BECKMANN Fachanwälte Menu ein-/ausblenden
Wir bringen Ordnung in den Datenschutz-Dschungel.

Glossar Datenschutz

Anonymisierung

Begriff:
Der Bezug zu einer Person ist vollständig aufgehoben. Eine Re-Identifizierung ist nicht mehr möglich, weil es keine Identifikationsdaten gibt.
Beispiel:
Gruppendaten ohne Möglichkeit der Zuordnung von Einzeldaten (Statistik oder Forschung).
Folge:
Die DS-GVO ist nicht anwendbar, weil keine personenbezogenen Daten vorliegen (ErwGr 26, Satz 4, 5).

Auftragskontrolle

Begriff: Sie betrifft den Auftraggeber und den Auftragsverarbeiter (Art. 28 f. DS-GVO). Letzterer darf die im Auftrag verarbeiteten Daten nur entsprechend der Weisung des Auftraggebers verarbeiten.
Schutz: Durch schriftliche Dokumentation des Auftrags, eine interne Richtlinie zur Auftragsverarbeitung, eine eindeutige Vertragsgestaltung bzw. sorgfältige Vertragsprüfung.
Kontrolle: Durch technische und organisatorische Maßnahmen, die sicherstellen, dass die Weisungen des Auftraggebers beachtet werden, durch eine Prüfliste für den Datenschutzbeauftragten sowie durch Kontrollrechte des Auftraggebers.

Auftragsverarbeitung

Der Begriff wird in Art. 4 Nr. 8 DS-GVO definiert:
Auftragsverarbeiter [ist] eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.“
Der Verantwortliche muss sicherstellen, dass der Auftragnehmer die erforderlichen und geeigneten technischen und organisatorischen zum Schutz der verarbeiteten Daten ergreift. Die Datenverarbeitung muss im Einklang mit den datenschutzrechtlichen Bestimmungen erfolgen. Mit anderen Worten: Der Auftragnehmer muss die Daten genauso sensibel behandeln wie der Auftraggeber.

Benutzerkontrolle

Begriff: Sie stellt sicher, dass nur Befugte die IT nutzen oder personenbezogene Daten übertragen können.
Schutz: Durch Einsatz eines Protokollservers, Sicherung des Servers/Serverraums, der Netzwerke und Leitungen, Verschlüsselung der Datenübertragung, rechtzeitige Sperrung der Berechtigung (z.B. nach Ausscheiden eines Mitarbeiters).
Kontrolle: Zugriffsverletzungen protokollieren, Benutzer identifizieren.

Betroffenenrechte

Die DS-GVO stattet Personen, deren Daten verarbeitet werden, mit umfangreichen Rechten aus:

  • Recht auf Transparenz der Kommunikation und Information der Betroffenen (Art. 12 DS-GVO)
  • Recht auf Benachrichtigung (Art. 13, 14 DS-GVO)
  • Auskunftsrechte (Art. 15 DS-GVO)
  • Recht auf Berichtigung (Art. 16 DS-GVO)
  • „Recht auf Vergessenwerden“ (Löschpflichten des Verantwortlichen, Art. 17 DS-GVO)
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO)
  • Recht auf Datenübertragbarkeit (Art. 20 DS-GVO)
  • Widerspruchsrechte gegen die Verarbeitung (Art. 21 DS-GVO)

Bußgeldrahmen

Die Verantwortlichen sind nach Art. 25 DS-GVO zum Einsatz „geeigneter technischer und organisatorischer Maßnahmen“, u.a. durch „Technikgestaltung und datenschutzfreundliche Voreinstellungen“ persönlich verpflichtet. Die Aufsichtsbehörde kann einen Verstoß gegen diese Pflichten mit einer erheblichen Geldbuße belegen:

  • 2 % des Jahresumsatzes nach Art. 83 Abs. 2 d und Abs. 4 a DS-GVO für Verstöße gegen Art. 25, 32 DS-GVO d.h. u.a. gegen technische und organisatorische Pflichten oder
  • 4 % des Jahresumsatzes nach Art. 83 Abs. 5 a DS-GVO bei Verstößen gegen die allgemeinen Datenschutzgrundsätze, die sich etwa in Art. 5 Abs. 1 f DS-GVO auch auf die Datensicherheit beziehen

Datenschutz durch Technikgestaltung („data protection by design“)

Die Technik muss dem geltenden Recht folgen. Daher ist der Datenschutz schon bei der Konzeption von Programmen oder der Programmierung selbst zu berücksichtigen. Geeignete technische und organisatorische Maßnahmen durch Technikgestaltung sind z.B.:

  • die Pseudonymisierung oder Verschlüsselung von Daten (Zweck: bei Missbrauch oder Verlust nicht leicht auszuwerten, Art. 32 Abs. 1 a DS-GVO)
  • die Anonymisierung der Daten ohne einen Personenbezug (Art. 32 DS-GVO nennt nur Beispiele)
  • die technische Einbindung von Datenschutzhinweisen (Zweck: Transparenz, Art. 5 Abs. 1 a DS-GVO)
  • Authentifizierungsverfahren zur Sicherstellung des ausschließlichen Zugangs von berechtigten Nutzern (zur Datenminimierung, Art. 5 Abs. 1 f DS-GVO)
  • spezielle Markierungen von Datensätzen (elektronische Etikettierung, sog. Tag; hilfreich für die Einhaltung des Zweckbindungsgrundsatzes, Art. 5 Abs. 1 b DS-GVO)

Datenschutz durch datenschutzfreundliche Voreinstellungen („data protection by default“)

Diese Regelung in Art. 25 Abs. 2 DS-GVO ist neu und dürfte sich insbesondere auf Internetdienste und soziale Netzwerke beziehen. Im Grundsatz soll dadurch u.a. das Prinzip der Datenminimierung bereits durch technische Voreinstellungen umgesetzt werden. Danach sind die technischen Systeme auf die Grundsätze des Datenschutzes abzustimmen und zwar hinsichtlich:

  • der Beschränkung auf den jeweiligen Verarbeitungszweck
  • der Menge der erhobenen personenbezogenen Daten
  • des Umfangs ihrer Verarbeitung
  • der Speicherfristen
  • ihrer Zugänglichkeit

Voreinstellungen sind die Variablen, die der Verantwortliche den Nutzern seines Datenverarbeitungssystems vorgibt. Der Nutzer muss diese also eintragen oder durch „Anklicken“ auswählen.

Datenschutzbeauftragter

Die DS-GVO etabliert europaweit eine Bestellungspflicht für einen betrieblichen Datenschutzbeauftragten. Die Bestellungspflicht kann wie folgt geprüft werden:

1. Frage:
Sind „in der Regel mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ beschäftigt?

Ja: Bestellungspflicht
Nein: weiter zu Frage 2

2. Frage:
Verarbeitet Ihr Unternehmen folgende personenbezogene „besondere Datenkategorien“ bzw. sog. „sensitive Daten“ nach Art. 9 DS-GVO?

1) rassische oder ethnische Herkunft
2) politische Meinungen
3) religiöse oder weltanschauliche Überzeugung
4) Gewerkschaftszugehörigkeit
5) genetische, biometrische Daten zur Personenidentifizierung
6) Gesundheitsdaten
7) Sexualleben oder sexuelle Orientierung
Ja: Handelt es sich dabei um eine Kerntätigkeit (primärer aber nicht alleiniger Geschäftszweck)?
Ja: Bestellungspflicht (Art. 37 Abs. 1 c DS-GVO)
Nein: weiter zu Frage 3

3. Frage:
Finden in Ihrem Unternehmen sog. „risikobehaftete Arten von Verarbeitungsvorgängen“ statt, die nach Art, Umfang und/oder Zweck eine umfangreiche regelmäßige und systematische Überwachung von Personen erforderlich machen?

1) Art: Einsatz neuer Technologien
2) Umfang: massenhafte Datenverarbeitung
3) Zweck: z.B. Profiling von Verhaltensweisen, Kreditwürdigkeit
4) umfangreich: große Anzahl von Betroffenen (kein Schwellenwert)
5) regelmäßig: gewisse Dauer (nicht nur einmal)
6) systematisch: methodischer Technikeinsatz
Ja: Handelt es sich dabei um eine Kerntätigkeit (primärer aber nicht alleiniger Geschäftszweck)?
Ja: Bestellungspflicht (Art. 37 Abs. 1 b DS-GVO)
Nein: keine Bestellungspflicht

Datenschutzerklärung (Webseite)

Die Datenschutzerklärung auf einer Webseite soll Verbraucher als Nutzer darüber aufklären, in welchem Umfang Daten verarbeitet werden, was dabei zum Schutz seiner Persönlichkeitssphäre unternommen wird und welche Rechte er hat.
In der Erklärung wird unter anderem beschrieben, wie personenbezogene Daten von dem Betreiber gesammelt, genutzt oder an Dritte weitergegeben werden. Die DS-GVO verlangt dabei eine klare und verständliche Sprache (kein „Fachchinesisch“).

Datenschutz-Folgenabschätzung („DSFA“, Art. 35, 36 DS-GVO)

Eine Datenschutz-Folgenabschätzung (Art. 35 DS-GVO) ist bei „risikobehafteten Verarbeitungsvorgängen“ durchzuführen. Sie enthält abgestuft folgende Elemente:
1) Prognoseentscheidung: Der „Verantwortliche“ schätzt die Risiken für die Betroffenen ein, d.h. Risikoidentifikation, Risikoanalyse, Risikoevaluation, Risikobeurteilung (und letztlich - vgl. 3 - die Risikobehandlung durch geeignete Maßnahmen).
2) Beteiligung: Der „Verantwortliche“ berät sich mit dem betrieblichen Datenschutzbeauftragten (Art. 35 Abs. 2 DS-GVO).
3) Maßnahmen: Der „Verantwortliche“ trifft Maßnahmen zur Eindämmung eines erkannten Risikos (Art. 35 Abs. 7 DS-GVO), etwa durch Abhilfemaßnahmen, Sicherheitsvorkehrungen, verfügbare Technologien, Garantien etc.
4) Kontrolle: Der „Verantwortliche“ überprüft die Richtigkeit seiner Folgenabschätzung (Art. 35 Abs. 11 DS-GVO).
5) Konsultation: Der „Verantwortliche“ konsultiert „vorab“ die Aufsichtsbehörde, wenn ein hohes Risiko besteht. Die Aufsichtsbehörde kann Empfehlungen aussprechen oder Auflagen erteilen (Art. 36 DS-GVO).

Eine Stellungnahme der Aufsichtsbehörde erfolgt nur bei unzureichenden Maßnahmen (binnen 8 Wochen, Art. 36 Abs. 2 DS-GVO, verlängerbar).
Die Folgenabschätzung unterliegt den ausdrücklichen Dokumentationspflichten und hat folgenden Inhalt (Art. 35 Abs. 7 DS-GVO):

  1. Beschreibung der geplanten Verarbeitungsvorgänge, Verarbeitungszwecke und des berechtigten Interesses des Verantwortlichen,
  2. Bewertung der Notwendigkeit und Verhältnismäßigkeit in Bezug auf den Zweck der Verarbeitung,
  3. Bewertung der Risiken für Rechte und Freiheiten von Betroffenen,
  4. geplante Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen etc.

Datenschutzmanagement

Elemente des Datenschutzmanagements sind unter anderem:

  1. Datenschutz-Konzepte: Leitlinien, Richtlinien, Budget, Ressourcen, Teams zur Umsetzung
  2. Datenschutzbeauftragter: Bestellung, Weiterbildung, Beratung
  3. Datenschutz-Risikomanagement-System: DSMS: Schutz der Rechte und Freiheiten der Betroffenen, deren personenbezogene Daten verarbeitet werden
  4. Informationssicherheits-Managementsystem: ISMS: Datensicherheit; z.B. Notfallplan mit Handlungsanweisungen bei Brand, Stromausfall, Wassereinbruch, technischen Störungen
  5. Datenschutz-Compliance: Risiken für den Verantwortlichen und das Unternehmen, z.B. Bußgelder

Datensicherheit

Datensicherheit im Sinne der DS-GVO meint die Sicherheit der Datenverarbeitung (vgl. Art. 5 Abs. 1 lit. f und Art. 32 DS-GVO). Sie soll Integrität, Vertraulichkeit und Verfügbarkeit der Daten gewährleisten und vor unzulässigem Zugriff sowie Datenverlust schützen. Dazu sollen geeignete technische und organisatorische Maßnahmen eingesetzt werden.

Eingabekontrolle

Begriff: Nachträgliche Kontrolle, welche Daten zu welcher Zeit von wem im IT-System eingegeben oder verändert worden sind.
Schutz: Durch ein ausgereiftes Berechtigungskonzept, die Protokollierung der Eingaben und Änderungen sowie die Sicherung der Protokolldaten.
Kontrolle: Protokollauswertung, z.B. Überprüfung falscher Zugriffsversuche.

Integrität der Daten

Begriff: Gespeicherte personenbezogene Daten müssen davor geschützt sein, durch Fehlfunktionen des Systems beschädigt zu werden.
Schutz: Backup-Konzept (Sicherungskopien), sichere Aufbewahrung der Daten.
Kontrolle: Berechtigung zur Datensicherung, Sensibilisierung, Patch-Management (Sicherheitslücken, Updates).

Personenbezogene Daten

Der Begriff wird in Art. 4 Nr. 1 DS-GVO definiert:
„alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person ange- sehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.“
Beispiele: Name, Anschrift, Geburtsdatum, Personalnummer, IP-Adressen, Cookies, Standortdaten, biometrische Daten.

Pseudonymisierung (Art. 4 Nr. 5, 25 Abs. 1, 32 Abs. 1 a DS-GVO)

Begriff:
Der Bezug zu einer Person wird teilweise aufgehoben (eingeschränkt) und kann ohne zusätzliche Informationen (z.B. Identifizierungsdaten) nicht wiederhergestellt werden.

Voraussetzungen:

  • keine Zuordnung der Daten ohne Identifikationsdaten
  • getrennte Aufbewahrung der Identifikationsdaten durch den Verantwortlichen
  • technische und organisatorische Maßnahmen zum Schutz der Identifikationsdaten (Zugang)
Beispiel:
Medizinische Daten und persönliche Daten werden getrennt und können nur durch die Identifikationsdaten zugeordnet werden.

Schutz:
Geeignete Maßnahmen zur Gewährleistung der Datensicherheit, insbesondere bei höherem Schutzbedarf (Art. 24, 25, 32 DS-GVO).

Speicherkontrolle

Begriff: Verhinderung unbefugter Eingaben, unbefugter Kenntnisnahme, Veränderung und Löschung von Daten.
Schutz: Berechtigungskonzept, Verschlüsselung.
Kontrolle: Durch den Administrator, Protokollierung der Art der Zugriffe.

Stand der Technik (Art. 25, 32 DS-GVO)

Der Stand der Technik umfasst die technologischen Werkzeuge, die zur Verfügung stehen, um z.B. eine angemessene Verschlüsselung oder eine verlässliche Pseudonymisierung zu gewährleisten.
Die Sicherheit der Verarbeitung muss „nach dem Stand der Technik“ und durch „geeignete technische und organisatorische Maßnahmen“ (TOMs) erfolgen (Art. 24, 32 DS-GVO).
Weiter nennt die DS-GVO Datenschutz durch „Technikgestaltung“ und „datenschutzfreundliche Voreinstellungen“. Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der datenverarbeitenden Systeme müssen dadurch sichergestellt werden.
Dabei muss nicht zwingend auf die besten verfügbaren Technologien zurückgegriffen werden. Es reicht aus, bewährte und effektive Technik einzusetzen (Angebote am Markt prüfen).

Konkretisierung:

  • IT-Grundschutzkataloge des BSI
  • ISO-27000-Normenreihe
  • sonstige Empfehlungen staatlicher Stellen

Technische und organisatorische Maßnahmen (TOM)

Die sogenannten „TOMs“ stellen Maßnahmen dar, die ein angemessenes Schutzniveau für die personenbezogenen Daten gewährleisten sollen (Art. 32 DS-GVO). Beispiele: Pseudonymisierung und Verschlüsselung, Sicherheitsschlösser, Firewall, Virenscanner, Berechtigungskonzept, Feuermeldeanlage und -löscheinrichtung, Klimaanlage, Sicherheitsräume, Alarmanlagen etc.
Der deutsche Gesetzgeber weitet im Bundesdatenschutzgesetz die diesbezüglichen Pflichten des Verantwortlichen erheblich aus (§ 64 Abs. 1 Satz 2 BDSG n.F.):

„Der Verantwortliche hat hierbei die einschlägigen Technischen Richtlinien und Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik zu berücksichtigen.“

„Berücksichtigen“ setzt zwangsläufig voraus, dass der Verantwortliche die einschlägigen Richtlinien überhaupt kennt. Unternehmen ohne einen eigenen ausgebildeten IT-Security-Beauftragten werden mit dieser Vorgabe extrem belastet.
Die Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sind sehr umfangreich und komplex. Im Hinblick auf die „geeigneten technischen und organisatorischen Maßnahmen“ führen sie dazu, dass hunderte von möglichen TOMs geprüft werden müssen, um feststellen zu können, ob die ergriffenen Sicherheitsmaßnahmen ausreichen. Das bringt einen erheblichen Arbeitsaufwand mit sich.

Transportkontrolle

Begriff: Bei der Übermittlung von personenbezogenen Daten und dem Transport von Datenträgern wird die Vertraulichkeit und Integrität der Daten geschützt.
Schutz: Z.B. durch SSL-VPN Leitung für Datenübermittlung; sicheres Versandkonzept (feste verschlossene Verpackung, besondere Transportdienste).
Kontrolle: Protokolle, Überwachung der Transportzeit.

Trennbarkeit von Daten

Begriff: Zu unterschiedlichen Zwecken erhobene personenbezogene Daten sollen getrennt verarbeitet werden.
Schutz: Z.B. durch Trennung von Kunden- und Beschäftigtendaten, Speicherung in getrennten Systemen oder Dateien, eine Richtlinie zur Datentrennbarkeit.
Kontrolle: Durch stichprobenartige Tests, Administration.

Übertragungskontrolle

Begriff: An welcher Stelle werden personenbezogene Daten mit Hilfe von Technik/IT übermittelt? Wem werden sie zur Verfügung gestellt?
Schutz: Durch Verschlüsselung, Einrichtung eines SSL-VPN-Tunnels (abhör- und manipulationssicher) zum Transport über öffentliche Netzwerke, digitale Signatur.
Kontrolle: Protokoll der Übermittlungs- oder Abrufvorgänge, Dokumentation der Empfänger.

Verarbeitungsverzeichnis/ Verfahrensverzeichnis

Jeder Verantwortliche soll ein „Verzeichnis aller Verarbeitungstätigkeiten“ (schriftlich oder elektronisch) führen und der Aufsichtsbehörde auf Anfrage zur Verfügung stellen können (Art. 30 DS-GVO). Entsprechendes gilt für sog. „Auftragsverarbeiter“. Eine Ausnahme gilt grundsätzlich für Unternehmen mit weniger als 250 Mitarbeitern (Art. 30 Abs. 5 DS-GVO).
Diese Ausnahme wird aber relativiert: Sie gilt nur bei „gelegentlicher“ Verarbeitung. Unternehmen, die „nicht nur gelegentlich“ (also häufig bis regelmäßig) Daten verarbeiten, werden von der Ausnahme nicht erfasst. Das gilt auch bei Verarbeitung sensitiver Daten nach Art. 9 DS-GVO. Für öffentliche Stellen gilt der Schwellenwert nicht. Sie haben das Verarbeitungsverzeichnis stets und unabhängig von der Beschäftigtenzahl zu führen (§ 70 BDSG).
Im Ergebnis müssen also auch kleinere bis mittlere Unternehmen in der Regel ein Verarbeitungsverzeichnis führen.

Mindestinhalt eines Verarbeitungsverzeichnisses:
  1. Namen und Kontaktdaten des Verantwortlichen,
  2. ggf. Namen und Kontaktdaten von Auftragsdatenverarbeitern,
  3. ggf. Name und Kontaktdaten des Datenschutzbeauftragten,
  4. Zweck der Verarbeitung (z.B. Personalwesen, Profiling etc.),
  5. Kategorie der betroffenen Personen (z.B. Beschäftigte, Kunden, Lieferanten),
  6. Kategorie personenbezogener Daten (z.B. Adresse, Geburtsdatum, Bankverbindung),
  7. Kategorie der Empfänger, denen Daten offengelegt werden (intern: z.B. Buchhaltung, Personalabteilung; extern: z.B. Versicherungen, Behörden etc.),
  8. Übermittlungen an Drittländer, internationale Organisationen (z.B. Garantien),
  9. Fristen für Löschung verschiedener Datenkategorien,
  10. einzelfallbezogene allgemeine Beschreibungen der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DS-GVO.

Verfahren zur Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO)

Die technischen und organisatorischen Maßnahmen müssen regelmäßig auf ihre Wirksamkeit hin überprüft und bewertet werden (Art. 32 Abs. 1 d DS-GVO, s.o. 1.5, 2.1). Gegenüber der allgemeinen Pflicht zu Datenschutzvorkehrungen handelt es sich hier um eine speziellere Regelung, welche die „Regelmäßigkeit“ und Nachhaltigkeit der Verfahren zur Wirksamkeitsprüfung betont.
Der Verantwortliche muss also entsprechende Verfahren/Prozesse etablieren und deren Durchführung nachweisen. Damit werden nochmals die organisatorischen Pflichten des Verantwortlichen betont.

  1. Datenschutzsensibilisierung:
    Datenschutzbewusstsein durch Leitlinien, Schulungen, Training, Tests
  2. Interne Kontrollsysteme:
    Zur Risikobewertung z.B. mit Hilfe der Verfahrensverzeichnisse
  3. Interne Datenschutzaudits:
    Zur regelmäßigen Überprüfung und zum Auffinden von Mängeln
  4. Externe Datenschutzaudits:
    Interviews, Dokumentation, Bericht, Zertifizierung/Prüfsiegel
  5. Rechtmäßigkeit der Verarbeitung und der Verträge:
    Neue Gesetze, Urteile, Standarddatenschutzklauseln etc., Änderungen prüfen

Verfügbarkeitskontrolle

Begriff: Sie bezweckt den Schutz personenbezogener Daten gegen Zerstörung oder Verlust.
Schutz: Durch Klimaanlagen in Serverraum/Rechenzentrum, Feuer- und Rauchmelder, Brandschutzeinrichtungen, Sicherung vor unbefugtem Zutritt, USV-Anlagen (unterbrechungsfreie Stromversorgung).
Kontrolle: Regelmäßige Überprüfung der Funktionsfähigkeit der Anlagen, Berechtigungskonzept.

Verschlüsselung (Art. 32 Abs. 1 a DS-GVO)

Begriff:
Der Personenbezug der Daten bleibt vollständig erhalten. Durch die Maßnahme der Verschlüsselung sind die Daten für Dritte (z.B. bei Übertragungsvorgang) ohne den Identifizierungsschlüssel jedoch nicht mehr lesbar.
Voraussetzungen:
Die Verschlüsselung muss bewirken, dass die personenbezogenen Daten für Unbefugte „unzugänglich“ gemacht werden (Art. 32 Abs. 3 a DS-GVO). Die konkrete Art und Weise der Verschlüsselung ist nicht vorgeschrieben.
Beispiele:
1) E-Mail-Server: End-to-End Verschlüsselung der versandten E-Mails:
- S/MIME (Secure Multipurpose Internet Mail Extensions)
- GNUPG/PGP (Pretty Good Privacy)
2) Webseite/Internetnutzung:
- HTTPS (Hypertext Transfer Protocol Secure)
- SSL/TLS (Secure Sockets Layer/Transport Layer Security)
Schutz:
Eine Verschlüsselung nach dem Stand der Technik vermeidet zugleich weiterer Pflichten aus der DS-GVO („Belohnungssystem“ für technischen Datenschutz):
1) Keine Meldepflicht an die Aufsichtsbehörde bei Verletzungen (Art. 33 DS-GVO)
2) Keine Benachrichtigungspflicht an Betroffene bei Verletzungen (Art. 34 DS-GVO)
3) Legitimation der Weiterverarbeitung zu anderen Zwecken (Art. 6 Abs. 4 e DS-GVO) etc.

Wiederherstellbarkeit

Begriff: Personenbezogene Daten dürfen nicht durch Fehlfunktionen des Systems beschädigt werden.
Schutz: Durch Backup-Konzept (Datensicherung und Aufbewahrung), Notfallplan, Synchronisation bzw. Spiegelung/Auslagerung von Daten.
Kontrolle: Durch Administrator (Testläufe).

Zugangskontrolle

Begriff: Kontrolle des Zugangs zu einem IT-System (Login).
Schutz: Benutzer-ID und Passwort, Passwortrichtlinie, Verschluss-/Überwachungssystem für Server.
Kontrolle: Durch Administrator, technische Überwachung.

Zugriffskontrolle

Begriff: Kontrolle des Zugriffs auf eine Datei oder ein Programm.
Schutz: Berechtigungskonzepte für die IT, Anlegen von Benutzerprofilen.
Kontrolle: Verweigerung des Zugriffs Unbefugter, Vollzugriff lesen, schreiben und ändern. Administrator einsetzen, Protokolle fertigen.

Zutrittskontrolle

Begriff: Physischer Zutritt zu einem Gebäude, Gelände, Raum oder einer Schutzzone.
Schutz: Durch Chipkarten, Alarmanlage, Videoüberwachung, Sicherheitsschließanlage.
Kontrolle: Durch ein umfassendes Berechtigungskonzept, zeitliche Zutrittsbeschränkungen, Kontrollpersonal.

Zuverlässigkeit

Begriff: Alle Funktionen des Systems müssen stets zur Verfügung stehen. Auftretende Fehlfunktionen müssen gemeldet werden.
Schutz: Anti-Viren-Software, Programme mit Fehlermeldung.
Kontrolle: Durch den Administrator, regelmäßige Protokollierung.

Unsere Büroorganisation ist gemäß DIN EN ISO 9001:2015 zertifiziert. Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. Allianz für Cybersicherheit
Beckmann Fachanwälte   .   Heinrich-Hertz-Str. 11   .   D - 59423 Unna   .   Telefon: 02303 / 2555-0
Impressum   |   Datenschutz
Beckmann Fachanwälte . Heinrich-Hertz-Str. 11 . D - 59423 Unna . Telefon: 02303 / 2555-0
Home | Impressum | Datenschutz