Source: http://www.datenschutz-bayern.de/small/tbs/tb20/k17.html
Timestamp: 2013-05-21 02:28:45+00:00

Document:
20. TB: Technischer und organisatorischer Bereich
E-Mail Auch in diesem Berichtszeitraum konnte der flächendeckende Einsatz einer starken Verschlüsselung unter Verwendung von S/MIME-Clients (z.B. Outlook 98, 2000 oder 2002) nicht umgesetzt werden. Mit ursächlich dafür ist die heterogene Softwareausstattung an den Arbeitsplätzen - von verwendeter Betriebssystemversion über verwendeten Mail-Client bis hin zum notwendigen Verzeichnisdienst.
IuK-Gesetz Mit in Kraft treten des IuK-Gesetzes (IuKG) vom 12.12.2001 (LTDrs 14/8267) - zur Ablösung des Gesetzes über die Organisation der elektronischen Datenverarbeitung im Freistaat Bayern (EDVG) vom 12.10.1970 (BayRS 200-3-I) - hat sich auch die Möglichkeit einer Neuorganisation der bisher stark zergliederten Gremien für den Bereich der Sicherheit im ressortübergreifenden Kommunikationsverbund ergeben. Zu diesen Gremien habe ich mich auch im Abschnitt 17.1.2 meines 19. Tätigkeitsberichts geäussert.
Elektronische Signatur von Dokumenten in der öffentlichen Verwaltung Der Bayerische Ministerrat hat in seiner Sitzung vom 9. Juli 2002 beschlossen, in der Staatsverwaltung flächendeckend bis spätestens zum Jahr 2005 die qualifizierte elektronische Signatur einzuführen, um so eine sichere elektronische Kommunikation zwischen Verwaltung und Bürger zu gewährleisten - so weit diese Art der elektronischen Signatur rechtlich erforderlich ist. In diesem Zusammenhang verweise ich auf den Entwurf eines Gesetzes zur Stärkung der elektronischen Verwaltungstätigkeit, der inzwischen kurz vor der Verabschiedung steht. Mit ihm sollen z.B. Verwaltungsverfahrensgesetz, Meldegesetz dahingehend geändert werden, dass auch die elektronische Kommunikation zwischen Bürger und Verwaltung als rechtswirksam zugelassen und zunehmend ausgebaut wird.
Zusammenfassung Meiner immer wieder gestellten Forderung nach einer vertraulichen, authentischen und nicht manipulierbaren Datenübertragung ist noch nicht vollständig Rechnung getragen (es fehlen u.a. flächendeckende sichere E-Mail und Leitungsverschlüsselung - SSL).
Vor- und Nachteile Vorteile eines Outsourcings können beispielsweise sein:
Rechtsvorschriften Die folgenden Ausführungen beziehen sich insbesondere auf Art. 6 BayDSG (Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag). Allerdings ist zu berücksichtigen, dass bereichsspezifische Vorschriften dem Bayerischen Datenschutzgesetz vorgehen und zum Teil eine Auftragsdatenverarbeitung aus Geheimhaltungspflichten verbieten. Bereichsspezifische Vorschriften sind beispielsweise:
Verantwortliche Stelle Wenn eine Behörde personenbezogene Daten durch eine andere Stelle erheben, verarbeiten oder nutzen lässt, so handelt es sich dabei gemäß Art. 6 BayDSG um eine Datenverarbeitung im Auftrag. Datenschutzrechtlich wird der externe Dienstleister in seiner Eigenschaft als Auftragnehmer so behandelt, als sei er eine interne Abteilung des Auftraggebers. Bei der Auftragsdatenverarbeitung wird lediglich eine "Hilfsfunktion" der eigentlichen Aufgabe ausgelagert, nicht jedoch die Aufgabe selbst. Es findet somit keine Datenübermittlung im Sinne der Art. 18 und 19 BayDSG statt. Der Auftragnehmer erhält keine Entscheidungsbefugnis bezüglich der Daten. Deswegen bleibt der Auftraggeber gemäß Art. 6 Abs. 1 BayDSG für die Einhaltung der Vorschriften des Bayerischen Datenschutzgesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Dies betrifft insbesondere die Vorschriften für die Zulässigkeit der Erhebung, Verarbeitung und Nutzung personenbezogener Daten, die Wahrung der Rechte des Betroffenen sowie die Einhaltung der nach Art. 7 BayDSG erforderlichen Datensicherheitsmaßnahmen.
Auswahlkriterien Gemäß Art. 6 Abs. 2 Satz 1 BayDSG sind Auftragnehmer unter besonderer Berücksichtigung der Eignung der von ihnen getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Wichtiges Auswahlkonzept ist somit das Datensicherheitskonzept des Auftragnehmers. Die Umsetzung dieses Konzeptes sollte durch den Datenschutzbeauftragten des Auftraggebers vor Ort in Augenschein genommen werden (siehe Art. 6 Abs. 2 Satz 3 BayDSG).
Vertragsgestaltung Der Auftrag ist schriftlich zu erteilen (Art. 6 Abs. 2 Satz 2 BayDSG), wobei detailliert festzulegen sind,
Überprüfung des Einhaltens der Regelungen Der Auftraggeber muss - wie erwähnt - soweit erforderlich die Einhaltung der getroffenen Regelungen überprüfen (Art. 6 Abs. 2 Satz 3 BayDSG), damit gewährleistet ist, dass die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten durch den Auftragnehmer nur entsprechend den Weisungen des Auftraggebers erfolgt. Ein Auftraggeber sollte sich nicht mit der bloßen Erklärung des Auftragnehmers zufrieden geben, dass dieser die Vorschriften der Datenschutzgesetze beachten werde. Zur Ermöglichung der Überprüfung bedarf es der Einräumung eines Betretungsrechtes für die Betriebs- oder Geschäftsräume des Auftragnehmers.
Weitere Pflichten des Auftragnehmers Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen (Art. 6 Abs. 3 Satz 2 BayDSG). Die Speicherung von personenbezogenen Daten ist nur während der Durchführung des Auftrages gestattet. Eine Weitergabe von personenbezogenen Daten an Dritte ist nur im Rahmen des Vertrages zulässig. Auch eine Verarbeitung der personenbezogenen Daten für andere Zwecke ist unzulässig.
Abgrenzung zur Funktionsübertragung Um keine Form der Auftragsdatenverarbeitung im Sinne des Bayerischen Datenschutzgesetzes handelt es sich bei der so genannten Funktionsübertragung. Bei einer Funktionsübertragung wird nicht nur eine genau definierte Dienstleistung, sondern die Erfüllung einer bestimmten Aufgabe (z.B. die Lohn- und Gehaltsabrechnung) oder zumindest wesentlicher Teile einer Aufgabe übertragen.
Prüfung und Wartung automatisierter Verfahren und Datenverarbeitungsanlagen Diese Regelung über die Prüfung und Wartung automatisierter Verfahren und Datenverarbeitungsanlagen wurde mit Art. 6 Abs. 4 BayDSG neu eingeführt.
Datenschutzrechtliche Freigabe Delegation zur datenschutzrechtlichen Freigabe selbstentwickelter Verfahren auf die das Verfahren einsetzende öffentliche Stelle (Art. 26 Abs. 1 Satz 1 BayDSG) Dadurch ist es möglich, vor Ort entwickelte Verfahren auch unmittelbar dort datenschutzrechtlich freizugeben. Beibehalten wurden die bisherigen Regelungen bzgl. Verfahren, die von der Anstalt für Kommunale Datenverarbeitung oder vom fachlich zuständigen Staatsministerium freigegeben und von der das Verfahren einsetzenden öffentlichen Stelle unverändert übernommen werden.
Delegation der Freigabebefugnis auf den behördlichen Datenschutzbeauftragten (Art. 26 Abs. 3 Satz 2 BayDSG)Mit dieser Änderung wird die Befugnis zur datenschutzrechtlichen Freigabe von Verfahren für den Regelfall auf den behördlichen Datenschutzbeauftragten delegiert.Hat der behördliche Datenschutzbeauftragte Bedenken, dass das Verfahren den Datenschutzvorschriften nicht genügt, und werden diesen nicht Rechnung getragen, so legt er die Entscheidung über die Freigabe der Person vor, der er nach Art. 25 Abs. 3 Satz 1 BayDSG unterstellt ist. Diese entscheidet dann, ob sie die Freigabe selbst erteilt oder verweigert.Ist die Verarbeitung besonders sensibler Daten nach Art. 15 Abs. 7 BayDSG beabsichtigt, so hat der behördliche Datenschutzbeauftragte bei Bedenken vor einer Vorlage an die Person, der er nach Art. 25 Abs. 3 Satz 1 BayDSG unterstellt ist, zunächst meine Stellungnahme einzuholen (Art. 26 Abs. 3 Satz 3 BayDSG).
Erweiterter Umfang der datenschutzrechtlichen Freigabe (Art. 26 Abs. 2 BayDSG)Die bisherigen sieben Nrn. wurden inhaltlich unverändert beibehalten. Neu aufgenommen wurden die Nrn. 8 und 9, d.h. Angaben zu Auftragnehmern bei Auftragsdatenverarbeitung gem. Art. 6 Abs. 1 mit 3 BayDSG und Angaben zu den Empfängern von Datenübermittlungen, in deren Länder die EG-Datenschutzrichtlinie nicht gilt.Eine erneute datenschutzrechtliche Freigabe von bereits freigegebenen Verfahren ist aufgrund dieser Gesetzesänderungen nicht erforderlich - es sei denn, am betreffenden Verfahren werden wesentliche Änderungen vorgenommen (vgl. Art. 26 Abs. 1 Satz 3 BayDSG); diese neue Freigabe ist dann gemäß den nunmehr geltenden Vorschriften vorzunehmen.Ein Muster-Formblatt für die Verfahrensbeschreibung nach der neuen Fassung des Art. 26 Abs. 2 BayDSG steht auf meiner Home-Page unter http://www.datenschutz-bayern.de/inhalte/technik.htm zur Verfügung.
Verfahrensverzeichnis und Anlagenverzeichnis Konkretisierte Verpflichtung zur Führung des Verfahrensverzeichnisses durch den behördlichen Datenschutzbeauftragten (Art. 27 Abs. 1 BayDSG)Die bisherige Bestimmung, dass öffentliche Stellen ein Verzeichnis der bei ihnen eingesetzten freigegebenen automatisierten Verfahren, mit denen personenbezogene Daten verarbeitet werden, d.h. ein Verfahrensverzeichnis zu führen haben, wurde dahin präzisiert, dass dieses Verfahrensverzeichnis durch den behördlichen Datenschutzbeauftragten zu führen ist.In dem Verzeichnis sind nach Art. 27 Abs. 2 BayDSG für jedes Verfahren die Angaben, die auch für die datenschutzrechtliche Freigabe nach Art. 26 Abs. 2 BayDSG erforderlich sind, festzuhalten. Für die Praxis bedeutet dies, dass z.B. die geordnete Sammlung ausgedruckter datenschutzrechtlicher Freigaben das Verfahrensverzeichnis bildet.
Streichen der Verpflichtung, ein Anlagenverzeichnis zu führen (Art. 27 Abs. 1 BayDSG)Die bisherige Verpflichtung, neben dem Verfahrensverzeichnis ein Anlagenverzeichnis zu führen, wurde gestrichen und durch die Aufnahme der Verpflichtung, der Verfahrensbeschreibung eine allgemeine Beschreibung der Art der eingesetzten Datenverarbeitungsanlagen und der technischen und organisatorischen Maßnahmen nach Art. 7 und 8 BayDSG beizugeben (Art. 26 Abs. 3 Satz 1 BayDSG) ersetzt.
Neueinführung, dass das Verfahrensverzeichnis von jedem kostenfrei eingesehen werden kann (Art. 27 Abs. 3 Satz 1 BayDSG).Dieses Recht zur Einsichtnahme bezieht sich nur auf die nach Art. 26 Abs. 2 BayDSG erforderlichen Angaben der datenschutzrechtlichen Freigabe; die nach Art. 26 Abs. 3 Satz 1 BayDSG der Verfahrensbeschreibung beizugebenden Angaben zu den Datenverarbeitungsanlagen und zu den technischen und organisatorischen Maßnahmen sind davon nicht umfasst. Es empfiehlt sich daher - auch aus Sicherheitsgründen - , die technischen Beschreibungen von dem Verfahrensverzeichnis getrennt zu führen, um so bei einer Einsichtnahme in das Verfahrensverzeichnis nicht unnötigerweise auch die technischen Beschreibungen offen zu legen.
Speicherresidente Wächterprogramme (Behavior Blocker)(Diese Programme überwachen alle Programmaktivitäten (einschließlich der Ausführung von Makros) und melden ein verdächtiges "Benehmen" - z. B. Schreibzugriffsversuche auf Systembereiche.).
Fernwartung In der modernen Verwaltung wird heute eine Vielzahl von speziellen Rechnern und Verfahren eingesetzt, deren alleinige Wartung durch das eigene Personal wegen der dafür benötigten Spezialkenntnisse vielfach nicht mehr möglich ist, so dass bei Störungen sowie bei in der Hard- oder Software auftretenden Fehlern aufgrund der Abhängigkeit von einer funktionierenden IT-Verarbeitung oft der Hersteller eingeschaltet werden muss. Das geschieht zum Teil vor Ort, meist jedoch im Rahmen des Teleservice, also in Form einer Ferndiagnose und -wartung (unter Umständen auch durch den eigenen Systemverwalter von zu Hause aus - siehe unter Remote Management Programme). Die Vorteile einer Fernwartung sind insbesondere die schnellere Hilfe, geringere Kosten (auch wenn sicherlich der Aufbau einer Fernwartungszentrale ebenfalls mit Kosten verbunden ist) und die Verfügbarkeit von Spezialisten. Es besteht bei einer Fernwartung aber immer die Gefahr, dass sensible Informationen bewusst oder unbewusst an Unberechtigte offenbart werden.
Einsatz von Remote Management (Control) Programmen Remote Management Programme (z. B. pcAnywhere oder WinTel) - auch als Remote Control Programme oder Remote Support Programme bezeichnet - ermöglichen einem Systemadministrator, von seinem Arbeitsplatz aus Zugriff auf andere im Netzwerk angeschlossene Computer zu nehmen. Dies dient hauptsächlich einer Fehlersuche und -beseitigung. Hat ein Benutzer Probleme bei der Arbeit an seinem PC und teilt dies dem Administrator mit, so kann sich dieser mit Hilfe der Fernsteuerungssoftware je nach Einstellung des Programmes entweder alles, was auf dem Bildschirm des Benutzers angezeigt wird, auch auf seinem eigenen anzeigen lassen oder zumindest auf bestimmte Programme und Daten auf dem fremden Rechner zugreifen. Zudem kann der Administrator steuernd in den Dialog eingreifen und - an Stelle des Benutzers - Eingaben tätigen, aus der Ferne Installationsarbeiten am PC des Benutzers durchführen oder sich als Administrator anmelden.
Grundsätze Aufgrund der Verwendung von XML zur Formulierung einer Datenschutzerklärung kann diese zum einen automatisch in der jeweiligen Sprache des Besuchers dargestellt werden. Zum anderen kann der Besucher von seinem Browser automatisch prüfen lassen, ob eine Webseite seinen spezifischen, in seinem Browser voreingestellten Anforderungen an den Datenschutz genügt.
Praktische Anwendung Der Internetnutzer benötigt lediglich eine Browser-Software, die in der Lage ist, P3P Datenschutzerklärungen zu lesen und zu verarbeiten. Andere spezielle Software ist nicht erforderlich. Zum Zeitpunkt des Redaktionsschlusses unterstützte nur der Microsoft Internet Explorer (ab Version 6.0) einen Teil der P3P Empfehlung. Für andere Browser ist dies für die nahe Zukunft angekündigt.
Ergebnisse der Kontrolltätigkeit Die Kontrollen ergaben, dass der Stand der technisch-organisatorischen Datensicherheitsmaßnahmen recht unterschiedlich ist. Erfreulich ist, dass bei vielen Stellen der Datenschutz und die Datensicherheit einen hohen Stellenwert besitzen, so dass nur geringfügige Lücken im Sicherheitssystem festzustellen waren. Andererseits wurden bei manchen Stellen in Teilbereichen erhebliche Defizite aufgedeckt.
Verschlüsselung bei der Datenfernverarbeitung Obwohl ich bereits in den letzten Tätigkeitsberichten immer wieder daraufhingewiesen habe, dass personenbezogene Daten, die über das öffentliche Leitungsnetz übertragen werden, verschlüsselt werden müssen, da sonst die Vertraulichkeit der Informationen nicht gewährleistet ist und die Daten für missbräuchliche Zwecke aufgezeichnet und genutzt werden könnten, gibt es immer noch öffentliche Stellen, die zum Teil auch sensible Daten unverschlüsselt über das Internet übertragen. Im Übrigen ist auch im Rahmen der Fernwartung immer dann eine Datenverschlüsselung erforderlich, wenn auf Echtdaten zugegriffen werden muss.
Virenbekämpfungskonzept Der Einsatz von aktuellen Virenscannern sowohl beim zentralen Datenbankserver als auch beim E-Mail-Server und - soweit vorhanden - bei der Firewall ist unverzichtbar. Auch ein laufendes Scannen der Arbeitsplatzrechner wird dringend angeraten, insbesondere wenn diese PC mit Disketten- und/oder CD-ROM-Laufwerken ausgestattet sind oder verschlüsselte Dateien erhalten. Diese Dateien müssen nach dem Entschlüsseln - wie auch jeder unverschlüsselte Anhang einer E-Mail - auf der Festplatte abgespeichert und gescannt werden und dürfen erst anschließend geöffnet werden.
Online-Datenschutzprinzipien und Pflicht zur Anbieterkennung Häufig wird übersehen, dass gemäß § 4 Abs. 1 Teledienstedatenschutzgesetz (TDDSG) jeder Nutzer einer Homepage vor der Erhebung personenbezogener Daten über Art, Umfang, Ort und Zwecke der Erhebung, Verarbeitung und Nutzung seiner personenbezogenen Daten unterrichtet werden muss. Dies geschieht mit Hilfe so genannter Online-Datenschutzprinzipien (Privacy Policy). Nähere Hinweise dazu enthalten unsere gleichnamige Orientierungshilfe - abrufbar auf unserer Homepage (www.datenschutz-bayern.de) im Bereich "Technik/Grundsätze" und das Kapitel "Der Internet-Auftritt" in diesem Tätigkeitsbericht.
Absicherung von Serverräumen Aufgrund der Abhängigkeit vieler öffentlicher Stellen von der ständigen Verfügbarkeit der Rechnersysteme muss Vorsorge gegen einen eventuellen Ausfall der DV getroffen werden. Dazu gehört insbesondere auch die Absicherung der Serverräume. Deshalb müssen neben der Wahl eines geeigneten Raumes Sicherheitsmaßnahmen für diesen ergriffen werden. Insbesondere sind Maßnahmen zur Zugangskontrolle (Festlegung der Zugangsberechtigungen, Außen- und Innenhautsicherung, revisionsfähige Schlüssel- und Chipkartenregelung usw.) und zur Bekämpfung von physischen Schäden (z. B. Schutz vor Feuer und Wassereinbrüchen) zu ergreifen. Näheres dazu enthält das Kapitel 17.3.8 in meinem 19. Tätigkeitsbericht. Auswertung der Logdateien Alle Sicherheitsverletzungen (einschließlich eventueller Eindringversuche in das Netzwerk einer öffentlichen Stelle) an den DV-Anlagen bzw. im Netzwerk sind durch Auswertung entsprechender Logdateien in einem täglichen Sicherheitsbericht aufzuzeigen und zu überprüfen, damit Sicherheitsverletzungen und vor allem Versuchen von unzulässigen Aktionen rechtzeitig nachgegangen werden kann. Die Auswertungen sind zu dokumentieren.
Soweit es mir aus personellen und zeitlichen Gründen möglich ist, komme ich Beratungswünschen gerne nach, da es mir zum Einen zeigt, dass bei den Hilfe suchenden Stellen ein Datenschutzbewusstsein vorhanden ist und mir zum Anderen die Möglichkeit gegeben wird, auf eventuelle Fehler im Datenschutz- und Datensicherheitskonzept hinzuweisen. Eine wesentliche Voraussetzung für meine Beratungsleistung ist allerdings, dass ein solches Datenschutz- und Datensicherheitskonzept bereits erstellt, dem örtlich zuständigen Datenschutzbeauftragten vorgelegt und von diesem auch beurteilt wurde und erst dann mir vorgelegt wird. Die erstmalige Erarbeitung eines Datenschutz- und Datensicherheitskonzeptes kann von meiner Dienststelle aus den oben erwähnten personellen und zeitlichen Gründen beim besten Willen nicht geleistet werden.
Protokollauswertung auf Firewallsystemen Da beim Einsatz einer Paket-Firewall der gesamte Internetverkehr zwischen internem und externem Netz durch die Firewall fließt und dort auf Zulässigkeit geprüft wird, können hier besonders viele Daten in Logdateien gespeichert werden. Für jedes einzelne Datenpaket kann hier mitprotokolliert werden:
Protokollauswertung auf Webservern Neben den Diensteanbietern haben auch die Inhaltsanbieter im Internet ein großes Interesse an Daten über die Nutzung ihres Angebots und das Surf-Verhalten der Dienstenutzer. Ein Webserver, der die einzelnen Webseiten an die Nutzer ausliefert, protokolliert in der Standardkonfiguration die abgerufene URL, die anfordernde IP Adresse, den Browser und das Betriebssystem des Nutzers sowie eventuell an den Server übergebene Argumente wie etwa die Daten, die in einem Formular eingegeben wurden.
Outsourcing der Datenbankserver mit dem gesamten Datenbestand Art. 6 des Bayerischen Datenschutzgesetzes (BayDSG) enthält Regelungen, die bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag zu beachten sind. Im Umkehrschluss kann daraus entnommen werden, dass sich eine öffentliche Stelle bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten grundsätzlich einer anderen Stelle bedienen darf, wobei vom Gesetzgeber keine Einschränkung zu Lasten lediglich öffentlicher Auftragnehmer getroffen wurde. Voraussetzung ist jedoch, dass keine Funktionsübertragung stattfindet, das heißt die Aufgabe selbst, zu deren Wahrnehmung die Erhebung, Verarbeitung oder Nutzung dient, muss beim Auftraggeber verbleiben (Wilde/Ehmann/Niese/ Knoblauch, Bayerisches Datenschutzgesetz Art. 6, Rdnr. 10). Die Erhebung, Verarbeitung oder Nutzung von Daten, mit der die andere Stelle beauftragt wird, darf somit im Ergebnis lediglich in einer Hilfstätigkeit bestehen.
Zentrale Datenbank für mehrere Gemeinden Bei der Vorhaltung personenbezogener Daten verschiedener Gemeinden in einer zentralen Datenbank ist zusätzlich zu den oben genannten Maßnahmen darauf zu achten, dass die Datenbestände zumindest logisch getrennt voneinander gespeichert werden. Die Anlegung einer einzigen Datei für alle Gemeinden ist unzulässig, soweit eine solche nicht ausdrücklich vom Gesetz vorgesehen ist. Sie ist aus datenschutzrechtlicher Sicht auch insoweit abzulehnen, als ein Missbrauch einer solchen Datei regelmäßig schwerwiegender ist als der der Datei einer einzelnen Gemeinde, da sie einen wesentlich umfassenderen Datenbestand aufweist. Aus allgemeinen datenschutzrechtlichen Überlegungen heraus ist es zudem wünschenswert, zentrale Datensammlungen möglichst zu verhindern bzw. soweit sie sich nicht vermeiden lassen, ihre Zahl möglichst gering zu halten, da sie eine erhöhte Gefahr in sich bergen, unzulässigerweise oder gegebenenfalls auch nach Schaffung einer entsprechenden Rechtsgrundlage für andere Zwecke als den, zu dem sie angelegt wurden, genutzt zu werden.
Auslagerung lediglich der Systemadministration Eine ledigliche Übernahme der Systemadministration der Server und die Überwachung des lokalen Netzwerkes einer Kommune mittels Fernwartung durch eine Privatfirma ist insbesondere dann nicht als Teilaspekt der Speicherung und sonstigen Verarbeitung von personenbezogenen Daten anzusehen, wenn den Systemadministratoren im Normalbetrieb keinerlei Zugriff auf die gespeicherten personenbezogenen Daten gestattet ist. Aufgabe der Systemadministration ist die Herstellung und Aufrechterhaltung des ordnungsgemäßen Betriebs der DV-Anlagen, nicht aber die fachspezifische Verarbeitung personenbezogener Daten. So könnte beispielsweise die Datenbankadministration durch eigenes Personal des Kunden erfolgen. Damit ist auch für Meldedaten und Sozialdaten der Begriff der Datenverarbeitung im Auftrag (Art. 6 BayDSG) nicht erfüllt. Die Privatfirma wird nicht Auftragnehmer im Sinne des Bayerischen Datenschutzgesetzes. Zur ausreichenden Wahrung der Belange des Betroffenen sieht Art. 6 Abs. 4 BayDSG i. d. F. des Änderungsgesetzes vom 25.10.2000 (GVBl. S. 752) wegen der ähnlich gelagerten Interessenlage jedoch die entsprechende Geltung der Absätze 1 bis 3 dieser Vorschrift vor. Damit ist gemäß Art. 6 Abs. 2 BayDSG insbesondere der Auftrag schriftlich zu erteilen, wobei u.a. die technischen und organisatorischen Maßnahmen festzulegen sind. Unbedingt erforderlich sind insbesondere Maßnahmen zur:
Standards Ein minimales WLAN besteht aus zwei Rechnern mit WLAN-Karten, die im Ad-hoc-Modus betrieben werden. Diese beiden Rechner können ohne weitere Infrastruktur ein Netzwerk bilden und beispielsweise Dateien austauschen. Wird ein spezieller Empfänger und Sender benutzt, um mit den Endgeräten mit WLAN-Karten zu kommunizieren, spricht man vom Infrastruktur-Modus, der mit einer GSM-Zelle beim Mobilfunk verglichen werden kann.
Sicherheit Soll ein WLAN zur Übertragung von schutzwürdigen Daten benutzt werden, so muss das WLAN, wie alle anderen Komponenten eines Rechnernetzes auch, in ein EDV Sicherheitskonzept eingegliedert werden. Problematisch bei WLANs ist, dass der physikalische Zugang zum Übertragungsmedium in der Regel unbemerkt, eventuell sogar ohne Betreten des Grundstücks des Betreibers, möglich ist. Somit kann nicht schon das Abschließen oder Deaktivieren von Netzwerksteckdosen als Zugangserschwernis dienen.

References: Art. 6
 Art. 6
 Art. 18
 Art. 6
 Art. 7
 Art. 6
 Art. 6
 Art. 6
 Art. 25
 Art. 15
 Art. 25
 Art. 6
 Art. 26
 Art. 26
 Art. 27
 Art. 26
 Art. 7
 Art. 26
 Art. 26
 § 4
 Art. 6
 Art. 6
 Art. 6
 Art. 6