7 Schadensersatz

Fügt eine verantwortliche Stelle dem Betroffenen durch eine nach diesem Gesetz oder nach anderen Vorschriften über den Datenschutz unzulässige oder unrichtige Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten einen Schaden zu, ist sie oder ihr Träger dem Betroffenen zum Schadensersatz verpflichtet. Die Ersatzpflicht entfällt, soweit die verantwortliche Stelle die nach den Umständen des Falles gebotene Sorgfalt beachtet hat.

Wer ordnungswidrig, fahrlässig und vorsätzlich handelt entgegen § 4d Abs. 1, auch in Verbindung mit § 4e Satz 2, eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht, kann in dem Fall des Absatzes 1 mit einer Geldbuße bis zu fünfzigtausend Euro, in den Fällen des Absatzes 2 mit einer Geldbuße bis zu dreihunderttausend Euro geahndet werden. Die Geldbuße soll den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen. Reichen die in Satz 1 genannten Beträge hierfür nicht aus,

§ 44 Strafvorschriften

(1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

§ 42a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten

Stellt eine nichtöffentliche Stelle im Sinne des § 2 Absatz 4 oder eine öffentliche Stelle nach § 27 Absatz 1 Satz 1 Nummer 2 fest, dass bei ihr gespeicherte personenbezogener Daten (§ 3 Absatz 9),

unrechtmäßig übermittelt oder auf sonstige Weise Dritten unrechtmäßig zur Kenntnis gelangt sind, und drohen schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdigen Interessen der Betroffenen, hat sie dies nach den Sätzen 2 bis 5 unverzüglich der zuständigen Aufsichtsbehörde sowie den Betroffenen mitzuteilen.

Soweit die Benachrichtigung der Betroffenen einen unverhältnismäßigen Aufwand erfordern würde, insbesondere aufgrund der Vielzahl der betroffenen Fälle, tritt an ihre Stelle die Information der Öffentlichkeit durch Anzeigen, die mindestens eine halbe Seite umfassen, in mindestens zwei bundesweit erscheinenden Tageszeitungen oder durch eine andere, in ihrer Wirksamkeit hinsichtlich der Information der Betroffenen gleich geeignete Maßnahme.

§ 9 Satz 1

Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind.

Im Video eine Lösungsvariante?