Dokumentationspflichten (DSGVO) / 3.2.7 Zugriffskontrolle

Dipl.-Volksw. Fritz Schmidt

Nur Berechtigte dürfen Zugang zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten haben. Personenbezogene Daten sollen davor geschützt werden, bei der Verarbeitung, Nutzung oder nach ihrer Speicherung unbefugt gelesen, kopiert, verändert oder entfernt zu werden. Damit hängt auch die Zugriffskontrolle eng mit der Zugangskontrolle zusammen. Zahlreiche Maßnahmen der Zugangskontrolle dienen auch der Zugriffskontrolle. Zu den möglichen Instrumenten der Zugriffskontrolle siehe die Ausführungen zur Benutzerkontrolle.

Die Zugriffskontrolle kann durch die restriktive Vergabe von Zugangsberechtigungen hergestellt werden, indem Berechtigungen nur in Abhängigkeit vom Tätigkeitsfeld zugewiesen werden.

Praxis-Beispiel

Musterformulierung

"Die eingesetzten IT-Systeme haben ein differenziertes Berechtigungssystem, das es ermöglicht, Datenzugriffe und -veränderungen auf Basis von Rollen und individuellen Berechtigungen zu vergeben."

"Jeder Mitarbeiter kann im Rahmen seiner Aufgabenerfüllung nur auf die für seine Tätigkeit notwendigen Systeme und mit der ihm zugewiesenen Berechtigung auf die erforderlichen Daten zugreifen. Die Erteilung der Berechtigungen erfolgt in einem dokumentierten Genehmigungsverfahren. Das Erfordernis der Berechtigung wird regelmäßig überprüft."

"Die persönliche Verantwortung jedes Mitarbeiters für die Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Informationen wird durch Schulungsmaßnahmen und bereitgestellte Informationen gestärkt."

Jetzt kostenlos 4 Wochen testen

Anmelden und Beitrag in meinem Produkt lesen