Checkliste TOM Trennungskontrolle

Eine nähere Erläuterung des Prüfkatalogs zur Auditierung des Standes technischer und organisatorischer Maßnahmen bzw. zur Erfüllung der Aufgaben nach § 9 BDSG und Anlage ist unter Checkliste Technische und organisatorische Maßnahmen zu finden. Des Umfangs halber wurde die Übersicht in einzelne Listen aufgeteilt, des weiteren teilweise angepasst bzw. ergänzt. Bei der Verwendung des Prüfkatalogs im Rahmen verschiedener Landesdatenschutzgesetze bitte die evtl. andere Nummerierungen beachten.

Hilfsmittel zur Durchführung

Die Erfüllung der Aufgaben nach § 9 BDSG und Anlage beinhaltet

1. Organisationskontrolle (im BDSG nicht mehr als eigenständige Nr. in der Anlage aufgeführt)

   "die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird"

2. Zutrittskontrolle (Anlage Nr.1)

   "Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren"

3. Zugangskontrolle (Anlage Nr.2)

   "zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können"

4. Zugriffskontrolle (Anlage Nr.3)

   "zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können"

5. Weitergabekontrolle (Anlage Nr.4)

   "zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist"

6. Eingabekontrolle (Anlage Nr.5)

   "zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind"

7. Auftragskontrolle (Anlage Nr.6)

   "zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können"

8. Verfügbarkeitskontrolle (Anlage Nr.7)

   "zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind"

9. Trennungskontrolle (Anlage Nr.8)

   "zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können"

sowie

10. Internetauftritt
11. WLAN

Checkliste

Abkürzungen: erf. = erfüllt, nicht erf. = nicht erfüllt, nicht erfdl. = nicht erforderlich / nicht zutreffend

Vorgabe		erf.	nicht erf.	nicht erfdl.	Bemerkungen
Trennungskontrolle
	Regelungen und Maßnahmen zur Sicherstellung der Trennung von Daten mit unterschiedlichen Vertrags- / Verarbeitungszwecken bei der
	Speicherung
	Veränderung
	Löschung
	Übermittlung
	Sicherung
	Interne Mandantenfähigkeit
	Interne Zweckbindung
	Interne Zugriffssicherung				Abschottung
	Trennung der verarbeitenden Systeme				im Backend: Server, Netzwerke, Software
	Produktion
	Integration
	Test
	Entwicklung
	Arbeitsplätze und Server				Wie sind PC-Arbeitsplätze von der Serverlandschaft getrennt?
	Firewall
	Unterschiedliche Subnetze
	Unterschiedliche Nutzerkonten
	Trennung der verarbeitenden Systeme				im Frontend: Arbeitsplätze, Software
	Arbeitsplätze für Verarbeitung unterschiedlicher Daten				spezielle Einzelplätze?
	Aufruf und Start von Programmen				z.B. Trennung zwischen der Verarbeitung von Produktions- und Testdaten
	Trennung der Nutzerkonten				unterschiedliche Nutzer der verarbeitenden Systeme
	Produktion
	Integration
	Test
	Entwicklung
	Trennung Pseudonym- / Zuordnungsmerkmal
	Trennung besonders sensibler Daten

→ Checkliste als RTF-Datei

← 8. Verfügbarkeitskontrolle

→ 10. Internetauftritt

Einzelnachweise

Dieser Text wurde aus dem Datenschutz-Wiki der BfDI übernommen. Bearbeitungen vor dem 16.April 2016 stehen unter der Lizenz Creative Commons Namensnennung 3.0 Deutschland.