Source: https://www.datenschutz-wiki.de/index.php?title=Technische_und_organisatorische_Ma%C3%9Fnahmen&printable=yes&mobileaction=toggle_view_desktop
Timestamp: 2020-07-12 11:51:10
Document Index: 205482596

Matched Legal Cases: ['§ 9', '§ 9', '§ 9', '§ 9', '§ 3', '§ 11', '§ 9']

Technische und organisatorische Maßnahmen – Datenschutz-Wiki
Gemäß § 9 Bundesdatenschutzgesetz (BDSG) sind alle Stellen, welche personenbezogene Daten verarbeiten, erheben oder nutzen verpflichtet, technische und/oder organisatorische Maßnahmen (kurz: TOM) zu treffen um zu gewährleisten, dass die Sicherheits- und Schutzanforderungen des BDSG erfüllt sind. Die Spezifizierung dieser Anforderungen ergibt sich aus der Anlage (zu § 9 Satz 1) BDSG.
1 Abgrenzung technisch und organisatorisch
2 TOM gemäß Anlage zu § 9 BDSG
2.1 Zutrittskontrolle
2.2 Zugangskontrolle
2.3 Zugriffskontrolle
2.4 Weitergabekontrolle
2.5 Eingabekontrolle
2.6 Auftragskontrolle
2.7 Verfügbarkeitskontrolle
2.8 Trennungsgebot
3 Prinzip der Verhältnismäßigkeit
Abgrenzung technisch und organisatorisch
Unter technischen Maßnahmen sind alle Schutzversuche zu verstehen, die im weitesten Sinne physisch umsetzbar sind, wie etwa
Umzäunung des Geländes
bauliche Maßnahmen allgemein
Alarmanlagen jeglicher Art
oder Maßnahmen die in Soft- und Hardware umgesetzt werden, wie etwa
Passworterzwingung
Logging (Protokolldateien)
biometrische Benutzeridentifikation
Als organisatorische Maßnahmen sind solche Schutzversuche zu verstehen die durch Handlungsanweisung, Verfahrens- und Vorgehensweisen umgesetzt werden. Beispiele hierfür sind
Arbeitsanweisung zum Umgang mit fehlerhaften Druckerzeugnissen
festgelegte Intervalle zur Stichprobenprüfungen
Checklisten, die als Hilfsmittel für eine Einschätzung und Prüfung der erforderlichen Maßnahmen herangezogen werden können, sind unter Checkliste Technische und organisatorische Maßnahmen zu finden.
TOM gemäß Anlage zu § 9 BDSG
Die Anlage zu gibt vor, in welchen Kategorien Schutzmaßnahmen sichergestellt sein müssen. Nachfolgend werden die einzelnen Anforderungen nebst Beispielen beschrieben.
Sicherung der Räume
Gemeint sind Maßnahmen um zu verhindern, dass Datenverarbeitungsanlagen von Unbefugten benutzt werden können, wobei allerdings das Wort "nutzen" sich nicht auf die Legaldefinition des § 3 Abs. 5 BDSG beschränkt.
Zugang zu Rechnern/Systemen (Authentifizierung)
Benutzerkennung mit Passwort
zertifikatsbasierte Zugangsberechtigung
gesicherte Schnittstellen (USB, Firewire, Netzwerk etc.)
zertifikatsbasierte Zugriffsberechtigung
Es muss verhindert werden, dass personenbezogenen Daten bei der elektronischen Übertragung, beim Transport oder bei der Speicherung auf Datenträgern unbefugt gelesen, kopiert, verändert oder gelöscht werden können und dass festgestellt werden kann, an welchen Stellen eine Übermittlung solcher Daten im DV-System vorgesehen ist.
Sicherung bei der elektronischen Übertragung
Fax-Protokoll
Verschlossene Behälter
Sicherung bei der Übermittlung
Protokollierungsmaßnahmen
Es muss sichergestellt werden, dass personenbezogene Daten, die im Auftrag verarbeitet werden, gemäß den Weisungen des Auftraggebers verarbeitet werden.
Weisungsbefugnisse festlegen
Datenschutzvertrag gemäß den Vorgaben nach § 11 BDSG
RAID (Festplattenspiegelung)
Virenschutzkonzept
getrennte Ordnerstrukturen (Auftragsdatenverarbeitung)
separate Tables innerhalb von Datenbanken
Insbesondere sind allgemein Verschlüsselungsverfahren nach aktuellem Stand der Technik zu berücksichtigen.
Prinzip der Verhältnismäßigkeit
Das BDSG schränkt sich in den zu treffenden Schutzmaßnahmen selbst ein. Für TOM gilt ein Verhältnismäßigkeitsprinzip. Demnach müssen personenbezogene Daten nicht unendlich stark geschützt werden, wenn die Maßnahmen dafür wirtschaftlich unangemessen hoch ausfallen würden. Daraus lässt sich ableiten, dass bei einer Auftragsdatenverarbeitung (ADV) der Dienstleister, welcher nur einen Teil der Daten zur Bearbeitung erhält, nicht zwingend die gleichen Schutzmaßnahmen treffen muss, wie sie etwa die verantwortliche Stelle ausführt.
Beispiel: Der EDV-Dienstleister einer Bank kann (aus wirtschaftlicher Sicht) nicht die gleichen Sicherheitsmaßnahmen gewährleisten wie die Bank selbst. Da er in aller Regel nur auf einen Teilbereich der Daten Zugriff hat (oder zur Verfügung), ist dies gesetzlich auch nicht geboten, selbst wenn die Daten als sensibel zu betrachten sind (Kontonummern, Kredikartenumsätze).
Aus der IT-Sicherheit besteht Kritik an den Formulierungen in der Anlage zu § 9 BDSG diesbezüglich, dass die genannten Schutzzwecke mit den "drei Säulen der IT-Sicherheit" (Verfügbarkeit, Vertraulichkeit, Integrität) übereinstimmen, aber unnötig auseinander gerissen werden. Dadurch wird die gemeinsame Sprache zwischen IT-Sicherheitsverantwortlichen und Datenschutzbeauftragten zersplittert.
1. Technisch-organisatorischer Datenschutz - Leitfaden für Praktiker - von Peter Münch (ISBN 978-89577-487-4)
Abgerufen von „https://www.datenschutz-wiki.de/index.php?title=Technische_und_organisatorische_Maßnahmen&oldid=5462“
Diese Seite wurde zuletzt am 11. September 2018 um 10:40 Uhr bearbeitet.