§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / VI. Regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen

Rz. 37

Nach Art. 32 Abs. 1 lit. d) DSGVO sind die vom Verantwortlichen ergriffenen technischen und organisatorischen Maßnahmen zudem regelmäßig systematisch zu überprüfen und in Bezug auf ihre Wirksamkeit zur Gewährleistung der Sicherheit der Verarbeitung zu bewerten und zu evaluieren.

Rz. 38

Die regelmäßige Überprüfung umfasst dabei die regelmäßige Durchführung und Dokumentation von Rücksicherungstests der erzeugten Backups.^[55] Auch das Durchlaufen sog. Penetrationstests kann eine regelmäßige Überprüfungsmaßnahme darstellen.

Rz. 39

Je nach Umfang der vorhandenen IT-Anlagen, sollte in einem Zeitraum zwischen ein und drei Jahren ein Datenschutzaudit durch einen unabhängigen Sachverständigen durchgeführt werden. Im Rahmen des Audits sollten die technischen Anlagen ebenso überprüft werden, wie der aktuelle Stand der Dokumentationen, Betriebsvereinbarungen, Dienstanweisungen und/oder Unternehmensleitlinien (Bewertung und Validierung).

Rz. 40

Nach Art. 32 Abs. 3 DSGVO können entsprechende Maßnahmen auch in genehmigten Verhaltensregeln gemäß Art. 40 DSGVO normiert sein. Der Nachweis angemessener Maßnahmen im Einzelfall erfordert eine entsprechende Dokumentation der technischen und organisatorischen Maßnahmen durch den Verantwortlichen. Die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO oder das erfolgreiche Durchlaufen eines genehmigten Zertifizierungsverfahrens gemäß Art. 42 DSGVO können zusätzliche Anhaltspunkte für die Etablierung geeigneter und angemessener technischer und organisatorischer Maßnahmen bilden.

[55] Oftmals werden Backups einfach weggelegt, ohne zu prüfen, ob dies auch erfolgreich war. In einem vom Autor betreuten Fall war erst bei einer Havarie aufgefallen, dass der Sicherungsroboter zwar regelmäßig Bänder wechselte, diese jedoch bereits seit langer Zeit offenbar nicht ausgewechselt waren und die Sicherungsbänder keine Beschichtung mehr aufwiesen. Es war also gar nichts aufgeschrieben worden. Das System hatte hier indes keine Fehler gemeldet.