Technische und organisatorische Maßnahmen: Unterschied zwischen den Versionen

Gemäß {{bdsgl|9}} [[Bundesdatenschutzgesetz]] (BDSG) sind alle Stellen, welche [[personenbezogene Daten]] [[verarbeiten]], [[erheben]] oder [[nutzen]] verpflichtet,

technische und/oder organisatorische Maßnahmen (kurz: TOM) zu treffen um zu gewährleisten, dass die Sicherheits- und Schutzanforderungen des BDSG erfüllt sind. Die Spezifizierung dieser Anforderungen ergibt sich aus der [[9_Satz1_Anlage|Anlage (zu § 9 Satz 1)]] BDSG.

Checklisten, die als Hilfsmittel für eine Einschätzung und Prüfung der erforderlichen Maßnahmen herangezogen werden können, sind unter [[Checkliste Technische und organisatorische Maßnahmen]] zu finden.

== TOM gemäß Anlage zu {{bdsg|9}} BDSG ==

 

Die Anlage zu gibt vor, in welchen Kategorien Schutzmaßnahmen sichergestellt sein müssen.

Gemeint sind Maßnahmen um zu verhindern, dass Datenverarbeitungsanlagen von Unbefugten benutzt werden können, wobei allerdings das Wort "nutzen" sich nicht auf die Legaldefinition des {{bdsgl|3|5}} BDSG beschränkt.

* Zugang zu Rechnern/Systemen (Authentifizierung)

Es muss gewährleistet werden, dass die zur Benutzung von DV-Anlagen berechtigten Nutzer ausschließlich auf Inhalte zugreifen können für welche sie berechtigt sind '''und''' das personenbezogene Daten bei der Verarbeitung und Nutzung und nach dem [[Speichern]] nicht unbefugt kopiert, verändert oder [[löschen|gelöscht]] werden können.

* gesicherte Schnittstellen (USB, Firewire, Netzwerk etc.)

Es muss verhindert werden, dass personenbezogenen Daten bei der elektronischen Übertragung, beim Transport oder bei der Speicherung auf Datenträgern unbefugt gelesen, kopiert, verändert oder gelöscht werden können und dass festgestellt werden kann, an welchen Stellen eine Übermittlung solcher Daten im DV-System vorgesehen ist.

Es muss sichergestellt werden, dass personenbezogene Daten, die [[Auftragsdatenverarbeitung|im Auftrag verarbeitet]] werden, gemäß den Weisungen des Auftraggebers verarbeitet werden.

* Vor-Ort-Kontrollen

* Datenschutzvertrag gemäß den Vorgaben nach {{bdsgl|11}} BDSG

Es ist sicher zu Stellen, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden können.

== Prinzip der Verhältnismäßigkeit ==

Das BDSG schränkt sich in den zu treffenden Schutzmaßnahmen selbst ein. Für TOM gilt ein [[Verhältnismäßigkeit]]sprinzip. Demnach müssen personenbezogene Daten nicht unendlich stark geschützt werden, wenn die Maßnahmen dafür wirtschaftlich unangemessen hoch ausfallen würden. Daraus lässt sich ableiten, dass bei einer Auftragsdatenverarbeitung (ADV) der Dienstleister, welcher nur einen Teil der Daten zur Bearbeitung erhält, nicht zwingend die gleichen Schutzmaßnahmen treffen muss, wie sie etwa die verantwortliche Stelle ausführt.

Der EDV-Dienstleister einer Bank kann (aus wirtschaftlicher Sicht) nicht die gleichen Sicherheitsmaßnahmen gewährleisten wie die Bank selbst. Da er in aller Regel nur auf einen Teilbereich der Daten Zugriff hat (oder zur Verfügung), ist dies gesetzlich auch nicht geboten, selbst wenn die Daten als sensibel zu betrachten sind (Kontonummern, Kredikartenumsätze).

Aus der IT-Sicherheit besteht Kritik an den Formulierungen in der Anlage zu {{bdsg|9}} BDSG diesbezüglich, dass die genannten Schutzzwecke mit den "drei Säulen der IT-Sicherheit" (Verfügbarkeit, Vertraulichkeit, Integrität) übereinstimmen, aber unnötig auseinander gerissen werden. Dadurch wird die gemeinsame Sprache zwischen IT-Sicherheitsverantwortlichen und Datenschutzbeauftragten zersplittert.

[[Kategorie:Themen]]<noinclude>

{{BfDI-Content}}</noinclude>