Source: http://dynamics-business-solutions.de/die-datenschutz-grundverordnung-dsgvo-anforderungen-an-technik-und-sicherheit-der-verarbeitung
Timestamp: 2019-08-18 09:19:06
Document Index: 317787252

Matched Legal Cases: ['Art. 36', 'Art. 4', 'Art. 24', 'Art. 32', 'Art. 5', 'Art. 24', 'Art. 24', 'Art. 24', 'Art. 24', 'Art. 32', 'Art. 35', 'Art. 7', 'Art. 25', 'Art. 32', 'Art. 32', 'Art. 25']

Die Datenschutz-Grundverordnung (DSGVO) - Anforderungen an Technik und Sicherheit der Verarbeitung - Dynamics Business Solutions
Veröffentlicht am Oktober 5, 2018 Oktober 5, 2018 von dbsadmin
Quelle: Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD)
URL: https://www.datenschutz-bayern.de/datenschutzreform2018/technik_und_sicherheit.html
chätzung“,
Art. 36 DSGVO „Vorherige Konsultation“.
Wie schon in Kapitel IV.1 des Überblicks zur Datenschutz-Grundverordnung dargestellt, richten sich die Regelungen der Datenschutz-Grundverordnung in erster Linie an den Verantwortlichen (siehe Art. 4 Nr. 7 DSGVO). Im vorliegenden Zusammenhang umfasst dies nach Art. 24 und Art. 32 DSGVO insbesondere die Pflicht, geeignete technische und organisatorische Maßnahmen einzusetzen, um zum einen sicherzustellen, dass eine Verarbeitung personenbezogener Daten mit den Vorgaben der Datenschutz-Grundverordnung in Einklang steht, und um zum anderen ein dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessenes Schutzniveau zu gewährleisten.
Die Einhaltung dieser – und weiterer sich aus der Datenschutz-Grundverordnung ergebender – Pflichten ist durch den Verantwortlichen angemessen zu dokumentieren („Rechenschaftspflicht“, vgl. insbesondere Art. 5 Abs. 2, Art. 24 Abs. 1 Satz 1 DSGVO). Maßnahmen nach Art. 24 Abs. 1 Satz 1 DSGVO sind erforderlichenfalls zu überprüfen und zu aktualisieren (Art. 24 Abs. 1 Satz 2 DSGVO).
Die Datenschutz-Grundverordnung stellt die Rechte und Freiheiten der betroffenen Personen – also derjenigen, deren Daten verarbeitet werden – in den Vordergrund der (Sicherheits-)Betrachtungen. Art. 24 Abs. 1 Satz 1 und Art. 32 Abs. 1 DSGVO legen jeweils fest, dass die Erforderlichkeit von technischen und organisatorischen Maßnahmen unter Berücksichtigung „der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken (bzw. des Risikos) für die Rechte und Freiheiten natürlicher Personen“ geprüft werden muss.
Ähnlich wie im Bereich der IT-Sicherheit (siehe den „BSI-Grundschutz“) muss daher eine formale Risikoanalyse bei der Einführung eines neuen Verfahrens durchgeführt werden. Die Risikoanalyse ist zudem Grundlage für die Entscheidung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Kriterien für die Risikobewertung lassen sich vor allem den Erwägungsgründen 75 und 76, 89 bis 91 sowie 94 der Datenschutz-Grundverordnung entnehmen.
Eine Auflistung von Datensicherheitsmaßnahmen, wie sie bisher in Art. 7 BayDSG enthalten war („Zehn Gebote“), sieht die Datenschutz-Grundverordnung nicht mehr vor. In Art. 25 und Art. 32 DSGVO werden jedoch einige Maßnahmen und Schutzziele in Bezug auf die Technik und Sicherheit der Datenverarbeitung aufgeführt. Diese beziehen sich teils unmittelbar auf die personenbezogenen Daten, teils aber auch auf die Systeme und Dienste, die im Zusammenhang mit der Datenverarbeitung eingesetzt werden (vgl. insbesondere Art. 32 Abs. 1 DSGVO).
Belastbarkeit („Resilience“): Dies ist ein neuer Begriff, der bisher im Datenschutzbereich nicht verwendet wurde. Im IT-Bereich ist mit „Resilience“ üblicherweise eine gewisse Stabilität gegenüber Ausfällen oder Angriffen – wie etwa „Denial of Service“-Angriffen – gemeint. Die Abgrenzung zur Verfügbarkeit ist jedoch nicht eindeutig;
Bei der Auswahl der technischen und organisatorischen Maßnahmen ist gemäß Art. 25 DSGVO der „Stand der Technik“ zu beachten, der jedoch gesetzlich nicht näher definiert wird. Wie bisher auch, ist es daher sinnvoll, sich an öffentlich zugänglichen Standards zu orientieren, wie etwa an den Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik zu Schlüssellängen, Cipher-Suites oder zur WLAN-Konfiguration.
Vorheriger BeitragZurück Ab wann benötigt ein Unternehmen einen Datenschutzbeauftragten?
Nächster BeitragWeiter Sofortmaßnahmen zur Umsetzung der DSGVO