Source: https://www.datenschutz-spezialisten.eu/glossar-datenschutz/index.php
Timestamp: 2019-02-17 09:46:19+00:00

Document:
Glossar Datenschutz | Beckmann Fachanwälte
Wir bringen Ordnung in den Datenschutz-Dschungel.
Der Bezug zu einer Person ist vollständig aufgehoben. Eine Re-Identifizierung ist nicht mehr möglich, weil es keine Identifikationsdaten gibt.
Gruppendaten ohne Möglichkeit der Zuordnung von Einzeldaten (Statistik oder Forschung).
Die DS-GVO ist nicht anwendbar, weil keine personenbezogenen Daten vorliegen (ErwGr 26, Satz 4, 5).
Begriff: Sie betrifft den Auftraggeber und den Auftragsverarbeiter (Art. 28 f. DS-GVO). Letzterer darf die im Auftrag verarbeiteten Daten nur entsprechend der Weisung des Auftraggebers verarbeiten.
Schutz: Durch schriftliche Dokumentation des Auftrags, eine interne Richtlinie zur Auftragsverarbeitung, eine eindeutige Vertragsgestaltung bzw. sorgfältige Vertragsprüfung.
Kontrolle: Durch technische und organisatorische Maßnahmen, die sicherstellen, dass die Weisungen des Auftraggebers beachtet werden, durch eine Prüfliste für den Datenschutzbeauftragten sowie durch Kontrollrechte des Auftraggebers.
„Auftragsverarbeiter [ist] eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.“
Begriff: Sie stellt sicher, dass nur Befugte die IT nutzen oder personenbezogene Daten übertragen können.
Schutz: Durch Einsatz eines Protokollservers, Sicherung des Servers/Serverraums, der Netzwerke und Leitungen, Verschlüsselung der Datenübertragung, rechtzeitige Sperrung der Berechtigung (z.B. nach Ausscheiden eines Mitarbeiters).
Kontrolle: Zugriffsverletzungen protokollieren, Benutzer identifizieren.
Die DS-GVO stattet Personen, deren Daten verarbeitet werden, mit umfangreichen Rechten aus:
Recht auf Transparenz der Kommunikation und Information der Betroffenen (Art. 12 DS-GVO)
Recht auf Benachrichtigung (Art. 13, 14 DS-GVO)
„Recht auf Vergessenwerden“ (Löschpflichten des Verantwortlichen, Art. 17 DS-GVO)
Widerspruchsrechte gegen die Verarbeitung (Art. 21 DS-GVO)
Die Verantwortlichen sind nach Art. 25 DS-GVO zum Einsatz „geeigneter technischer und organisatorischer Maßnahmen“, u.a. durch „Technikgestaltung und datenschutzfreundliche Voreinstellungen“ persönlich verpflichtet. Die Aufsichtsbehörde kann einen Verstoß gegen diese Pflichten mit einer erheblichen Geldbuße belegen:
2 % des Jahresumsatzes nach Art. 83 Abs. 2 d und Abs. 4 a DS-GVO für Verstöße gegen Art. 25, 32 DS-GVO d.h. u.a. gegen technische und organisatorische Pflichten oder
4 % des Jahresumsatzes nach Art. 83 Abs. 5 a DS-GVO bei Verstößen gegen die allgemeinen Datenschutzgrundsätze, die sich etwa in Art. 5 Abs. 1 f DS-GVO auch auf die Datensicherheit beziehen
Die DS-GVO etabliert europaweit eine Bestellungspflicht für einen betrieblichen Datenschutzbeauftragten. Die Bestellungspflicht kann wie folgt geprüft werden:
Sind „in der Regel mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ beschäftigt?
Ja:	Bestellungspflicht
Nein:	weiter zu Frage 2
Verarbeitet Ihr Unternehmen folgende personenbezogene „besondere Datenkategorien“ bzw. sog. „sensitive Daten“ nach Art. 9 DS-GVO?
1) rassische oder ethnische Herkunft
2) politische Meinungen
3) religiöse oder weltanschauliche Überzeugung
4) Gewerkschaftszugehörigkeit
5) genetische, biometrische Daten zur Personenidentifizierung
6) Gesundheitsdaten
7) Sexualleben oder sexuelle Orientierung
Ja:	Handelt es sich dabei um eine Kerntätigkeit (primärer aber nicht alleiniger Geschäftszweck)?
Ja:	Bestellungspflicht (Art. 37 Abs. 1 c DS-GVO)
Nein:	weiter zu Frage 3
Finden in Ihrem Unternehmen sog. „risikobehaftete Arten von Verarbeitungsvorgängen“ statt, die nach Art, Umfang und/oder Zweck eine umfangreiche regelmäßige und systematische Überwachung von Personen erforderlich machen?
1) Art:	Einsatz neuer Technologien
2) Umfang:	massenhafte Datenverarbeitung
3) Zweck:	z.B. Profiling von Verhaltensweisen, Kreditwürdigkeit
4) umfangreich:	große Anzahl von Betroffenen (kein Schwellenwert)
5) regelmäßig:	gewisse Dauer (nicht nur einmal)
6) systematisch:	methodischer Technikeinsatz
Ja:	Bestellungspflicht (Art. 37 Abs. 1 b DS-GVO)
Nein:	keine Bestellungspflicht
Datenschutz-Folgenabschätzung („DSFA“, Art. 35, 36 DS-GVO)
Eine Datenschutz-Folgenabschätzung (Art. 35 DS-GVO) ist bei „risikobehafteten Verarbeitungsvorgängen“ durchzuführen. Sie enthält abgestuft folgende Elemente:
1) Prognoseentscheidung:	Der „Verantwortliche“ schätzt die Risiken für die Betroffenen ein, d.h. Risikoidentifikation, Risikoanalyse, Risikoevaluation, Risikobeurteilung (und letztlich - vgl. 3 - die Risikobehandlung durch geeignete Maßnahmen).
2) Beteiligung:	Der „Verantwortliche“ berät sich mit dem betrieblichen Datenschutzbeauftragten (Art. 35 Abs. 2 DS-GVO).
3) Maßnahmen:	Der „Verantwortliche“ trifft Maßnahmen zur Eindämmung eines erkannten Risikos (Art. 35 Abs. 7 DS-GVO), etwa durch Abhilfemaßnahmen, Sicherheitsvorkehrungen, verfügbare Technologien, Garantien etc.
4) Kontrolle:	Der „Verantwortliche“ überprüft die Richtigkeit seiner Folgenabschätzung (Art. 35 Abs. 11 DS-GVO).
5) Konsultation:	Der „Verantwortliche“ konsultiert „vorab“ die Aufsichtsbehörde, wenn ein hohes Risiko besteht. Die Aufsichtsbehörde kann Empfehlungen aussprechen oder Auflagen erteilen (Art. 36 DS-GVO).
Eine Stellungnahme der Aufsichtsbehörde erfolgt nur bei unzureichenden Maßnahmen (binnen 8 Wochen, Art. 36 Abs. 2 DS-GVO, verlängerbar).
Die Folgenabschätzung unterliegt den ausdrücklichen Dokumentationspflichten und hat folgenden Inhalt (Art. 35 Abs. 7 DS-GVO):
Beschreibung der geplanten Verarbeitungsvorgänge, Verarbeitungszwecke und des berechtigten Interesses des Verantwortlichen,
Bewertung der Notwendigkeit und Verhältnismäßigkeit in Bezug auf den Zweck der Verarbeitung,
Bewertung der Risiken für Rechte und Freiheiten von Betroffenen,
geplante Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen etc.
Elemente des Datenschutzmanagements sind unter anderem:
Datenschutz-Konzepte: Leitlinien, Richtlinien, Budget, Ressourcen, Teams zur Umsetzung
Datenschutzbeauftragter: Bestellung, Weiterbildung, Beratung
Datenschutz-Risikomanagement-System: DSMS: Schutz der Rechte und Freiheiten der Betroffenen, deren personenbezogene Daten verarbeitet werden
Informationssicherheits-Managementsystem: ISMS: Datensicherheit; z.B. Notfallplan mit Handlungsanweisungen bei Brand, Stromausfall, Wassereinbruch, technischen Störungen
Datenschutz-Compliance: Risiken für den Verantwortlichen und das Unternehmen, z.B. Bußgelder
Datensicherheit im Sinne der DS-GVO meint die Sicherheit der Datenverarbeitung (vgl. Art. 5 Abs. 1 lit. f und Art. 32 DS-GVO). Sie soll Integrität, Vertraulichkeit und Verfügbarkeit der Daten gewährleisten und vor unzulässigem Zugriff sowie Datenverlust schützen. Dazu sollen geeignete technische und organisatorische Maßnahmen eingesetzt werden.
Begriff: Nachträgliche Kontrolle, welche Daten zu welcher Zeit von wem im IT-System eingegeben oder verändert worden sind.
Schutz: Durch ein ausgereiftes Berechtigungskonzept, die Protokollierung der Eingaben und Änderungen sowie die Sicherung der Protokolldaten.
Kontrolle: Protokollauswertung, z.B. Überprüfung falscher Zugriffsversuche.
keine Zuordnung der Daten ohne Identifikationsdaten
getrennte Aufbewahrung der Identifikationsdaten durch den Verantwortlichen
technische und organisatorische Maßnahmen zum Schutz der Identifikationsdaten (Zugang)
Begriff: Verhinderung unbefugter Eingaben, unbefugter Kenntnisnahme, Veränderung und Löschung von Daten.
Schutz: Berechtigungskonzept, Verschlüsselung.
Kontrolle: Durch den Administrator, Protokollierung der Art der Zugriffe.
ISO-27000-Normenreihe
sonstige Empfehlungen staatlicher Stellen
Begriff: Bei der Übermittlung von personenbezogenen Daten und dem Transport von Datenträgern wird die Vertraulichkeit und Integrität der Daten geschützt.
Schutz: Z.B. durch SSL-VPN Leitung für Datenübermittlung; sicheres Versandkonzept (feste verschlossene Verpackung, besondere Transportdienste).
Kontrolle: Protokolle, Überwachung der Transportzeit.
Trennbarkeit von Daten
Begriff: Zu unterschiedlichen Zwecken erhobene personenbezogene Daten sollen getrennt verarbeitet werden.
Schutz: Z.B. durch Trennung von Kunden- und Beschäftigtendaten, Speicherung in getrennten Systemen oder Dateien, eine Richtlinie zur Datentrennbarkeit.
Kontrolle: Durch stichprobenartige Tests, Administration.
Begriff: An welcher Stelle werden personenbezogene Daten mit Hilfe von Technik/IT übermittelt? Wem werden sie zur Verfügung gestellt?
Schutz: Durch Verschlüsselung, Einrichtung eines SSL-VPN-Tunnels (abhör- und manipulationssicher) zum Transport über öffentliche Netzwerke, digitale Signatur.
Kontrolle: Protokoll der Übermittlungs- oder Abrufvorgänge, Dokumentation der Empfänger.
Verarbeitungsverzeichnis/ Verfahrensverzeichnis
Jeder Verantwortliche soll ein „Verzeichnis aller Verarbeitungstätigkeiten“ (schriftlich oder elektronisch) führen und der Aufsichtsbehörde auf Anfrage zur Verfügung stellen können (Art. 30 DS-GVO). Entsprechendes gilt für sog. „Auftragsverarbeiter“. Eine Ausnahme gilt grundsätzlich für Unternehmen mit weniger als 250 Mitarbeitern (Art. 30 Abs. 5 DS-GVO).
Diese Ausnahme wird aber relativiert: Sie gilt nur bei „gelegentlicher“ Verarbeitung. Unternehmen, die „nicht nur gelegentlich“ (also häufig bis regelmäßig) Daten verarbeiten, werden von der Ausnahme nicht erfasst. Das gilt auch bei Verarbeitung sensitiver Daten nach Art. 9 DS-GVO. Für öffentliche Stellen gilt der Schwellenwert nicht. Sie haben das Verarbeitungsverzeichnis stets und unabhängig von der Beschäftigtenzahl zu führen (§ 70 BDSG).
Im Ergebnis müssen also auch kleinere bis mittlere Unternehmen in der Regel ein Verarbeitungsverzeichnis führen.
Mindestinhalt eines Verarbeitungsverzeichnisses:
ggf. Namen und Kontaktdaten von Auftragsdatenverarbeitern,
ggf. Name und Kontaktdaten des Datenschutzbeauftragten,
Zweck der Verarbeitung (z.B. Personalwesen, Profiling etc.),
Kategorie der betroffenen Personen (z.B. Beschäftigte, Kunden, Lieferanten),
Kategorie personenbezogener Daten (z.B. Adresse, Geburtsdatum, Bankverbindung),
Kategorie der Empfänger, denen Daten offengelegt werden (intern: z.B. Buchhaltung, Personalabteilung; extern: z.B. Versicherungen, Behörden etc.),
Übermittlungen an Drittländer, internationale Organisationen (z.B. Garantien),
Fristen für Löschung verschiedener Datenkategorien,
einzelfallbezogene allgemeine Beschreibungen der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DS-GVO.
Verfahren zur Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO)
Die technischen und organisatorischen Maßnahmen müssen regelmäßig auf ihre Wirksamkeit hin überprüft und bewertet werden (Art. 32 Abs. 1 d DS-GVO, s.o. 1.5, 2.1). Gegenüber der allgemeinen Pflicht zu Datenschutzvorkehrungen handelt es sich hier um eine speziellere Regelung, welche die „Regelmäßigkeit“ und Nachhaltigkeit der Verfahren zur Wirksamkeitsprüfung betont.
Der Verantwortliche muss also entsprechende Verfahren/Prozesse etablieren und deren Durchführung nachweisen. Damit werden nochmals die organisatorischen Pflichten des Verantwortlichen betont.
Datenschutzsensibilisierung:
Datenschutzbewusstsein durch Leitlinien, Schulungen, Training, Tests
Interne Kontrollsysteme:
Zur Risikobewertung z.B. mit Hilfe der Verfahrensverzeichnisse
Interne Datenschutzaudits:
Zur regelmäßigen Überprüfung und zum Auffinden von Mängeln
Externe Datenschutzaudits:
Interviews, Dokumentation, Bericht, Zertifizierung/Prüfsiegel
Rechtmäßigkeit der Verarbeitung und der Verträge:
Neue Gesetze, Urteile, Standarddatenschutzklauseln etc., Änderungen prüfen
Begriff: Sie bezweckt den Schutz personenbezogener Daten gegen Zerstörung oder Verlust.
Schutz: Durch Klimaanlagen in Serverraum/Rechenzentrum, Feuer- und Rauchmelder, Brandschutzeinrichtungen, Sicherung vor unbefugtem Zutritt, USV-Anlagen (unterbrechungsfreie Stromversorgung).
Kontrolle: Regelmäßige Überprüfung der Funktionsfähigkeit der Anlagen, Berechtigungskonzept.
Verschlüsselung (Art. 32 Abs. 1 a DS-GVO)
Der Personenbezug der Daten bleibt vollständig erhalten. Durch die Maßnahme der Verschlüsselung sind die Daten für Dritte (z.B. bei Übertragungsvorgang) ohne den Identifizierungsschlüssel jedoch nicht mehr lesbar.
Die Verschlüsselung muss bewirken, dass die personenbezogenen Daten für Unbefugte „unzugänglich“ gemacht werden (Art. 32 Abs. 3 a DS-GVO). Die konkrete Art und Weise der Verschlüsselung ist nicht vorgeschrieben.
1) E-Mail-Server: End-to-End Verschlüsselung der versandten E-Mails:
- GNUPG/PGP (Pretty Good Privacy)
2) Webseite/Internetnutzung:
- SSL/TLS (Secure Sockets Layer/Transport Layer Security)
Eine Verschlüsselung nach dem Stand der Technik vermeidet zugleich weiterer Pflichten aus der DS-GVO („Belohnungssystem“ für technischen Datenschutz):
1) Keine Meldepflicht an die Aufsichtsbehörde bei Verletzungen (Art. 33 DS-GVO)
2) Keine Benachrichtigungspflicht an Betroffene bei Verletzungen (Art. 34 DS-GVO)
3) Legitimation der Weiterverarbeitung zu anderen Zwecken (Art. 6 Abs. 4 e DS-GVO) etc.
Begriff: Personenbezogene Daten dürfen nicht durch Fehlfunktionen des Systems beschädigt werden.
Schutz: Durch Backup-Konzept (Datensicherung und Aufbewahrung), Notfallplan, Synchronisation bzw. Spiegelung/Auslagerung von Daten.
Kontrolle: Durch Administrator (Testläufe).
Begriff: Kontrolle des Zugangs zu einem IT-System (Login).
Schutz: Benutzer-ID und Passwort, Passwortrichtlinie, Verschluss-/Überwachungssystem für Server.
Kontrolle: Durch Administrator, technische Überwachung.
Begriff: Kontrolle des Zugriffs auf eine Datei oder ein Programm.
Schutz: Berechtigungskonzepte für die IT, Anlegen von Benutzerprofilen.
Kontrolle: Verweigerung des Zugriffs Unbefugter, Vollzugriff lesen, schreiben und ändern. Administrator einsetzen, Protokolle fertigen.
Begriff: Physischer Zutritt zu einem Gebäude, Gelände, Raum oder einer Schutzzone.
Schutz: Durch Chipkarten, Alarmanlage, Videoüberwachung, Sicherheitsschließanlage.
Kontrolle: Durch ein umfassendes Berechtigungskonzept, zeitliche Zutrittsbeschränkungen, Kontrollpersonal.
Begriff: Alle Funktionen des Systems müssen stets zur Verfügung stehen. Auftretende Fehlfunktionen müssen gemeldet werden.
Schutz: Anti-Viren-Software, Programme mit Fehlermeldung.
Kontrolle: Durch den Administrator, regelmäßige Protokollierung.

References: Art. 17
 Art. 25
 Art. 83
 Art. 25
 Art. 83
 Art. 5
 Art. 9
 Art. 35
 Art. 36
 Art. 5
 Art. 32
 Art. 9
 Art. 32