Maßnahmen Datenschutz und Datensicherheit

Datenschutz- und Datensicherheitsmaßnahmen

mw-headline" id="Accrual_technical_and_organizational">Definition technische und organisatorische Nach § 9 des Bundesdatenschutzgesetzes (BDSG) sind alle Personen, die persönliche Angaben bearbeiten, sammeln oder verwenden, dazu angehalten, die technischen und/oder organisatorischen Maßnahmen (kurz TOM) zu ergreifen, um die Sicherheits- und Schutzbedürfnisse des BDSG zu erfüllen. Unter Checkliste können Sie eine Checkliste zur Beurteilung und Überprüfung der notwendigen Maßnahmen nachlesen.

Das System legt fest, in welchen Bereichen Schutzmassnahmen zu treffen sind. Dies bedeutet Maßnahmen, um zu vermeiden, dass Unberechtigte Zugang (räumlich verstanden) zu Datenverarbeitungssystemen erlangen, mit denen persönliche Informationen aufbereitet werden. Es handelt sich dabei um Maßnahmen zur Verhinderung der Nutzung von Datenverarbeitungssystemen durch Unberechtigte, wenngleich der Begriff "Nutzung" nicht auf die gesetzliche Definition des 3 Abs. 5 BDSG begrenzt ist.

Dabei ist sicherzustellen, dass die zur Verwendung von Datenverarbeitungssystemen befugten Benutzer nur auf den Inhalt Zugriff haben, für den sie befugt sind, und dass persönliche Angaben während der Bearbeitung und Verwendung sowie nach der Aufbewahrung nicht unberechtigt vervielfältigt, geändert oder entfernt werden können. Dabei ist zu verhindern, dass persönliche Angaben bei der Datenübermittlung, beim Versand oder bei der Aufbewahrung auf Datenträger unberechtigt ausgelesen, vervielfältigt, geändert oder entfernt werden können und an welchen Punkten diese Angaben im Datenverarbeitungssystem übermittelt werden können.

Dabei ist sicherzustellen, dass im Nachhinein geprüft werden kann, ob und von wem persönliche Angaben erfasst, geändert oder entfernt wurden. Die Verarbeitung personenbezogener Kundendaten muss entsprechend den Anweisungen des Kunden erfolgen. Der Schutz personenbezogener Informationen vor unbeabsichtigter Vernichtung oder unbeabsichtigtem Zugriff muss gewährleistet sein.

Selbstverständlich können die für verschiedene Zwecke erhobenen personenbezogenen Informationen separat bearbeitet werden. Das bedeutet, dass persönliche Angaben nicht unbegrenzt zu schützen sind, wenn die Maßnahmen ökonomisch nicht angemessen hoch wären. Hieraus kann abgeleitet werden, dass bei der Auftragsdatenbearbeitung (ADV) der Leistungserbringer, der nur einen Teil der zur Verarbeitung bestimmten Angaben entgegennimmt, nicht unbedingt die selben Schutzmassnahmen ergreifen muss wie z.B. die Träger.

Weil sie in der Regel nur einen Teil der Informationen abrufen (oder abrufen können), ist dies auch dann nicht erforderlich, wenn die Informationen als vertraulich anzusehen sind (Kontonummern, Kreditkartentransaktionen). Dies fragmentiert die einheitliche Sprachregelung zwischen IT-Sicherheitsbeauftragten und Datenschutzverantwortlichen.