Source: https://www.srd-rechtsanwaelte.de/blog/informationssicherheit-nach-der-dsgvo/
Timestamp: 2018-12-11 13:40:24+00:00

Document:
Wie ist die Rechtslage bisher ausgestaltet?
Bisher regelt § 9 BDSG, dass datenverarbeitende Unternehmen oder Behörden „technische und organisatorische Maßnahmen“ zu treffen haben um die datenschutzrechtlichen Anforderungen des BDSG und seiner Anlage sicherzustellen. Dabei verlangt § 9 BDSG ausdrücklich eine Verhältnismäßigkeit von Maßnahme und Schutzzweck.
Welche Regelung enthält die DSGVO?
Grundsätzlich verlangt auch Artikel 32 DSGVO, dass technische und organisatorische Maßnahmen zur Datensicherheit getroffen werden. Allerdings spezifiziert Art. 32 DSGVO zum Teil die Anforderungen an diese Maßnahmen. Er setzt dabei den Grundsatz der „Integrität und Vertraulichkeit“ bei der Verarbeitung personenbezogener Daten gemäß Art. 5 Abs.1 f DSGVO um. Zunächst verweist Art. 32 DSGVO dabei auf eine „Berücksichtigung des Stands der Technik“ um geeignete Schutzmaßnahmen zu gewährleisten.
Gibt es konkrete Maßnahmen zur Umsetzung eines angemessenen Schutzniveaus?
Zunächst verlangt Art. 32 Abs.1 a) die Pseudonymisierung und Verschlüsselung der Daten. Es kann als Ausdruck bewusster gesetzgeberischer Entscheidung gewertet werden, dass die Anonymisierung von Daten nicht genannt wird. § 58 Abs.3 des Referentenentwurfes für das deutsche Ausführungsgesetz zur Datenschutz-Grundverordnung führt einige Aspekte zur Umsetzung des Schutzniveaus aus, indem es weite Teile des alten § 9 BDSG in Verbindung mit dessen Anhang übernimmt. Die Inhalte dieses Entwurfes können für Unternehmen als Richtschnur zur Beurteilung der zukünftigen Rechtslage zur Datensicherheit gewertet werden.
Wie wird die Einhaltung der Vorgaben überprüft?
Das bayerische Amt für Landesdatenschutzaufsicht verweist darauf, dass der Nachweis der Einhaltung der Vorgaben für die Datensicherheit Teil der Rechenschaftspflicht gemäß Art. 5 Abs.2 DSGVO werden kann und dabei die Bedeutung von Zertifizierungsregeln zunehmen wird. Damit wird in Zukunft insbesondere die Bedeutung von Informationssicherheits-Managementsysteme (ISMS) zunehmen. Durch solche Systeme werden Prozesse und Richtlinien (technischer und nicht-technischer Art) in Unternehmen etabliert, um die Datensicherheit zu gewährleisten. Vor allem werden ständige Kontrollen und daraus abgeleitete Verbesserungsvorschläge etabliert. Ein ISMS stellen damit quasi sowohl die Umsetzung eines Teiles der Erstellung einer Risikoprognose als auch eine Umsetzung der „technischen und organisatorischen Maßnahmen“ dar. Ein weiterer Vorteil der Implementierung eines groß angelegten ISMS ist eine (wahrscheinliche) Zertifizierung nach der ISO 27001. Diese Norm der Internationalen Organisation von Normierung, die auch als DIN-Norm veröffentlicht ist, enthält u.a. Vorgaben zur Datensicherheit für verschiedene Organisationen. Die Erfüllung ihrer Voraussetzungen und damit verbundene Zertifizierung gewährleistet dann unter Umständen den Nachweis an die Anforderungen des Art. 32 DSGVO (v.a auch die Evaluationspflicht gemäß Art. 32 lit d.) und verhindert somit die hohen Bußgelder, die die DSGVO gemäß Art. 83ff. für Verstöße gegen die Vorgaben zur Informationssicherheit androht. Bisher ungeklärt und durch die Rechtsprechung zu klären ist, ob Art. 32 DSGVO die Implementierung eines ISMS ausdrücklich verlangt oder dessen Vorgaben auch auf anderem Wege umsetzbar sind. Jedenfalls deutet die Zertifizierungspflicht des Art. 32 Abs.2 DSGVO unter Verweis auf Artikel 42 DSGVO auf die Möglichkeit der Umsetzung der Vorgaben des Art. 32 durch ISMS und ISO 27001 hin.

References: § 9
 § 9
 Art. 32
 Art. 5
 Art. 32
 Art. 32
 § 58
 § 9
 Art. 5
 Art. 32
 Art. 32
 Art. 83
 Art. 32
 Art. 32
 Art. 32