Technische und organisatorische Maßnahmen: Unterschied zwischen den Versionen

Gemäß {{bdsgl|9}} [[Bundesdatenschutzgesetz]] (BDSG) sind alle Stellen, welche [[personenbezogene Daten]] [[verarbeiten]], [[erheben]] oder [[nutzen]] verpflichtet,

technische und/oder organisatorische Maßnahmen (kurz: TOM) zu treffen um zu gewährleisten, dass die Sicherheits- und Schutzanforderungen des BDSG erfüllt sind. Die Spezifizierung dieser Anforderungen ergibt sich aus der [[9_Satz1_Anlage|Anlage (zu § 9 Satz 1)]] BDSG.

== TOM gemäß Anlage zu {{bdsg|9}} BDSG ==

Die Anlage zu gibt vor, in welchen Kategorien Schutzmaßnahmen sichergestellt sein müssen.

Gemeint sind Maßnahmen um zu verhindern, dass Datenverarbeitungsanlagen von Unbefugten benutzt werden können, wobei allerdings das Wort "nutzen" sich nicht auf die Legaldefinition des {{bdsgl|3|5}} BDSG beschränkt.

Es muss gewährleistet werden, dass die zur Benutzung von DV-Anlagen berechtigten Nutzer ausschließlich auf Inhalte zugreifen können für welche sie berechtigt sind '''und''' das personenbezogene Daten bei der Verarbeitung und Nutzung und nach dem [[Speichern]] nicht unbefugt kopiert, verändert oder [[löschen|gelöscht]] werden können.

Es muss sichergestellt werden, dass personenbezogene Daten die [[Auftragsdatenverarbeitung|im Auftrag verarbeitet]] werden, gemäß den Weisungen des Auftraggebers verarbeitet werden.

* Datenschutzvertrag gemäß den Vorgaben nach {{bdsgl|11}} BDSG

Das BDSG schränkt sich in den zu treffenden Schutzmaßnahmen selbst ein. Für TOM gilt ein sog. [[Verhältnismäßigkeit]]sprinzip. Demnach müssen personenbezogene Daten nicht unendlich stark geschützt werden, wenn die Maßnahmen dafür wirtschaftlich unangemessen hoch ausfallen würden. Daraus lässt sich ableiten dass bei einer Auftragsdatenverarbeitung (ADV) der Dienstleister, welcher nur einen Teil der Daten zur Bearbeitung erhält, nicht zwingend die gleichen Schutzmaßnahmen treffen muss, wie sie etwa die verantwortliche Stelle ausführt.

Der EDV-Dienstleister einer Bank kann (aus wirtschaftlicher Sicht) nicht die gleichen Sicherheitsmaßnahmen gewährleisten wie die Bank selbst. Da er in aller Regel nur auf einen Teilbereich der Daten Zugriff hat (oder zur Verfügung) ist dies gesetzlich auch nicht geboten, selbst wenn die Daten als Sensibel zu betrachten sind (Kontonummern, Kredikartenumsätze).

Aus der IT-Sicherheit besteht Kritik an den Formulierungen in der Anlage zu {{bdsg|9}} BDSG diesbezüglich, dass die genannten Schutzzwecke mit den "drei Säulen der IT-Sicherheit" (Verfügbarkeit, Vertraulichkeit, Integrität) übereinstimmen aber unnötig auseinander gerissen werden. Dadurch wird die gemeinsame Sprache zwischen IT-Sicherheitsverantwortlichen und Datenschutzbeauftragten zersplittert.