Ein historischer Moment für den Datenschutz?

Sachliche Grundlage

Ausgangspunkt ist die Beauftragung eines externen Dienstleisters als sog. Auftragsdatenverarbeiter mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten. Dies setzt einen schriftlichen Vertrag zwischen den Parteien voraus. Die gesetzliche Grundlage hierzu (Bundesdatenschutzgesetz BDSG) schreibt eine Vielzahl von Einzelheiten vor, die zum Schutz der personenbezogenen Daten explizit in diesem Vertrag benannt und festgelegt werden müssen. Besonders relevant sind dabei auch die Datensicherheitsmaßnahmen (technische und organisatorische Maßnahmen), die vom Dienstleister zum Schutz der Daten getroffen werden müssen. All diese Maßnahmen müssen konkret und spezifisch festgelegt werden – sind sie jedoch löchrig, etwa wenn die korrekte Festlegungen zu unzureichend ist, eröffnet sich die Möglichkeit eines Ordnungswidrigkeitsverfahrens, welches mit einer Geldbuße von bis 50.000,- € geahndet werden kann.

Zum Sachverhalt

Nun verhängte das BayLDA gegen ein Unternehmen eine Geldbuße in fünfstelliger Höhe. Die Grundlage hierfür sah das Landesamt in den schriftlichen Aufträgen des Unternehmens mit mehreren externen Dienstleistern. In diesen legte die Firma nur unzureichend den Schutz der Daten durch Datensicherheitsmaßnahmen dar. Die Angaben zu den erforderlichen Maßnahmen enthielten nur Wiederholungen des Gesetzes und pauschale Aussagen – nicht jedoch konkrete Maßnahmen. Richtigerweise ist dies unzureichend. Grund hierfür ist, dass ich die datenschutzrechtliche Verantwortung auch bei der Einschaltung von externen Dienstleistern, beim Auftraggeber liegt. Auch unterliegt der Auftraggeber einer Kontrollpflicht hinsichtlich der Datensicherheitsmaßnahmen gegenüber dem Dienstleister. Um all dies gewährleisten zu können, müssen die festgelegten technisch-organisatorischen Maßnahmen in dem abzuschließenden schriftlichen Auftrag spezifisch festgelegt werden. Allein dadurch kann der Auftraggeber seiner Kontrollpflicht nachkommen und beurteilen, ob die personenbezogenen Daten bei seinem Auftragnehmer z.B. gegen Auslesen oder Kopieren durch Unbefugte, gegen Verfälschung oder sonstige unberechtigte Abänderung oder gegen zufällige Zerstörung geschützt sind.

Stellungnahme des BayLDA

„Augen auf beim Einbinden von Dienstleistern. Jeder Auftraggeber muss wissen und gegebenenfalls auch prüfen, was sein Auftragnehmer mit den Daten macht.“, appelliert Thomas Kranig, der Präsident des BayLDA an die Auftraggeber. „Die Datensicherheitsmaßnahmen müssen konkret und spezifisch im Vertrag festgelegt werden. Unspezifische oder pauschale Beschreibungen reichen nicht aus. Wir werden auch künftig in geeigneten Fällen Verstöße in diesem Bereich mit Geldbußen ahnden.“

Fazit

Datenschutzrechtliche Themen sind oftmals sehr komplex. Welche vertraglichen Festlegungen bzgl. der Datensicherheitsmaßnahmen getroffen werden müssen, kann nicht ohne Einzelfallbetrachtung des jeweiligen Dienstleisters und den von diesem zum Einsatz gebrauchten Datenverarbeitssystemen beantwortet werden. Der gesetzliche Maßstab im Bezug auf die Datensicherheitsmaßnahmen bemisst sich nach § 9 BDSG. In dieser Norm werden Maßnahmen in den Bereichen Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits- und Trennungskontrolle verlangt. Grundsätzlich muss der schriftliche Auftrag daher also spezifische Festlegungen zu diesen Fragen enthalten. Weiterhin bietet das BayLDA einen Leitfaden (ausgehend von § 11 BDSG) für diese Fragestellung.

Abschließend setzt das BayLDA mit dieser Entscheidung ein klares Signal: Nicht nur fehlender, sondern auch unzureichender Datenschutz bei der Verarbeitung von personenbezogenen Daten wird verfolgt und bestraft. Die Festsetzung in der Höhe des Bußgeldes, sowie die Aussage von Thomas Kranig verdeutlichen nochmals die Wichtigkeit der Einhaltung des BDSG. Insofern sorgte das BayLDA für einen historischen Moment im Themenfeld Datenschutz und Datensicherheit.

__

Bildquelle

Pixabay (CCO Public Domain)

__

Für die Sicherung personenbezogener Daten (wie Name, Adresse, Kennzeiche, etc.) hat der Gesetzgeber einen besonderen Katalog erstellt, der genau beschreibt, welche technischen und organisatorischen Maßnahmen getroffen werden müssen, um einen Mindestschutz gewährleisten zu können. In der inhaltlichen Konkretisierung jedoch steht es jedem Unternehmen frei, wie es diese Maßnahmen umsetzt.

Jedes Unternehmen, das personenbezogene Daten verarbeitet, ist verpflichtet, technische oder organisatorische Maßnahmen umzusetzen, mit diesen folgende Ziele erreicht werden:

1. Zutrittskontrolle (nur räumlich zu verstehen)

Unbefugten ist der Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden,  zu verwehren

Beispiel für die Umsetzung:   Abgeschlossener Serverraum, keine Kennzeichnung desselben, Schlüsselbuch etc.

2. Zugangskontrolle

Unbefugte dürfen Datenverarbeitungssysteme nicht nutzen können; sie dürfen erst gar keine Möglichkeit erhalten, in diese Systeme eindringen zu können.

Beispiel für die Umsetzung: Nutzerkennung, Sichtbarkeit von Netzlaufwerken oder bestimmter Programme

3. Zugriffskontrolle

Berechtigte eines Datenverarbeitungssystems dürfen ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können. Personenbezogene Daten dürfen bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden.

Beispiel für die Umsetzung: Rollenkonzept, Verwaltung von Zugriffsrechte (Überwachung und Protokollierung derselben)

4. Weitergabekontrolle

Personenbezogene Daten dürfen bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden. Es muss überprüft und festgestellt werden können, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

Beispiel für die Umsetzung: Verschlüsselte USB-Stifte (beziehungsweise die Sperrung von USB-Schnittstellen), Daten-DVDs beziehungsweise CDs, verschlüsselte externe Festplatten und Festplatten in Laptops, verschlüsselte Speicher(chips) auf mobile Endgeräte, wie Smartphones etc.; Übermittlungsprotokolle, Logfiles, elektronische Signatur, Tunnelverschlüsselung (VPN).

5. Eingabekontrolle

Es muss nachträglich überprüft und festgestellt werden können, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.

Beispiel für die Umsetzung: Nachvollziehbare Dokumentation der Datenverwaltung und Pflege durch Logfiles.

6. Auftragskontrolle

Personenbezogene Daten, die im Auftrag verarbeitet werden, dürfen nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.

Beispiel für die Umsetzung: Regelung der Weisungsbefugnis in der Auftragsdatenverarbeitungsvereinbarung (ADV, gem. §11 BDSG); Kontrolle der vertraglich vereinbarten Prozesse.

7. Verfügbarkeitskontrolle

Personenbezogene Daten sind gegen zufällige Zerstörung oder Verlust zu schützen.

Beispiel für die Umsetzung: Datenspiegelung (RAID-Verfahren), Recoverysystem, unabhängige Stromversorgung (USV), getrennte Aufbewahrung, Notfallplan, Virenschutz etc.

8. Gebot der Datentrennung

Daten, die zu unterschiedlichen Zwecken erhoben wurden, sind auch getrennt voneinander zu verarbeiten.

Beispiel für die Umsetzung: CRM-Systeme; Funktionstrennung (Produktion und Testsystem)

Fazit:

Wichtig: Konkrete Umsetzungsmaßnahmen werden bewusst nicht genannt. Diese obliegen allein den Unternehmen selbst. An dieser Stelle räumt der Gesetzgeber einen nicht unwesentlichen Gestaltungsspielraum ein! Es gibt kein Absolutum! Folge: Der Unternehmer kann den Schutzzweck in Relation zum Umfang der Datensicherungsmaßnahmen setzen. D. h. ist der Schutzzweck relativ niedrig, so bedarf es auch geringere Aufwände bei der Datensicherung, was bei einem intelligenten Konzept enorme Kosten für das Unternehmen sparen kann.

Ein zweiter Tipp: Erheben Sie ausschließlich die Daten, die Sie unbedingt benötigen. Je mehr Daten Sie erheben, desto höher steigen die gesetzlichen Anforderungen an die Datensicherheit! Ein Pseudonym ist z. B. weniger schützenswert als z. B. ein Klarnamen.