Dokumentationspflichten (DSGVO) / 3.2 Konkrete Anforderungen an die Ausgestaltung technischer und organisatorischer Maßnahmen

Während die DSGVO eher allgemein von den Schutzzielen spricht, wird im BDSG in den Absätzen 2 und 3 des § 64 BDSG konkretisiert, wie diese Ziele in Bezug auf die IT-Anlagen erreicht werden sollen. Zwar ist § 64 BDSG nur für Justiz und Polizei anzuwenden, doch ergeben sich daraus auch Hinweise, wie die technischen und organisatorischen Maßnahmen in anderen Bereichen zu gestalten sind. Im Folgenden wird deshalb anhand der Anforderungen des § 64 BDSG die konkrete Ausgestaltung der technischen und organisatorischen Maßnahmen dargestellt. Dabei werden auch Formulierungshilfen zur Dokumentation gegeben.

Die besten Konzepte für technische und organisatorische Maßnahmen bleiben wirkungslos, wenn die Mitarbeiter die Maßnahmen unterlaufen oder durch Unachtsamkeit Sicherheitslücken insbesondere für Angreifer aus dem Internet schaffen.

Zur Rolle der Mitarbeiter für die Datensicherheit siehe Kap. 3.3 Die Schlüsselrolle der Mitarbeiter für Datenschutz und Datensicherheit.

3.2.1 Pseudonymisierung

Bei der Pseudonymisierung wird ein Name oder ein anderes Identifikationsmerkmal durch ein Kennzeichen ersetzt und damit die Identifizierung des Betroffenen ausgeschlossen oder zumindest erschwert.

Werden Kundendaten zur Analyse des Kundenverhaltens für Zwecke der Marktforschung ausgewertet, werden hierfür die Namen der Kunden nicht benötigt und eine Pseudonymisierung ist sinnvoll und auch erforderlich. In Wohnungsunternehmen wird bei der Bearbeitung der Miet- oder Beschäftigungsverhältnisse der Name der Betroffenen benötigt. Bei einer Pseudonymisierung dieser personenbezogenen Daten würde die laufende Sachbearbeitung unnötig erschwert und verteuert und wäre damit im Verhältnis zum verfolgten Schutzzweck nicht mehr angemessen. Eine Pseudonymisierung ist deshalb bei der laufenden Sachbearbeitung nicht erforderlich und auch nicht sinnvoll.

Praxis-Beispiel

Musterformulierung

"Eine Pseudonymisierung erfolgt nicht, da der verfolgte Schutzzweck im Verhältnis zum Umsetzungsaufwand nicht mehr verhältnismäßig wäre."

3.2.2 Verschlüsselung

Bei der Verschlüsselung werden Daten in eine Form umgewandelt, die auch als "Chiffretext" bezeichnet werden kann und die von nicht autorisierten Personen ohne den passenden Code oder Schlüssel nicht zu verstehen ist. Bei der Entschlüsselung werden diese verschlüsselten Daten wieder in ihre ursprüngliche Form konvertiert, um sie lesbar zu machen. Es gibt verschiedene Verschlüsselungsverfahren, die ein unterschiedliches Sicherheitsniveau besitzen.

Bedeutung hat die Verschlüsselung insbesondere im E-Mail-Verkehr. Auch hier ist zu beachten, dass der Umsetzungsaufwand im Verhältnis zum Schutzzweck angemessen sein muss, sodass die Art der Verschlüsselung von den versendeten Datenarten abhängig gemacht werden kann.

Praxis-Beispiel

Musterformulierung

"Für den elektronischen Transport werden Verschlüsselungsverfahren eingesetzt, die dem Stand der Technik entsprechen und ein angemessenes Schutzniveau erreichen."

"Der elektronische Transport zum Rechenzentrum der XXXX ist über VPN- oder TLS-Verbindung mit Zwei-Faktor-Authentisierung abgesichert." (Anmerkung: Nur einschlägig, wenn die Datenverarbeitung in einem Rechenzentrum erfolgt.)

"Beim elektronischen Transport zu Institutionen (z. B. Finanzbehörden, Sozialversicherungsträger) im Rahmen der Lohn- und Gehaltsabrechnung, für die Meldung nach § 45d EStG bzw. die KiStAM-Abfrage erfolgt die sichere Übertragung nach den Vorgaben und Standards der Institutionen." (Anmerkung: nur einschlägig, sofern diese Übermittlungen vom Wohnungsunternehmen selbst vorgenommen werden.)

"Kontaktaufnahmen von Mietern (z. B. Schadensmeldungen) oder Mietinteressenten (Bewerbungsbogen) über das Internet erfolgen abgesichert mit Verschlüsselungsverfahren nach dem Stand der Technik."

3.2.3 Zugangskontrolle

Der Zugang zu Verarbeitungsanlagen ist Unbefugten zu verwehren. Die Zugangskontrolle umfasst sowohl die Verhinderung des unberechtigten körperlichen Zutritts in Räumlichkeiten mit Datenverarbeitungsanlagen (Zutrittskontrolle) als auch das unbefugte Eindringen in Datenverarbeitungsanlagen. Hier geht es um den Schutz vor einer unbefugten Benutzung (Zugang) der Systeme, auf denen personenbezogene Daten verarbeitet werden, durch nicht berechtigte Personen. Diese Personen können Unternehmensexterne, aber auch Mitarbeiter sein.

Zutrittskontrolle

Die Zutrittskontrolle soll dafür sorgen, dass nur Berechtigte Räumlichkeiten oder bestimmte Zonen davon betreten können. Die Zutrittskontrolle kann durch bauliche Maßnahmen gesichert werden wie Alarmanlagen, Sicherheitstüren, Klingelkameras oder die Trennung von Bearbeitungs- und Publikumszonen. Weiteres Element ist z. B. ein während der Besuchszeiten ständig besetzter Empfangsbereich. Ein unbeaufsichtigter Publikumsverkehr kann vermieden werden, wenn die Besucher durch einen Mitarbeiter der jeweiligen Fachabteilung am Empfang abgeholt werden. Weiteres Element der Zutrittskontrolle kann eine differenzierte Schlüsselregelung sein, die den Mitarbeitern z. B. nur Zutrittsberechtigungen für bestimmte Bereiche von Gebäuden erlaubt. Zu regeln is...