Title: § 64 Anforderungen an die Sicherheit der Datenverarbeitung

Description:
Bundesdatenschutzgesetz (BDSG 2018)
Teil 3 - Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680
Kapitel 4 - Pflichten der Verantwortlichen und Auftragsverarbeiter
§ 64 Anforderungen an die Sicherheit der Datenverarbeitung

Paragraph: 64

Content:
Bundesdatenschutzgesetz (BDSG 2018)
Teil 3 - Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680
Kapitel 4 - Pflichten der Verantwortlichen und Auftragsverarbeiter
§ 64 Anforderungen an die Sicherheit der Datenverarbeitung

(1) Der Verantwortliche und der Auftragsverarbeiter haben unter
Berücksichtigung des Stands der Technik, der Implementierungskosten,
der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung
sowie der Eintrittswahrscheinlichkeit und der Schwere der mit der
Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen
Personen die erforderlichen technischen und organisatorischen
Maßnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten
ein dem Risiko angemessenes Schutzniveau zu gewährleisten,
insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien
personenbezogener Daten. Der Verantwortliche hat hierbei die
einschlägigen Technischen Richtlinien und Empfehlungen des Bundesamtes
für Sicherheit in der Informationstechnik zu berücksichtigen.

(2) Die in Absatz 1 genannten Maßnahmen können unter anderem die
Pseudonymisierung und Verschlüsselung personenbezogener Daten
umfassen, soweit solche Mittel in Anbetracht der Verarbeitungszwecke
möglich sind. Die Maßnahmen nach Absatz 1 sollen dazu führen, dass

1.  die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der
    Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer
    sichergestellt werden und

2.  die Verfügbarkeit der personenbezogenen Daten und der Zugang zu ihnen
    bei einem physischen oder technischen Zwischenfall rasch
    wiederhergestellt werden können.

(3) Im Fall einer automatisierten Verarbeitung haben der
Verantwortliche und der Auftragsverarbeiter nach einer Risikobewertung
Maßnahmen zu ergreifen, die Folgendes bezwecken:

1.  Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die
    Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle),

2.  Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder
    Löschens von Datenträgern (Datenträgerkontrolle),

3.  Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie
    der unbefugten Kenntnisnahme, Veränderung und Löschung von
    gespeicherten personenbezogenen Daten (Speicherkontrolle),

4.  Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit
    Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte
    (Benutzerkontrolle),

5.  Gewährleistung, dass die zur Benutzung eines automatisierten
    Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer
    Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben
    (Zugriffskontrolle),

6.  Gewährleistung, dass überprüft und festgestellt werden kann, an welche
    Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur
    Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder
    werden können (Übertragungskontrolle),

7.  Gewährleistung, dass nachträglich überprüft und festgestellt werden
    kann, welche personenbezogenen Daten zu welcher Zeit und von wem in
    automatisierte Verarbeitungssysteme eingegeben oder verändert worden
    sind (Eingabekontrolle),

8.  Gewährleistung, dass bei der Übermittlung personenbezogener Daten
    sowie beim Transport von Datenträgern die Vertraulichkeit und
    Integrität der Daten geschützt werden (Transportkontrolle),

9.  Gewährleistung, dass eingesetzte Systeme im Störungsfall
    wiederhergestellt werden können (Wiederherstellbarkeit),

10. Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen
    und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit),

11. Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch
    Fehlfunktionen des Systems beschädigt werden können (Datenintegrität),

12. Gewährleistung, dass personenbezogene Daten, die im Auftrag
    verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers
    verarbeitet werden können (Auftragskontrolle),

13. Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder
    Verlust geschützt sind (Verfügbarkeitskontrolle),

14. Gewährleistung, dass zu unterschiedlichen Zwecken erhobene
    personenbezogene Daten getrennt verarbeitet werden können
    (Trennbarkeit).

Ein Zweck nach Satz 1 Nummer 2 bis 5 kann insbesondere durch die
Verwendung von dem Stand der Technik entsprechenden
Verschlüsselungsverfahren erreicht werden.

Source: https://www.gesetze-im-internet.de/bdsg_2018/__64.html
Directory: bdsg_2018
Level: 4.0