Source: https://www.pingdigital.de/blog/2017/08/28/technische-und-organisatorische-massnahmen-nach-der-dsgvo/1178
Timestamp: 2020-04-03 01:26:55
Document Index: 375126118

Matched Legal Cases: ['§ 9', 'Art. 32', 'Art. 32', '§ 9', 'Art. 32', '§ 9', '§ 9', '§9', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 24', 'Art. 32', 'Art. 25', 'Art. 24', 'Art. 24', 'Art. 25', 'Art. 25', 'Art. 25', 'Art. 25', 'Art. 25']

Technische und organisatorische Maßnahmen nach der DSGVO - PinG Privacy in Germany
Autor: Henry Pohlig Erstellt am: 28. August 2017 Rubrik: Datensicherheit
Der Verordnungsgeber ersetzt bzw. erweitert die acht TOMS aus der Anlage zu § 9 BDSG, durch einen neuen Maßnahmenkatalog in Art. 32 Abs. 1 lit. a-d) DSGVO.
In Art. 32 Abs. 1 lit. a)-d) DSGVO werden folgende TOMS genannt:
Zu a): Die bereits dem BDSG nicht unbekannte Verschlüsselungspflicht der Anlage 1 S. 2 zu § 9 BDSG bleibt weiterhin bestehen, wird jedoch um die Pseudonymisierungspflicht in Art. 32 Abs. 1 lit. a) DSGVO ergänzt. Somit wird ein neues Mittel zur Datensicherheit eingeführt, welches im Missbrauchs- oder Verlustfall Daten schwerer nutzbar und auswertbar machen soll.
Zu b): Auch die Verpflichtung zur Zutritts-, Zugangs-, Zugriffs- und Weitergabe – Kontrolle der Anlage 1 S. 1 Nr. 1-4 zu § 9 BDSG bleibt in ihren Grundzügen bestehen und geht mit der allgemeinen Verpflichtung zur Vertraulichkeit und Integrität auf. Hierbei ist unter der Vertraulichkeit zu verstehen, dass Daten so geschützt werden müssen um den Zugriff durch Dritte bestmöglich zu verhindern (Vgl. Albrecht/ Jotzo in Das neue Datenschutzrecht der EU, Teil 2, Rn. 13f.). Systeme müssen außerdem mit Geltung der DSGVO so aufgestellt sein, dass Daten integer sein müssen und nicht verfälscht werden dürfen (Vgl. Barlag in Roßnagel, Europäische DSGVO, VI, Rn. 193). Die bisher in Anlage 1 S. 1 Nr. 7 zu § 9 BDSG enthaltene Verpflichtung- zur Verfügbarkeitskontrolle bleibt bestehen, wird jedoch zukünftig so zu verstehen sein, dass Daten dann zur Verfügung gestellt werden müssen, wenn sie tatsächlich gebraucht werden (Vgl. Karg in Beck’scher OK, DatenschutzR, §9, Rn. 46). Außerdem führt der Verordnungsgeber hier ein neues Schutzziel ein, wonach die Belastbarkeit bzw. die Widerstandsfähigkeit von Systemen und Diensten einen gewissen Standard aufweisen müssen.
Zu c): Die allgemeine Pflicht zur Verfügbarkeitskontrolle (siehe b) wird nun in Art. 32 Abs. 1 lit. c) DSGVO um eine Datensicherungspflicht ergänzt. Bei einem Datenverlust würde sich ohne umfassende Datensicherung wohl kaum eine Wiederherstellung der Daten, wie es in Art. 32 Abs. 1 lit. b) gefordert wird, realisieren lassen. Diese Wiederherstellung muss rasch geschehen und wird nach Umfang des Vorfalls beziffert, darf jedoch eine nach allgemeiner Erwartung angemessene Zeitspanne nicht überschreiten.
Zu d): Art. 32 Abs. 1 lit. d) DSGVO statuiert eine Verpflichtung zur regelmäßigen Prüfung und Evaluierung der Datensicherheit. Um diese zu gewährleisten werden Unternehmen wohl zukünftig Verfahren ausarbeiten müssen, die alle Maßnahmen (a-d) bewerten und im Geschäftsablauf etablieren (Vgl. Martini in Paal/ Pauly, DSGVO, Art. 32, Rn. 43 ff.). Diese Vorgaben werden wohl ebenfalls die Durchführung von Penetrationstests oder Qualitätsmanagement erforderlich machen, denn vor allem im digitalen Zeitalter sind Änderungen bzw. Verbesserungen in Prozessen quasi an der Tagesordnung.
In Art. 24 Abs. 1 DSGVO wird zudem eine allgemeine Verpflichtung zu technisch organisatorischen Maßnahmen eingeführt, die sich deutlich von denen in Art. 32 DSGVO unterscheidet. Hier wird vom Verordnungsgeber eine „lex generalis“ Regelung eingeführt, die durch die Art. 25, 32 und 35 DSGVO konkretisiert wird. Auch hier rückt die DSGVO den risikobasierten Ansatz in den Mittelpunkt, wonach sich die datenschutzrechtlichen Anforderungen, die an den Datenverarbeiter gestellt werden, anhand des zu erwartenden Risikos ermitteln lassen. Vor allem gibt die DSGVO hier zu verstehen, dass je höher das Risiko einer Datenverarbeitung ist, desto höher sind die zu treffenden datenschutzrechtlichen Anforderungen (Auflistung der Risiken in ErwG. 75). Nach Art. 24 Abs. 2 DSGVO muss der Verantwortliche außerdem alle Maßnahmen beschreiben und im Optimalfall als Prozess oder Handlungsanweisung etablieren, um Verstöße gegen die DSGVO durch inhaltliche oder prozedurale Vorgaben zu vermeiden (Martini in Paal/ Pauly, DSGVO, Art. 24, Rn. 40). Die DSGVO erweitert die Vorgaben an die TOMS in Art. 25 DSGVO um zwei weitere Anforderungen. Bei „Privacy by Design“ (Art. 25 Abs. 1 DSGVO) werden Datenschutz und Datensicherheit schon in der Planung und Entwicklung von IT-Systemen einkalkuliert und es soll vorgebeugt werden, dass die Vorgaben zum Datenschutz erst nach dem Bereitstellen von IT-Systemen durch teure und zusätzliche Programmierungsarbeiten umgesetzt werden (Barlag in Roßnagel, Europäische DS-GVO, VII, Rn. 223). Bei „Privacy by Default“ (Art. 25 Abs. 2 DSGVO) sollen IT-Systeme datenschutzfreundlich voreingestellt sein, so dass nur die personenbezogenen Daten verarbeitet werden, die für den verfolgten Zweck erforderlich sind (Martini in Paal/ Pauly, Art. 25, Rn. 44)
Mit Inkrafttreten der DSGVO am 25 Mai 2018 werden einige grundlegende Veränderungen bezüglich TOMS auf Datenverarbeiter zukommen. Alleine durch die geforderten Kontrollverfahren werden viele Modernisierungsaufgaben und Präventionsmaßnahmen anfallen, die es erforderlich machen Abläufe und Prozesse datenschutztechnisch auf den neuesten Stand zu bringen. Denn eine Nicht-Umsetzung der technischen und organisatorischen Maßnahmen iSd. Art. 25, 32 DSGVO kann mit einer Geldbuße bis zu 10 Mio. EUR geahndet werden.
Rubrik: Datensicherheit Stichwörter: EU-DSGVO, TOMS