Source: https://www.haufe.de/compliance/recht-politik/datensicherung-wird-fuer-berufsgeheimnistraeger-noch-wichtiger_230132_449882.html
Timestamp: 2019-01-16 13:50:34+00:00

Document:
Berufsgeheimnisträger: DSGVO-Pflichten | Compliance | Haufe
News 14.11.2018 Datenschutzgrundverordnung
Bild: Haufe Online Redaktion IT-Sicherheit ist seit 25.5. besonders für Berufsgeheimnisträger im Blick auf sensible Daten wichtiger
Auch in diesem Punkt sollte jeder Freiberufler seine Kanzlei oder Praxis sorgfältig vorbereiten.
Welche Pflichten Berufsgeheimnisträger nach der DSGVO haben?
Die Verpflichtung, die Sicherheit der Datenverarbeitung zu gewährleisten, folgt aus Art. 32 DSGVO.
Hiernach hat jede Kanzlei unter Berücksichtigung des Standes der Technik durch geeignete technische und organisatorische Maßnahmen ein angemessenes Schutzniveau der gespeicherten Daten zu gewährleisten.
Höhe und Art des geforderten Schutzniveaus richten sich nach der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen.
Da es sich bei Mandantendaten in der Regel um besonders sensible Daten handelt, sollten die Anforderungen gerade auch von kleineren Kanzleien in diesem Punkt nicht unterschätzt werden.
Wer wird als Berufsgeheimnisträger qualifiziert? Eine Definition durch Beispiele
Das Strafrecht hat in § 203 StGB einige Beispiele. Folgend Absatz 1:
Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle.
DSGVO-Pflichten eines Berufgeheimnisträgers
Dieser hat berufsgeheimnisrelevante Daten sind besonders zu schützen.
Der Erwägungsgrund 75 zur DSGVO weist auf die besonderen Risiken für die Rechte und Freiheiten von Personen hin, deren personenbezogene Daten verarbeitet werden. Insbesondere wenn die Verarbeitung zu einem
physischen, materiellen und immateriellen Schaden führen kann,
die Verarbeitung zu Diskriminierung, Identitätsdiebstahl oder einen finanziellen Verlust,
zu Rufschädigung,
zum Verlust der Vertraulichkeit von Berufsgeheimnissen führen,
sind besondere Anforderungen an die Datensicherheit zu stellen. Dies gilt also gerade auch für Mandantendaten in Anwaltskanzleien, denn hier werden häufig Daten gespeichert, deren Missbrauch zu gesellschaftlichen Nachteilen, z.B. auch im arbeitsrechtlichen Bereich führen kann.
IT-Sicherheitsvorgaben der DSGVO
Art. 32 DSGVO sowie Erwägungsgrund 28 umschreiben konkrete Maßnahmen, die zum Schutz gespeicherter personenbezogener Daten zu treffen sind. Hierzu gehören insbesondere Maßnahmen
zur Sicherstellung der Vertraulichkeit, Integrität und Belastbarkeit der elektronischen Speichersysteme,
systemtechnische Maßnahmen (data protection by design),
datenschutzfreundliche Voreinstellungen (data protection by default),
Minimierung der Verarbeitung personenbezogener Daten,
Pseudonymisierung und Verschlüsselung so schnell als möglich,
Transparenz der Verarbeitung,
Überwachung der Verarbeitung,
ständige Verbesserung der Sicherheitsfunktionen,
ständige Anpassung der Speichersysteme an den neuesten Stand der Technik.
eine regelmäßige Überprüfung und Bewertung der Wirksamkeit der technischen und organisatorischen Maßnahmen.
Art. 32 nennt die Einhaltung genehmigter Verfahrensregeln nach Art. 40 DSGVO oder eines genehmigten Zertifizierungsverfahrens gemäß Art. 42 DSGVO als empfehlenswerte Maßnahmen.
Dokumentation der Sicherungsmaßnahmen ist sinnvoll
Sowohl der Verantwortliche als auch der Auftragsverarbeiter haben darüber hinaus sicherzustellen, dass ihnen unterstellte natürliche Personen personenbezogene Daten nur auf Anweisung des Verantwortlichen verarbeiten. Dies sowie die Implementierung geeigneter Maßnahmen sind im Zweifelsfall nachzuweisen durch entsprechende Dokumentationen (Erwägungsgrund 78).
Checkliste des DAV
Der Deutsche Anwaltverein bietet verschiedene Downloads zur Vorbereitung der Kanzlei auf die DSGVO an. Darunter auch eine Checkliste zur Überprüfung der technischen und organisatorischen Maßnahmen. Hier wird nach räumlichen, personellen und technischen Sicherungsmaßnahmen differenziert.
Zu den raumbezogenen Maßnahmen zählen:
moderne Schließsysteme,
abschließbare Serverschränke,
sorgfältige Auswahl des Personals einschließlich der Reinigungskräfte,
eine sorgfältige Unerrichtung und Einweisung der Mitarbeiter in die Anforderungen des Datenschutzes,
eine klare Benutzerkontrolle durch Festlegung zugangsberechtigter Mitarbeiter,
eine regelmäßige Kontrolle der Berechtigungen z.B. durch Passwortsysteme,
Zuverlässigkeitskontrollen.
eine hinreichende Datenträgerkontrolle durch sichere Aufbewahrung von Datenträgern,
Verschlüsselungen und ordnungsgemäße Vernichtungstechniken,
eine angemessene Speicherkontrolle, die verhindert, dass Unbefugte von gespeicherten Daten Kenntnis nehmen oder diese verändern können,
sichere Übertragungswege,
Sicherung der Wiederherstellung bei Verlust von Daten (Backup-Systeme),
Alarmeinrichtungen bei unrechtmäßigem Zugriff.
Auch hinsichtlich der technischen, organisatorischen und personellen Erfordernisse an die Sicherung der gespeicherten Daten gegen unberechtigte Zugriffe sollte der Umfang der Maßnahmen, die erforderlich sind, um die Anforderungen der DSGVO zu erfüllen, nicht unterschätzt werden. Wer nicht Schritt hält, muss im Ernstfall mit entsprechenden Sanktionen rechnen.
Download zu IT-Verschlüsselungsverfahren
Schlagworte zum Thema: Anwaltssoftware, Recht, Datenschutz-Grundverordnung, Datenschutz

References: Art. 32
 § 203

Art. 32

Art. 32
 Art. 40
 Art. 42