Konzentrieren Sie sich aufs Wesentliche
Profitieren Sie von kurzen, kompakten und verständlichen Beiträgen.
IT-Sicherheitsmanagement im PDCA-Zyklus organisieren
DP+
Datenschutz-Grundverordnung
Datenschutz gelingt in der Praxis nur dann, wenn technisch-organisatorische Maßnahmen (TOMs) personenbezogene Daten gegen unbefugten Zugriff, Manipulation und Verlust schützen. Das galt für das Bundesdatenschutzgesetz (BDSG) und gilt zukünftig für die Datenschutz-Grundverordnung (DSGVO). Die DSGVO verankert die TOMs indessen noch tiefer im Unternehmen, v.a. durch die Rechenschaftspflicht. Lesen Sie, wie sich die DSGVO-Vorgaben an die „Sicherheit der Verarbeitung“ in einem P(lan)-D(o)-C(heck)-A(ct)-Zyklus organisieren lassen.
Den Verantwortlichen einer Verarbeitung von personenbezogenen Daten trifft nach der DSGVO eine ganze Reihe von Prüf-, Informations-, Hinweis-, Aufklärungs-, Umsetzungs- und Kontrollpflichten (siehe dazu genauer „Aufgaben im PDCA-Zyklus organisieren“).
Dafür, dass er diese Pflichten erfüllt, ist er rechenschaftspflichtig, d.h. er muss die Umsetzung nachweisen können (siehe „Anforderungen an ein Datenschutz-Management-System“). Damit erfordert die DSGVO im Ergebnis ein betriebliches Datenschutz-Management-System (DSMS), das sich – basierend auf einem kontinuierlichen Verbesserungsprozess – idealerweise ständig weiterentwickelt.
Teil dieses Management-Systems sind notwendigerweise technisch-organisatorische Maßnahmen (TOM).
TOM-Regelungen in der DSGVO
Die DSGVO regelt TOMs an unterschiedlichen Stellen oder nimmt Bezug auf sie. Die wesentlichen Vorgaben finden Sie hier:
- Art. 5 Abs. 1 Buchst. f DSGVO: Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten
- Art. 24 DSGVO: Verantwortung des für die Verarbeitung Verantwortlichen
- Art. 25 DSGVO: Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen
- Art. 28 DSGVO: Auftragsverarbeitung
- Art. 32 DSGVO: Sicherheit der Verarbeitung
- Art. 35 DSGVO: Datenschutz-Folgenabschätzung
Relevant sind TOMs darüber hinaus im Rahmen der vorherigen Konsultation (Art. 36 DSGVO), bei Verhaltensregeln (Art. 40 DSGVO) und bei Zertifizierungen (Art. 42 DSGVO).
DSGVO-Anforderungen an TOM-Vorgaben im Unternehmen
Die DSGVO stellt hohe Anforderungen daran, wie TOMs im Unternehmen umzusetzen sind. …
Weiterlesen mit DP+
Sie haben noch kein Datenschutz-PRAXIS-Abo und möchten weiterlesen?
Verfasst von
Peer Lambertz
Peer Lambertz ist Rechtsanwalt und Datenschutz-Experte.
zu den Kommentaren
