Dipl.-Volksw. Fritz Schmidt
Während die DSGVO eher allgemein von den Schutzzielen spricht, wird im BDSG in den Absätzen 2 und 3 des § 64 BDSG konkretisiert, wie diese Ziele in Bezug auf die IT-Anlagen erreicht werden sollen. Zwar ist § 64 BDSG nur für Justiz und Polizei anzuwenden, doch ergeben sich daraus auch Hinweise, wie die technischen und organisatorischen Maßnahmen in anderen Bereichen zu gestalten sind. Im Folgenden wird deshalb anhand der Anforderungen des § 64 BDSG die konkrete Ausgestaltung der technischen und organisatorischen Maßnahmen dargestellt. Dabei werden auch Formulierungshilfen zur Dokumentation gegeben.
Die besten Konzepte für technische und organisatorische Maßnahmen bleiben wirkungslos, wenn die Mitarbeiter die Maßnahmen unterlaufen oder durch Unachtsamkeit Sicherheitslücken insbesondere für Angreifer aus dem Internet schaffen.
Zur Rolle der Mitarbeiter für die Datensicherheit siehe Kap. 3.3 Die Schlüsselrolle der Mitarbeiter für Datenschutz und Datensicherheit.
3.2.1 Pseudonymisierung
Bei der Pseudonymisierung wird ein Name oder ein anderes Identifikationsmerkmal durch ein Kennzeichen ersetzt und damit die Identifizierung des Betroffenen ausgeschlossen oder zumindest erschwert.
Werden Kundendaten zur Analyse des Kundenverhaltens für Zwecke der Marktforschung ausgewertet, werden hierfür die Namen der Kunden nicht benötigt und eine Pseudonymisierung ist sinnvoll und auch erforderlich. In Wohnungsunternehmen wird bei der Bearbeitung der Miet- oder Beschäftigungsverhältnisse der Name der Betroffenen benötigt. Bei einer Pseudonymisierung dieser personenbezogenen Daten würde die laufende Sachbearbeitung unnötig erschwert und verteuert und wäre damit im Verhältnis zum verfolgten Schutzzweck nicht mehr angemessen. Eine Pseudonymisierung ist deshalb bei der laufenden Sachbearbeitung nicht erforderlich und auc...