Der Bayerische Landesbeauftragte für den Datenschutz; Stand: 26.02.2008
Der Bayerische Landesbeauftragte für den Datenschutz
Gemäß Art. 7 BayDSG haben alle öffentlichen Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, geeignete technische und organisatorische Maßnahmen zum Schutz dieser Daten zu treffen, das heißt, es müssen entsprechende Sicherheitsmaßnahmen gegen Unzulänglichkeiten im Bereich des Zugriffs und der sachgemäßen Anwendung sowie gegen Störungen des inhaltlichen Bestandes und der DV-Einrichtungen getroffen werden. Für die Verarbeitung im normalen DV-Betrieb bedeutet das, dass geeignete Maßnahmen zu ergreifen sind, personenbezogene Daten vor unerlaubter Kenntnisnahme, Verlust, Verfälschung und Zerstörung zu schützen und den Zugang Unbefugter zu den Datenverarbeitungsanlagen, zu den Datenträgern und zu allen im Netz angeschlossenen Rechnern zu verhindern.
Für den Fall der automatisierten Datenverarbeitung - im Gegensatz zur manuellen - sind im Art. 7 Abs. 2 des Bayrischen Datenschutzgesetzes die je nach der Art der zu schützenden Daten Maßnahmen für die
Sicherheitsziele definiert. Welche Maßnahmen dazu im Einzelnen erforderlich sind, darüber gibt das BayDSG keine Auskunft. Bei der schnellen technischen Fortentwicklung der maschinellen Datenverarbeitung wäre es auch wenig hilfreich gewesen, bestimmte Maßnahmen festzuschreiben, die nach kurzer Zeit nicht mehr dem Stand der Technik genügten. In der Fachliteratur sind aber mehr oder weniger umfangreiche Maßnahmenkataloge zu finden.
Bei der Definition geeigneter technischer und organisatorischer Maßnahmen ist in erster Linie zu berücksichtigen, dass der Gesetzgeber über alle Vorgaben den Grundsatz der Verhältnismäßigkeit gesetzt hat. Das Gebot zur Schaffung von Datensicherheitsmaßnahmen gilt nämlich nicht uneingeschränkt, vielmehr sind Maßnahmen nur dann erforderlich, wenn ihr Aufwand in einem angemessenen Verhältnis zum angestrebten Schutzzweck steht. Für den Anwender selbst ist eine Abschätzung dieses Verhältnismäßigkeitsgrundsatzes oft nicht einfach.
Als Maßstäbe können
dienen.
Es ist ferner schwierig zu erkennen, wie die mit der Sicherheit verbundenen Kosten dem Schutzzweck im Verhältnis zu setzen sind. Kosten-Nutzen-Analysen sind nicht immer problemlos und auch nicht frei von Risiken, da eintretende Schäden, insbesondere wenn sie immaterieller Art sind, in ihrem Umfang kaum bezifferbar vorauszusehen sind.
Am besten bewährt hat sich, dass sich die Maßnahmen an der Schutzwürdigkeit der zu schützenden Daten orientieren. Die Schutzwürdigkeit der Daten bestimmen einerseits die Bedrohung des Betroffenen bei Missbrauch oder Verlust seiner Daten (Anliegen des Datenschutzes) andererseits die Wiederbeschaffungskosten für die speichernde Stelle und die Beeinträchtigung der Funktionsfähigkeit einer Behörde bei Verlust der Daten (Frage der Datensicherheit). Dieses Prinzip ist auch auf personenbezogene Daten anwendbar. Die Sensibilität der Daten bestimmt der Umstand, ob bei Missbrauch oder Verlust der Daten, das Persönlichkeitsrecht, das Wohl oder das Leben des Betroffenen,
beeinträchtigt werden.
Es gibt eine Reihe von Institutionen, die ähnliche Konzepte entwickelt haben. Es gibt aber auch Kritiker dieses Modells, die die Ansicht vertreten, dass alle Daten gleich schutzwürdig sind und die Eingruppierung der Daten in Schutzklassen ablehnen. Bei realistischer Betrachtung wird man allerdings zu der Überzeugung gelangen: Unabhängig davon, wie viele Schutzkategorien gebildet werden, bietet ein solcher Ansatz eine sinnvolle und wirtschaftliche Vorgehensweise, den Aufwand für Sicherheitsmaßnahmen der Sensibilität der Daten anzupassen.
Zweck des Datenschutzgesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Beeinträchtigungen seiner Persönlichkeit können zur Verletzung seiner Privatsphäre, zu Belästigungen, zu Ruf- oder Geschäftsschädigungen und zur Verletzung existenzieller Grundlagen führen.
Bei der Prüfung, ob eine Datensicherheitsmaßnahme zur Erreichung des erforderlichen Schutzzwecks notwendig ist, sollte man daher stets von der Gefährdung ausgehen, die eine missbräuchliche Verwendung von Daten für den Einzelnen verursachen kann. Je stärker das Persönlichkeitsrecht verletzt werden kann, desto umfassendere technische und organisatorische Maßnahmen sind zur Verhinderung missbräuchlicher Datenverarbeitung angezeigt.
Bei der Auswahl der Datensicherheitsmaßnahmen ist stets darauf zu achten, dass das Datensicherheitskonzept in sich geschlossen und abgestimmt ist. Es macht wenig Sinn, wenn man bei einigen Kontrollbereichen starke, ja vielleicht sogar überzogene Maßnahmen vorschlägt und andere Kontrollbereiche außer Acht lässt, sodass das Gesamtsystem lückenhaft wird und seinen Schutzzweck nicht erfüllt. Mit anderen Worten ausgedrückt, alle 10 Kontrollbereiche sind zu untersuchen und gegebenenfalls durch geeignete Maßnahmen auszufüllen.
Zur Festlegung, welche Datensicherheitsmaßnahmen für welche Datenverarbeitung oder welche Datei zu ergreifen sind, empfiehlt es sich, folgendermaßen vorzugehen:
Bei der Definition von Sicherheitsmaßnahmen, insbesondere dann wenn man Maßnahmenkataloge zurate zieht, ist zu beachten, dass manche Maßnahmen gleiche Sachverhalte regeln, sich gegenseitig behindern oder durch andere Maßnahmen bereits abgedeckt sein können. Beziehen sich Maßnahmen beispielsweise auf ein Rechenzentrum als Ganzes, etwa baulichen Maßnahmen, so muss sich die Stärke der Maßnahmen an dem Verfahren mit der höchsten Schutzklasse orientieren. Hingegen gibt es bei bestimmten Sicherheitsmaßnahmen, etwa bei der Transportkontrolle, durchaus auch verfahrensbezogene Unterschiede.
Der nachfolgende Maßnahmenkatalog enthält weniger Einzelmaßnahmen als vielmehr Maßnahmenbündel, denen im Einzelfall Maßnahmen zuzuordnen sind. An dieser Stelle soll lediglich ein Überblick über die Sicherheitsbereiche gegeben werden.
Ziel der Zugangskontrolle ist es, mit Hilfe geeigneter Maßnahmen zu verhindern, dass Unbefugte Zugang zu solchen Datenverarbeitungsanlagen (auch PC und mobile Rechner) haben, mit denen personenbezogene Daten verarbeitet werden. Die Größe der Datenverarbeitungsanlage ist dabei unerheblich. Unter Zugang ist die Annäherung an DV-Anlagen mit der Möglichkeit zu verstehen, auf diese einzuwirken und/oder von Daten Kenntnis nehmen zu können.
Maßnahmen:
Ziel der Datenträgerkontrolle ist es, mit Hilfe geeigneter Verfahren zu verhindern, dass Datenträger mit personenbezogenen Daten unbefugt gelesen, kopiert, verändert oder entfernt werden können. Die Art des Datenträgers spielt dabei keine Rolle. Diese Kontrollart richtet sich insbesondere an die in der IT-Abteilung oder am PC tätigen Personen.
Maßnahmen:
Ziel der Speicherkontrolle ist es, mit geeigneten Maßnahmen sicherzustellen, dass personenbezogene Daten nur befugt gespeichert und gespeicherte personenbezogene Daten nur befugt zur Kenntnis genommen, verändert oder gelöscht werden können. Die Speicherung bezieht sich sowohl auf eine Aufnahme von Daten in den Hauptspeicher einer IT-Anlage als auch auf maschinell verarbeitbare Datenträger (Festplatten, CD, DVD etc.).
Maßnahmen:
Ziel der Benutzerkontrolle ist es, mit Hilfe geeigneter Maßnahmen zu verhindern, dass unbefugte Personen Datenverarbeitungssysteme, in denen personenbezogene Daten gespeichert werden, mit Hilfe von Einrichtungen der Datenübertragung nutzen können. Unbefugte sind all diejenigen Personen, die keine Berechtigung zur Ausführung dieser Tätigkeit besitzen.
Maßnahmen:
Ziel der Zugriffskontrolle ist es, mit Hilfe von geeigneten Maßnahmen sicherzustellen, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können.
Maßnahmen:
Ziel der Übermittlungskontrolle ist es, mit Hilfe geeigneter Maßnahmen gewährleisten zu können, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten durch Einrichtungen der Datenübertragung übermittelt werden können. Hier kommt es nicht auf die tatsächliche oder theoretisch mögliche, sondern auf die nach der Verfahrenskonzeption vorgesehene Übermittlung an (auch im Rahmen von automatisierten Abrufverfahren). Die Überprüfung und Feststellung muss nicht dauernd erfolgen, aber sie muss jederzeit möglich sein.
Maßnahmen:
Ziel der Eingabekontrolle ist es, mit Hilfe geeigneter Maßnahmen sicherzustellen, dass nachträglich die näheren Umstände einer Dateneingabe überprüft und festgestellt werden können. Die Überprüfung und Feststellung sollte nach erfolgter Eingabe anhand von Unterlagen möglich sein. Die Protokollierung der einzelnen Eingaben und deren Veranlasser wird nach dem BayDSG für den Regelfall allerdings nicht vorgeschrieben. Es sind jedoch Fälle denkbar, dass bei bestimmten Eingaben Veranlasser, Grund und Zeitpunkt mitgespeichert oder in einer personenbezogenen Protokolldatei abgespeichert werden.
Maßnahmen:
Ziel der Auftragskontrolle ist es, zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur nach den Weisungen des Auftraggebers verarbeitet werden.
Maßnahmen:
Ziel der Transportkontrolle ist es, zu verhindern, dass bei der Übertragung personenbezogener Daten sowie beim Transport von Datenträgern Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können.
Maßnahmen:
Ziel der Organisationskontrolle ist es, die innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Gemeint ist damit, dass sich der Datenschutz nicht an die Organisation, sondern die Organisation an den Datenschutz anpassen sollte.
Maßnahmen: