Das Schutzstufenkonzept im Datenschutz
Art und Umfang von Maßnahmen zum Datenschutz und zur Datensicherheit richten sich unter anderem nach der Schutzwürdigkeit der jeweiligen personenbezogenen Daten. Um im Einzelfall schnell entscheiden zu können, bietet sich ein Schutzstufenkonzept wie etwa das Modell des BSI an.
(Bild: Mathias Rosenthal / iStock / Thinkstock)
Jede Stelle, die personenbezogene Daten selbst oder im Auftrag erhebt, verarbeitet oder nutzt, muss entsprechende technische und organisatorische Vorkehrungen treffen, um das Bundesdatenschutzgesetz einzuhalten. So schreibt es der § 9 BDSG vor.
Der Wortlaut des Gesetzes ist dabei sehr allgemein gehalten. Er gibt zunächst keine näheren Hinweise auf Art und Inhalt der zu treffenden Maßnahmen. Hier hilft die Anlage zu § 9 Bundesdatenschutzgesetz (BDSG) weiter.
8 Vorgaben in der Anlage zu § 9 BDSG
Die Anlage macht acht Vorgaben, die durch technische und organisatorische Maßnahmen umzusetzen sind. Im Einzelnen muss Folgendes kontrolliert werden:
- Zutritt,
- Zugang und
- Zugriff auf Datenverarbeitungsanlagen
- Weitergabe von Daten
- Eingabe von Daten
- Auftragsdatenverarbeitung
- Verfügbarkeit von Daten
- Trennungsgebot
Der Aufwand muss im angemessenen Verhältnis zum Schutzzweck stehen
Sicherheitsmaßnahmen können erheblichen finanziellen und/oder zeitlichen Aufwand verursachen. Um den Aufwand im Rahmen des jeweils Zumutbaren zu halten, hat der Gesetzgeber selbst eine Einschränkung gemacht.
Diese findet sich in § 9 Satz 2. Erforderlich sind danach nur solche Vorkehrungen, bei denen der Aufwand in einem angemessenen Verhältnis zum angestrebten Schutzzweck steht.
Nur angemessene Maßnahmen für den Datenschutz nötig
Jedes Unternehmen muss anhand der acht Vorgaben überlegen, welche Maßnahmen für die jeweilige Datenverarbeitung getroffen werden müssen.
Es müssen nicht alle theoretisch möglichen, optimalen realisiert werden, sondern nur die im Einzelfall angemessenen.
Das „Ob“ steht nicht infrage, nur das „Wie“ der Schutzmaßnahmen
Eine Abwägung kann jedoch nur hinsichtlich des „Wie“ stattfinden, das „Ob“ steht nicht zur Disposition. So kann z.B. auf einen generellen Zugangsschutz zum Personalverwaltungssystem nicht mit dem Argument verzichtet werden, der zeitliche und/oder finanzielle Aufwand sei zu hoch. Welche Art des Zugangsschutzes wiederum gewählt wird – Passwort, Chipkarte, Biometrie –, muss anhand des Verhältnismäßigkeitsprinzips beantwortet werden.
Die Schutzbedürftigkeit entscheidet
Wenn Sie nun prüfen, welche konkreten Maßnahmen für den Datenschutz zu treffen sind, gehen Sie zunächst von der Schutzbedürftigkeit der jeweiligen Daten aus.
Die Schutzbedürftigkeit können Sie am einfachsten danach bewerten, wie hoch die Gefährdung des Persönlichkeitsrechts des Betroffenen bei einem eventuellen Missbrauch seiner personenbezogenen Daten ist.
Analysieren Sie das Risiko
Berücksichtigen Sie bei der Gefährdungs- und Missbrauchsanalyse folgende Aspekte:
- Vertraulichkeit der Daten: Handelt es sich um besondere Arten personenbezogener Daten bzw. ist eine Sensitivität aufgrund besonderer Umstände gegeben?
- Intensität der Datenverarbeitung: Werden Daten „nur“ gespeichert oder auch ausgewertet bzw. mit anderen Datenbeständen verknüpft?
- Verarbeitungssystem: PC oder Server-Anwendung, Anzahl der zugriffsberechtigten Personen, Einsatz von Dienstleistern etc.?
Wie hoch ist der Schaden?
Um das Potenzial der Gefährdung einschätzen zu können, hilft Ihnen folgende Frage weiter: Wie hoch ist der materielle und/oder immaterielle Schaden, der dem Betroffenen entsteht, wenn Unbefugte Zugriff auf personenbezogene Daten haben?
| Das Stufenmodell des BSI |
Das BSI geht von einem 3-Stufen-Modell aus (BSI-Standard 100-2 „IT-Grundschutz Vorgehensweise“, Kapitel 4.3 „Schutzbedarfsfeststellung“):
|
Die Risikoanalyse erfolgt oft in Abstimmung mit der EDV
Wird eine neue EDV-Anwendung in Betrieb genommen, so ist es Ihre Aufgabe als Datenschutzbeauftragter, in Abstimmung mit der EDV ein Datenschutz- und Datensicherungskonzept zu entwickeln.
Hierzu ist es notwendig, die Schutzbedürftigkeit der in der Anwendung zu verarbeitenden Daten festzustellen. In der Praxis ist die Situation häufig so, dass der Datenschutzbeauftragte derjenige ist, der diese Schutzbedarfsanalyse vornimmt.
Verantwortliche müssen die Schutzbedürftigkeit bestimmen, nicht Sie
Allerdings ist der Datenschutzbeauftragte oftmals gar nicht in der Lage, die Schutzbedürftigkeit korrekt festzustellen. Denn das obliegt dem Verantwortungsbereich desjenigen, der für die konkrete Anwendung die Fachverantwortung trägt.
Sie können aber beim Schutzstufenkonzept unterstützen
Wenn Sie auch die Schutzbedürftigkeit nicht allein bestimmen können, so können Sie den Kolleginnen und Kollegen doch eine Hilfestellung in Form eines Schutzstufenkonzepts an die Hand geben.
Ein solches Schutzstufenkonzept definiert unterschiedliche Kategorien der Schutzbedürftigkeit anhand des jeweiligen Schadenspotenzials:
Je höher der potenzielle Schaden, desto höher die Schutzbedürftigkeit und desto größer die Anforderungen an die jeweiligen Sicherheitsvorkehrungen.
Sie müssen das Rad nicht neu erfinden
Sie können sich bei der Erstellung eines solchen Schutzstufenonzepts an bereits vorhandenen Empfehlungen orientieren. So haben sowohl die Landesdatenschutzbeauftragten als auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) Vorschläge erarbeitet.
Der Schwächste gewinnt
Werden Daten unterschiedlicher Schutzstufen gemeinsam verarbeitet, müssen sich die Maßnahmen an den schutzbedürftigsten Daten orientieren.
Ein Schutzstufenkonzept kann auch empfindliche Unternehmensdaten ohne Personenbezug beinhalten. Statt auf einen Schaden des Betroffenen ist dann auf den Schaden für das Unternehmen abzustellen. Das Konzept des BSI sieht eine solche Ausweitung vor.
Fazit: Im Einzelfall hilft der Datenschutzbeauftragte
Jedes Schutzstufenkonzept kann nur eine allgemein gehaltene Empfehlung sein. Diese können Sie Ihren Kolleginnen und Kollegen für eine erste Einschätzung als Leitlinie für den Datenschutz geben.
Bei unklaren und insbesondere kritischen Fällen muss der Datenschutzbeauftragte zusammen mit den Fachverantwortlichen eine detaillierte Einordnung und Abwägung vornehmen.
| Das Stufenmodell der Landesdatenschutzbeauftragten für den Datenschutz |
Die Landesdatenschutzbeauftragten gehen von einem 4- bzw. 5-Stufen-Modell aus, das folgende Schutzbedürftigkeiten unterscheidet (Quelle: LDSB Niedersachsen):
|
Ass. jur. Heidi Schuster
Heidi Schuster ist Referentin für Datenschutz und IT-Sicherheit in der Generalverwaltung der Max-Planck-Gesellschaft und Lehrbeauftragte an der Hochschule München.