Schutzziele Datenschutz

Datensicherheit

Das Arbeiten mit dem Schutzziel hat sich im Prinzip durchgesetzt. Das Papier schlägt vor, sie in das Datenschutzgesetz und in die Datenschutzverträge einzubeziehen, sie als Richtlinien für die Gestaltung und den Einsatz von IT-Infrastrukturen zu verwenden und sie in Form von in Web Service Policies umgesetzten Verfahren wiederzugeben. WG "Technischer und organisatorischer Datenschutz": . Fassung 3.0e, Stand Mai 1992 DoD: Federrath, Hannes; Pfitzmann, Andreas: .

Im: Datenschutz und -sicherheit (DuD), 12/2000, S. 704-710 FIDIS: Forgo, Nikolaus; Krügel, Tina: Im: Datenschutz und -sicherheit (DuD), 12/2005, S. 732 ff. Zu: Alcassar, Ammar; Siekmann, Jörg (Hrsg.): Tagungsband SICHERHEIT 2008, LNI 128, Gesellschaft für Informationstechnologie, Bonn 2008, S. 1-15 Gräf, Lorenz: . Zu: Datenschutz und -sicherheit (DuD), 5/2003, S. 282-286 Habermas, Jürgen: .

Musikkapelle 1, Sohrkamp, Frankfurt am Main 1981; Hansen, Marit ; Meißner, Sebastian (Hrsg.): Hansen, Marit: User-controlled identity de l dentity par excellence : der Schlüssel zur Zukunft der Privatsphäre? Luhmann, Niklas: Luhmann, Frankfurt am Main 1984. West-Deutscher Verlagshaus, Berne 1988 Pfitzmann, Andreas: . Rost, Martin: Verknüpfbarkeit als Grundkonzept des Daten-Schutzes? Rost, Martin (Hrsg.): Datenschutz und Datensicherung (DuD), 10/2007, Rost, Martin: Wolf, Gritta; Pfitzmann, Andreas: .

Eingetragen in: Information Technology Spectrum, 2000/06, p. 173-191st Central Office for Information Security - ZSI (ed.): .

Grundlegende Datenschutzbestimmungen und Datensicherung

Mit der DSGVO wurden auch die Vorschriften zum Datenschutz und damit zu allen fachlichen und organisatorischen Massnahmen revidiert. Der folgende Beitrag, der Teil unserer Serie von grundlegenden Datenschutzbestimmungen ist, erläutert, welche Veränderungen an der "Sicherheit der Verarbeitung" für Firmen und Datenverantwortliche vorgenommen werden. Inwiefern ist die Informationssicherheit in der Basisdatenschutzverordnung festgeschrieben?

Zu den neuen Anforderungen an die "Sicherheit der Verarbeitung" gehören vor allem Artikel 5 Absatz 1 f) DSGVO und Artikel 32 DSGVO. Darüber hinaus vereinheitlichen weitere Vorschriften wie die §§ 24, 25, 36 DSGVO die Datenschutzbestimmungen. Inwiefern sind die fachlichen und betrieblichen Massnahmen reguliert? 9 BDSG einschließlich Anhang wird durch § 32 DSGVO abgelöst.

Diese Vorschrift enthält Hinweise zur Durchführung von technischen und organisatorischen Massnahmen und damit zur Datenschutz. Der erste Unterabsatz lautet: "Unter Beachtung des Standes der Wissenschaft, der Durchführungskosten und der Natur, des Anwendungsbereichs, der Bedingungen und des Zwecks der Bearbeitung sowie der verschiedenen Wahrscheinlichkeit und Ernsthaftigkeit des Gefährdungspotenzials für die Rechte und Grundfreiheiten der natürlichen Person ergreifen der Verwalter und der Verarbeiter angemessene Sicherheitsvorkehrungen, um ein dem jeweiligen Gefährdungsniveau zu gewährleisten;....".

Die im Anhang zu 9 BDSG aufgeführten konkreten Massnahmen sind in 32 Abs. 1 DSGVO nicht aufgeführt (ausgenommen Pseudonymisierungen und Verschlüsselungen). Ein Maßnahmenkatalog ist jedoch in 58 Abs. 3 des Gesetzentwurfs zum Bundesdatenschutzgesetz zu finden, der dem Anhang zu 9 BDSG sehr ähnlich ist und ihn erweitert.

Das Verfahren ist im Übrigen gleichbleibend, denn auch nach dem BDSG 9 BDSG inkl. Anhang ist festgelegt, dass die Ausgaben je nach Typ der zu schutzwürdigen Personendaten oder -kategorien in einem geeigneten Zusammenhang mit dem beabsichtigten Schutzziel zu sehen sein sollten. dass die getroffenen Massnahmen dem neuesten technischen Standard entsprechen und dass das bevorstehende Ereignis und seine Wahrscheinlichkeit bei der Bewertung berücksichtigt werden müssen.

Und was ist "state of the art"? Auch in der Basisdatenschutzverordnung ist nicht festgelegt, was unter "Stand der Technik" zu verstehen ist. Schon im Anhang zu 9 BDSG ist im letzen Absatz festgelegt, dass eine Chiffrierung dem "Stand der Technik" entspricht . Danach sollen die verfügbaren technischen Massnahmen gesammelt werden, die sich bereits in der Anwendung bewähren.

Der Ausdruck "Stand der Technik" bedeutet, dass dies eine aktuelle Beurteilung ist und dass der aktuelle Zustand immer wieder überprüft werden muss, um die Sicherheit der Daten garantieren zu können. die als Orientierungshilfe für die Entscheidungsträger für den aktuellen Entwicklungsstand der IT-Sicherheit dient.

Was ist die Bewertung eines "angemessenen Schutzniveaus"? Nach wie vor richtet sich das Datenschutzniveau nach dem Schutzbedürfnis der jeweiligen Person. Das Schutzbedürfnis sollte daher durch die Bestimmung des jeweiligen Schutzbedarfs der verschiedenen Personendaten bestimmt werden. Zunächst werden die typischen Schadensszenarien bestimmt und dann die Schutzbedürfnisse für die individuellen Personendaten abgeleit.

Die Unterteilung in Schutzkategorien hat sich bewiesen, wodurch beispielsweise eine Ausrichtung auf die Klassen des BSI-Standards 100-2 in "normal, "hoch" und "sehr hoch" sinnvoll sein kann. Die Bezeichnung "angemessen" basiert auf dem aktuellen Kenntnisstand, den Kosten der Umsetzung, der Natur und dem Ausmaß der Sachverhalte, dem Verwendungszweck sowie der verschiedenen Eintrittswahrscheinlichkeit und der Gefährdung der Rechte und Grundfreiheiten von natürlichen Menschen.

32 Abs. 1 DSGVO legt fest, dass die fachlichen und organisatorischen Massnahmen unter Beachtung des Gefährdungspotenzials der Persönlichkeitsrechte und -freiheiten zu treffen sind. Jetzt steht die Personendaten selbst im Mittelpunkt einer Risikobeurteilung. Die Ergebnisse einer Risikobeurteilung sind nicht nur für die Sicherheit der Informationen, sondern auch für die Folgenabschätzung des Datenschutzes von Bedeutung.

Gibt es auch Konkretes? 32 Abs. 1 a) DSGVO nennt Pseudonymisierungen und Verschlüsselungen als Massnahmen, die bei der Bearbeitung so weit wie möglich anzuwenden sind. Im Gesetzesentwurf zum deutschen Umsetzungsgesetz zur Datenschutz-Grundverordnung sind die folgenden Massnahmen aufgeführt: Zugriffskontrolle, Plattensteuerung, Speichersteuerung, Benutzersteuerung, Zugriffskontrolle (wahrscheinlich ist hier das Autorisierungskonzept gemeint), Übertragungssteuerung, Eingabesteuerung, Transportsteuerung, Recovery, Datensicherheit, Auftragskontrolle, Zugriffskontrolle, Trennkontrolle, Verschlüsselungsverfahren.

Was sind die Schutzziele in der DSGVO festgelegt? Artikel 32 Absatz 1 Buchstabe b des DSBER nennt vier Schutzziele, die bei der Behandlung von personenbezogenen Angaben zu gewährleisten sind. Aus der IT-Sicherheit sind die ersten drei Schutzziele bereits bekannt: Geheimhaltung, d.h. der Zugriff auf die Informationen ist für unbefugte Dritte nicht möglich. Unversehrtheit, d.h. keine Verfälschung der Angaben.

Erreichbarkeit, d.h. d. h. Informationen sind verfügbar, wenn sie benötigt werden. Die detaillierten Schutzziele finden Sie hier. Die " Resilienz " von Systemen und Diensten wird als neue Schutzzielsetzung genannt, obwohl auch hier keine weitere Begriffsbestimmung oder konkreten Massnahmen genannt werden. 32 Abs. 1 c) Die DSGVO schreibt vor, dass im Falle eines physikalischen oder fachlichen Ereignisses die personenbezogenen Angaben schnell wieder hergestellt werden müssen.

Die Verantwortlichen müssen dazu nicht nur ein Notfallmanagementsystem mit Notfallplänen oder entsprechenden Richtlinien aufstellen, sondern auch die Datenrettung regelmässig ausprobieren. Hierzu zählt vor allem die regelmässige Überprüfung, ob die erzeugten Sicherungen zur Rücksicherung verloren gegangener Dateien verwendet werden können. Inwiefern ist die Effektivität der gesammelten Massnahmen zu prüfen?

32 Abs. 1 d) DSGVO schreibt vor, dass nun auch die Effektivität der durchgeführten fachlichen und organisatorischen Massnahmen geprüft werden muss. Die Gesellschaft muss ein Vorgehen einführen, das die Effektivität der Massnahmen regelmässig überprüft und auswertet. 25 DSGVO ergänzt die Erfordernisse für fachliche und organisatorische Massnahmen um die beiden Forderungen: 1:

Beim Datenschutz durch Design (Datenschutz durch Technik) sollten Datenschutz und -sicherheit bereits bei der Konzeption und Weiterentwicklung von IT-Systemen Berücksichtigung finden. Zu vermeiden ist, dass die Anforderungen an Datenschutz und -sicherheit erst nach der Bereitstellung von IT-Systemen durch aufwändige Zusatzprogrammierung realisiert werden. Standardmäßig mit Datenschutz (datenschutzfreundliche Einstellungen) sollten IT-Systeme so eingestellt sein, dass nur die für den jeweiligen Verwendungszweck erforderlichen persönlichen Informationen bearbeitet werden.

Der Grund für diese Verordnung ist, dass viele Anwender nicht über genügend IT-Kenntnisse und daher keine Einstellung zum Datenschutz haben. Weil in 3a BDSG, der die Vermeidung von persönlichen Angaben und die Datenökonomie reguliert, standardisiert ist, dass Datenverarbeitungssysteme auf das Bestreben ausgerichtet sein müssen, möglichst wenig persönliche Angaben zu sammeln, zu bearbeiten oder zu verwenden.

38 Abs. 1 DSGVO schreibt ausdrücklich vor, dass der Beauftragte für den Datenschutz "ordnungsgemäß und zeitnah in alle Angelegenheiten des Schutzes persönlicher Daten" einbezogen werden muss. Ist dies im Betrieb noch nicht implementiert, muss ein Verfahren eingerichtet werden, das den Beauftragten für den Datenschutz in das Projekt einbindet. Darüber hinaus verlangt 35 DSGVO eine Umweltverträglichkeitsprüfung, wenn die Datenverarbeitung ein erhebliches Gefährdungspotenzial für die Rechte und Pflichten nat.

Dies ist beispielsweise für IT-Systeme vorstellbar, die spezielle personenbezogene Informationen aufbereiten. Gemäß 36 DSGVO ist auch die Aufsichtsstelle zu konsultieren, wenn die Umweltverträglichkeitsprüfung zeigt, dass die Verarbeitung von Informationen ohne Massnahmen ein grosses Sicherheitsrisiko darstellt. Mit welchen Strafen könnte man bei mangelnder Sicherheit der Informationen rechnen? Mit der DSGVO ändert sich das. Werden unzulängliche oder unangemessene fachliche und organisatorische Massnahmen getroffen, fehlen eine Wirkungsabschätzung oder ausreichend Tests/Dokumentationen, kann eine Geldstrafe von max. 10 Mio. EUR oder bis zu max. 2% des weltweiten Umsatzes verhängt werden.

Ja, der Sachbearbeiter hat die Beachtung des Datenschutzes gemäß 5 Abs. 2 DSGVO zu sichern und nachzuweisen. Auf der Grundlage des Merkblattes des Bayrischen Landesamts für Datenschutz zu Paragraph 32 wird das folgende Verfahren empfohlen: Zur Erleichterung der Implementierung dieser Vorgaben werden wir Sie regelmässig über die Implementierung der einzelnen Elemente unserer Serie "ISMS & DSGVO" unterrichten.