Dokumentation der technischen und organisatorischen Massnahmen für den Datenschutz in den Beziehungen von Verantwortlichen, Auftragsbearbeitern und Unterauftragsbearbeitern
Creators: name: Jäger, Martin
Publisher: name: ZHAW Zürcher Hochschule für Angewandte Wissenschaften
Year: 2025
Subjects: 005: Computerprogrammierung, Programme und Daten
658.4: Leitendes Management

description: Berichte über Datenschutzverletzungen untergraben das Vertrauen in Hersteller und die Informatik im Allgemeinen massiv. So wurden von Volkswagen im Jahr 2024 die Bewegungsdaten von 800’000 Fahrzeugen im Internet durch eine Fehlkonfiguration offen zugänglich gemacht. Angeblich wurde ein Konfigurationsfehler durch den Auftragsdatenbearbeiter Cariad (Tochter des VW-Konzerns) auf der AWS “Public Cloud” gemacht. 
Um solchen Vorfällen vorzubeugen, müssen in der Beziehung zwischen Verantwortlichen, Auftragsbearbeitern und Unterauftragsbearbeitern die nötigen technischen und organisatorischen Massnahmen zum Schutz der Datenbearbeitung klar festgelegt sein. Die nötigen Massnahmen müssen für alle Unternehmen in der Dienstleisterkette klar sein. 
Im ersten Teil dieser Arbeit wird ein Beispiel einer typischen Datenbearbeitung mit mehreren Parteien eingeführt. Die nötigen vertraglichen Abmachungen zwischen den Parteien werden umrissen. Die Verträge müssen die notwendigen technischen und organisatorischen Massnahmen (TOMs) zum Schutz der Daten beinhalten. Aus den Gesetzen gibt es verschiedene TOMs die beschrieben und kurz eingeführt werden. 
Etablierte und funktionierende Informationssicherheitsmanagementsystemen erhöhen die Sicherheit von Systemen kontinuierlich. Die Managementsysteme können zum Teil auch durch Prüfer zertifiziert werden. Gängige Managementsysteme werden analysiert, ob diese Zertifikate die Dokumentation der Massnahmen ersetzen können oder ob sie zumindest als Prüfmethode eingesetzt werden können. 
Mit der Einführung der Datenschutzgrundverordnung (DSGVO) ging ein Ruck durch die Datenschutzszene in Europa. Neben der DSGVO wird auch die österreichische und deutsche Umsetzung beleuchtet und auf Anforderungen betreffend der Dokumentation der TOMs und der Auftragsbearbeiterverbindungen eingegangen. Die vier Jahre jüngere schweizerische Gesetzgebung wird detailliert analysiert. Ergänzt wird die rechtliche Analyse durch die Meinungen der Datenschutzbehörden.
Aktuell werden die Datenschutzgesetze durch sektorspezifische Regularien unterstützt so wird auch auf den Digital Operational Resilience Act (DORA) in Auftragsbearbeiterverhältnissen eingegangen. 
Der Hauptteil der Arbeit befasst sich um die sinnvolle Dokumentation der TOMs. Dafür wurden die Beschreibungen der TOMs in 25 Verträgen des untersuchten Unternehmens geprüft und die Unterschiede evaluiert. Die Dokumentation der TOMs und die Verträge der drei grössten westlichen “Public Cloud” Anbietern ergänzen die Analyse. 
Die inhaltliche Tiefe ist der schwierigste Teil der TOMs Beschreibung und der Prüfung von existierenden TOMs. So wurde eine Checkliste über die Punkte der 25 TOMs und die gesetzlichen Grundlagen entworfen. Mit dieser Checkliste können gegebene TOMs (z.B. von einem “Public Cloud” Anbieter) gegenüber den eigenen Anforderungen geprüft werden. 
Die Checkliste erlaubt auch eine textliche Beschreibung der eigenen Massnahmen für einen Verantwortlichen zu erstellen. Die textliche Beschreibung wird dann in der entwickelten Grundstruktur für TOMs eingebettet. 
Für einfache, risikoarme Bearbeitungen wird zudem eine minimale Dokumentation der TOMs beschrieben, welche die gesetzlichen Anforderungen erfüllt.