VOLLTEXTSUCHE
Fachartikel, 12.06.2009
Datenschutz-Konzept
Daten nach Schutzbedürftigkeit klassifizieren
Welche Informationen und Daten welche Art von Datenschutz- und Datensicherungsmaßnahmen in welchem Umfang erfordern, ist unter anderem davon abhängig, wie schutzwürdig die jeweiligen Daten sind. Um im Einzelfall schnell entscheiden zu können, bietet sich ein Schutzkonzept, das sich an dem 3-Stufen-Modell des Bundesamts für Sicherheit in der Informationstechnik (BSI) orientiert.
Jede Stelle, die personenbezogene Daten selbst oder im Auftrag erhebt, verarbeitet oder nutzt, muss entsprechende technische und organisatorische Manahmen treffen, um das Bundesdatenschutzgesetz (BDSG) einzuhalten. So schreibt es der 9 BDSG vor.
Der Wortlaut des Gesetzes ist allerdings sehr allgemein gehalten und gibt zunchst keine nheren Hinweise auf Art und Inhalt der zu treffenden Manahmen. Hier hilft die Anlage zu 9 BDSG weiter. Die Anlage macht acht Vorgaben, die durch technische und organisatorische Manahmen umzusetzen sind. Im Einzelnen muss Folgendes kontrolliert werden:
  • Zutritt,
  • Zugang und
  • Zugriff auf Datenverarbeitungsanlagen
  • Weitergabe von Daten
  • Eingabe von Daten
  • Auftragsdatenverarbeitung
  • Verfgbarkeit von Daten
  • Trennungsgebot

Weil Sicherheitsmanahmen jedoch einen erheblichen finanziellen und/oder zeitlichen Aufwand verursachen knnen, hat der Gesetzgeber, um den Aufwand im Rahmen des jeweils Zumutbaren zu halten, selbst eine Einschrnkung gemacht. Diese findet sich in 9 Satz 2. Erforderlich sind danach nur solche Manahmen, bei denen der Aufwand in einem angemessenen Verhltnis zum angestrebten Schutzzweck steht.

Nur angemessene Schutzmanahmen ntig

Jedes Unternehmen muss anhand der acht Vorgaben berlegen, welche Manahmen fr die jeweilige Datenverarbeitung getroffen werden mssen. Es mssen nicht alle theoretisch mglichen, optimalen Manahmen realisiert werden, sondern nur die im Einzelfall angemessenen.

„Ob“ Schutzmanahmen durchzufhren sind, indes steht nicht zur Frage, sondern nur das „Wie“. So kann zum Beispiel auf einen generellen Zugangsschutz zum Personalverwaltungssystem nicht mit dem Argument verzichtet werden, der zeitliche und/oder finanzielle Aufwand sei zu hoch. Welche Art des Zugangsschutzes wiederum gewhlt wird – Passwort, Chipkarte, Biometrie –, muss anhand des Verhltnismigkeitsprinzips beantwortet werden.

Entscheidend ist die Schutzbedrftigkeit

Wenn Sie nun prfen, welche konkreten Manahmen zu treffen sind, gehen Sie zunchst von der Schutzbedrftigkeit der jeweiligen Daten aus. Die Schutzbedrftigkeit knnen Sie am einfachsten danach bewerten, wie hoch die Gefhrdung des Persnlichkeitsrechts des Betroffenen bei einem eventuellen Missbrauch seiner personenbezogenen Daten ist.

Entscheidend im Rahmen der Gefhrdungs- und Missbrauchsanalyse sind insbesondere folgende Aspekte:

  • Vertraulichkeit der Daten: Handelt es sich um besondere Arten personenbezogener Daten bzw. ist eine Sensitivitt aufgrund besonderer Umstnde gegeben?
  • Intensitt der Datenverarbeitung: Werden Daten „nur“ gespeichert oder auch ausgewertet bzw. mit anderen Datenbestnden verknpft?
  • Verarbeitungssystem: PC oder Server-Anwendung, Anzahl der zugriffsberechtigten Personen, Einsatz von Dienstleistern etc.?

Um das Potenzial der Gefhrdung einschtzen zu knnen, hilft Ihnen folgende Frage weiter: Wie hoch ist der materielle und/oder immaterielle Schaden, der dem Betroffenen entsteht, wenn Unbefugte Zugriff auf personenbezogene Daten haben?

Schutzbedarfsfeststellung nach dem Modell des BSI bzw. der DSB

Das Bundesamt fr Sicherheit in der Informationstechnik (BSI) geht bei der Klassifizierung der Schutzbedrftigkeit von Daten von einem 3-Stufen-Modell aus (BSI-Standard 100-2 „IT-Grundschutz Vorgehensweise“, Kapitel 4.3 „Schutzbedarfsfeststellung“):

  • normal: Die Schadensauswirkungen sind begrenzt und berschaubar.
  • hoch: Die Schadensauswirkungen knnen betrchtlich sein.
  • sehr hoch: Die Schadensauswirkungen knnen ein existenziell bedrohliches, katastrophales Ausma erreichen.

Die Landesdatenschutzbeauftragten (DSB) dagegen gehen von einem 4- bzw. 5-Stufen-Modell aus, das folgende Schutzbedrftigkeiten unterscheidet (Quelle: LDSB Niedersachsen):

  • Stufe A: frei zugngliche Daten, in die Einsicht gewhrt wird, ohne dass der Einsichtnehmende ein berechtigtes Interesse geltend machen muss, z.B. Daten, die die verantwortliche Stelle im Internet oder in Broschren verffentlicht bzw. aus ffentlich zugnglichen Quellen erlangt hat.
  • Stufe B: personenbezogene Daten, deren Missbrauch zwar keine besondere Beeintrchtigung erwarten lsst, deren Kenntnisnahme jedoch an ein berechtigtes Interesse des Einsichtnehmenden gebunden ist, z.B. interne Telefon-Durchwahlnummern, interne Zustndigkeiten. (Diese Stufe fehlt i.d.R. beim 4-Stufen-Modell.)
  • Stufe C: personenbezogene Daten, deren Missbrauch den Betroffenen in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhltnissen beeintrchtigen kann (Stichwort: Beeintrchtigung des Ansehens), z.B. Daten ber Vertragsbeziehungen, Hhe des Einkommens, etwaige Sozialleistungen, Ordnungswidrigkeiten.
  • Stufe D: personenbezogene Daten, deren Missbrauch die gesellschaftliche Stellung oder die wirtschaftlichen Verhltnisse des Betroffenen erheblich beeintrchtigen kann (Stichwort: soziale Existenz), z.B. Unterbringung in Anstalten, Strafflligkeit, dienstliche Beurteilungen, psychologisch-medizinische Untersuchungsergebnisse, Schulden, Pfndungen, Insolvenzen.
  • Stufe E: Daten, deren Missbrauch Gesundheit, Leben oder Freiheit des Betroffenen beeintrchtigen kann (Stichwort: physische Existenz), z.B. Adressen von verdeckten Ermittlern, Adressen von Personen, die mgliche Opfer einer Straftat sein knnen.

Risikoanalyse in Abstimmung mit der IT

Wird beispielsweise eine neue EDV-Anwendung in Betrieb genommen, ist es Ihre Aufgabe als Datenschutzbeauftragter (DSB), in Abstimmung mit der EDV ein Datenschutz- und Datensicherungskonzept zu entwickeln. Hierzu ist es notwendig, die Schutzbedrftigkeit der in der Anwendung zu verarbeitenden Daten festzustellen.

In der Praxis ist die Situation hufig so, dass der DSB derjenige ist, der diese Schutzbedarfsanalyse vornimmt. Allerdings ist der Datenschutzbeauftragte oftmals gar nicht in der Lage, die Schutzbedrftigkeit korrekt festzustellen. Denn das obliegt dem Verantwortungsbereich desjenigen, der fr die konkrete Anwendung die Fachverantwortung trgt.

Wenn Sie auch die Schutzbedrftigkeit nicht allein bestimmen knnen, so knnen Sie den Kolleginnen und Kollegen doch eine Hilfestellung in Form eines Konzepts an die Hand geben. Ein solches Schutzstufenkonzept definiert unterschiedliche Kategorien der Schutzbedrftigkeit anhand des jeweiligen Schadenspotenzials: Je hher der potenzielle Schaden, desto hher die Schutzbedrftigkeit und desto grer die Anforderungen an die jeweiligen Sicherheitsmanahmen.

Werden Daten unterschiedlicher Schutzstufen gemeinsam verarbeitet, mssen sich die Manahmen an den schutzbedrftigsten Daten orientieren. Ein Schutzstufenkonzept kann auch empfindliche Unternehmensdaten ohne Personenbezug beinhalten. Statt auf einen Schaden des Betroffenen ist dann auf den Schaden fr das Unternehmen abzustellen. Das Konzept des BSI sieht eine solche Ausweitung vor.

Jedoch mssen Sie das Rad nicht neu erfinden: Sie knnen sich bei der Erstellung eines solchen Konzepts an bereits vorhandenen Empfehlungen orientieren. So haben sowohl die Landesdatenschutzbeauftragten als auch das Bundesamt fr Sicherheit in der Informationstechnik (BSI) Vorschlge erarbeitet.

Fazit

Jedes Schutzbedarfskonzept kann nur eine allgemein gehaltene Empfehlung sein. Diese knnen Sie Ihren Kolleginnen und Kollegen fr eine erste Einschtzung als Leitlinie geben. Bei unklaren und insbesondere kritischen Fllen mssen Sie als Datenschutzbeauftragter zusammen mit den Fachverantwortlichen eine detaillierte Einordnung und Abwgung vornehmen.

QUERVERWEIS
Fachmagazin
Datenschutz PRAXIS
Sichern Sie sich fundiertes Know-how zu allen Kernaufgaben, Anforderungen und gesetzlichen Vorgaben im Datenschutz, übersichtlich und strukturiert vermittelt, und holen Sie sich von Experten wertvolle Hilfestellungen für 1A-Sicherheitskonzepte.
Weitere Informationen zu Datenschutz PRAXIS
ZUM AUTOR
ber Datenschutz PRAXIS c/o WEKA MEDIA GmbH & Co. KG
Die WEKA MEDIA GmbH & Co. KG ist ein Anbieter von multimedialen Fachinformations-Lösungen im Business-to-Business- und Business-to-Government-Bereich. Das Spektrum reicht von Software-, Online- und Printprodukten über E-Learning-Angebote und eine modular aufgebaute, Internet-basierte Großkundenlösung bis hin zu Seminaren, ...
Datenschutz PRAXIS c/o WEKA MEDIA GmbH & Co. KG
Römerstraße 4
86438 Kissing

+49-8233-230
WEITERE ARTIKEL DIESES AUTORS
Die Wolke als Sicherheitskäfig
Clouds gelten als potenzielles Sicherheitsrisiko. Doch richtig eingesetzt, können sie dabei helfen, ... mehr

ANDERE ARTIKEL AUS DIESEM RESSORT
SUCHE
Volltextsuche





Profisuche
Anzeige
PRESSEFORUM MITTELSTAND
Pressedienst
LETZTE UNTERNEHMENSMELDUNGEN
Anzeige
BRANCHENVERZEICHNIS
Branchenverzeichnis
Kostenlose Corporate Showrooms inklusive Pressefach
Kostenloser Online-Dienst mit hochwertigen Corporate Showrooms (Microsites) - jetzt recherchieren und eintragen! Weitere Infos/kostenlos eintragen
EINTRGE
PR-DIENSTLEISTERVERZEICHNIS
PR-Dienstleisterverzeichnis
Kostenlos als PR-Agentur/-Dienstleister eintragen
Kostenfreies Verzeichnis fr PR-Agenturen und sonstige PR-Dienstleister mit umfangreichen Microsites (inkl. Kunden-Pressefchern). zum PR-Dienstleisterverzeichnis
BUSINESS-SERVICES
© novo per motio KG