Technisch-organisatorische Maßnahmen: Das gehört ins Datensicherheitskonzept

➧ Was sagt die DSGVO zu den sogenannten TOMs?

Datenschutzkonzepte für die Sicherheit der Verarbeitung personenbezogener Daten dienen insbesondere der Umsetzung von Artikel 32 Datenschutz-Grundverordnung (DSGVO). In der DSGVO findet man aber keine umfangreiche Liste an sogenannten TOMs (technisch-organisatorische Maßnahmen), an der man sich orientieren könnte, wenn man Maßnahmen plant, um neue Bedrohungslagen zu adressieren oder neue, digitale Technologien in das Schutzkonzept aufzunehmen.

Anders ist dies im Bundesdatenschutzgesetz (BDSG). Hier findet sich eine Liste von TOMs in § 64 BDSG, die Datenschutzbeauftragten und Unternehmen sowie Behörden Orientierung bieten kann.

➧ Welche TOMs nennen DSGVO und BDSG?

Die DSGVO besagt in Artikel 32, dass die Maßnahmen für die Sicherheit der Verarbeitung „unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen“ zu treffen sind. Das soll ein dem Risiko angemessenes Schutzniveau gewährleisten.

DSGVO: wenige konkrete Maßnahmen

Die DSGVO nennt dabei nicht viele konkrete TOMs. Zu finden ist nur die Forderung

• nach Pseudonymisierung und Verschlüsselung personenbezogener Daten,
• nach Fähigkeiten, um die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen,
• nach der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, sowie
• nach einem Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

BDSG: Liste von TOMs

Für die notwendige Risikobewertung neuer Bedrohungslagen oder Technologien kann es aber hilfreich sein, Abhilfemaßnahmen anhand einer Liste von TOMs strukturiert zu prüfen und zu überlegen. Welche TOMs dies sein können, dazu bietet § 64 BDSG eine Übersicht:

1. Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle)
2. Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern (Datenträgerkontrolle)
3. Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle)
4. Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle)
5. Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben (Zugriffskontrolle)
6. Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle)
7. Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind (Eingabekontrolle)
8. Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden (Transportkontrolle)
9. Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellbarkeit)
10. Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit)
11. Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität)
12. Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle)
13. Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle)
14. Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können (Trennbarkeit)

Im Vergleich zur früher bekannten Anlage zu § 9 Satz 1 BDSG-alt nennt das aktuelle BDSG neue Datenschutzkontrollen, die bei der Umsetzung der DSGVO hilfreich sein können.

➧ Wie helfen die TOMs bei der Umsetzung der DSGVO?

Die genannten TOMs unterteilen die notwendigen Datenschutzkontrollen genauer und strukturierter. Das ist positiv für die Vorbereitung, Umsetzung und Überwachung der Kontrollen. Die TOMs berücksichtigen auch konkret Forderungen, die bei der Umsetzung der DSGVO nach Artikel 32 zu beachten sind:

• Verantwortliche müssen gewährleisten, dass sie eingesetzte Systeme im Störungsfall wiederherstellen können (Wiederherstellbarkeit).
• Sie müssen gewährleisten, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit).
• Sie müssen gewährleisten, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität).

Deshalb ist es sinnvoll, die Struktur der TOMs zu nutzen, um die Sicherheit der Verarbeitung nach DSGVO zu planen.

➧ Warum sind Wiederherstellbarkeit, Zuverlässigkeit und Datenintegrität so zentral?

Nicht nur die Cyber-Angriffe mit Ransomware haben gezeigt, dass viele Unternehmen und Behörden nach Attacken und Störungen nicht über geeignete Maßnahmen für die Wiederherstellbarkeit verfügen. Deshalb fordert dies die DSGVO ganz konkret.

Leider kommt es auch immer wieder zu Mängeln in der Zuverlässigkeit bei IT-Systemen und bei der Datenintegrität. Das zeigen Datenpannen durch Systemausfälle und Manipulationen an Daten durch unbefugte Dritte immer wieder.

Hier gilt es, unbedingt nachzubessern – nicht nur, aber auch für die Einhaltung der DSGVO. Nutzen Sie deshalb die komplette Liste der TOMs als Orientierungshilfe, um die Vollständigkeit Ihres Datensicherheitskonzepts zu prüfen.

Oliver Schonschek