Kundenservice: Tel +43.1.97000-100 • kundenservice@forum-media.at
© WEKA Business Solutions GmbH
A-1200 Wien, Dresdner Straße 45
E-Mail: kundenservice@forum-media.at
drucken
Primäres Ziel der DSGVO ist der Schutz von personenbezogenen Daten. Dabei liegt den definierten Schutzzielen ein risikobasierter Ansatz zugrunde. Im Bereich des Datenschutzes sind zum Schutz der Rechte und Freiheiten natürlicher Personen vom Verantwortlichen entsprechende technische und organisatorische Maßnahmen zu treffen.
Der Art 32 DSGVO sieht vor, dass diese Maßnahmen gegenüber den, mit der Verarbeitung verbundenen, Risiken angemessen ausgelegt werden müssen und sich am „Stand der Technik“ zu orientieren haben.
Die Gesetzgeber von DSGVO und DSG sehen keine Definition für diesen Stand der Technik vor, was der rasanten Entwicklung in der Technologie geschuldet ist. Es sind jedoch die Grundsätze des Datenschutzes (DSGVO Art 25) und die Forderung nach Datenschutz durch Technikgestaltung (privacy by design) sowie durch datenschutzfreundliche Voreinstellungen (privacy by default) zugrunde zu legen.
Der Stand der Technik ist im Rahmen der Umsetzung darüber hinaus umfassend zu dokumentieren. Die Verordnung sieht diesbezüglich Dokumentationspflichten als eigene rechtliche Pflichten des Verantwortlichen vor. Die Angemessenheit der technischen und organisatorischen Maßnahmen ist somit sowohl individuell zu erheben als auch detailliert zu begründen bzw zu dokumentieren.
Es ist wichtig, ein klares Verständnis zu haben, was Sie mit Ihren technischen und organisatorischen Maßnahmen erreichen wollen. Im Wesentlichen lässt sich das auf die folgenden Schutzziele zusammenfassen, die sich in vielen Artikel der DSGVO wiederfinden:
Schutzziele sind individuell zu erreichen und bedingen technische und organisatorische Maßnahmen, wie zB:
Zusätzlich gibt es einige Herausforderungen für die Sicherheits-Architektur:
Die eingesetzten Produkte, die bei korrekter Verwendung zu „Maßnahmen“ werden, müssen dem Stand der Technik entsprechen, das bedeutet:
Branchenspezifische Standards wurden bei der Produktgestaltung vom Hersteller umgesetzt und können bei der Konfiguration berücksichtigt werden.
Die Dokumentation der TOMs ist Teil der Rechenschaftspflicht (DSGVO Art 5 Abs 2) eines Verantwortlichen. Es ist also notwendig darzustellen, welche Verarbeitungen durch welche Maßnahmen „beschützt“ werden, dass sie tatsächlich dem Stand der Technik entsprechen, dass sie effizient in ihrer Wirkung sind und richtig umgesetzt werden.
Das gelingt nur, wenn im Zuge eines Datenschutz-Management-Systems explizit die laufende Überprüfung der TOMs vorgesehen ist, und die Definition der Abläufe und Komponenten nicht nur bei Einführung durchgeführt wird. Es ist sehr zu empfehlen, dass jede Maßnahme einen „Eigentümer“ hat, der sich für die Pflege, Weiterentwicklung, Ergänzung mit anderen Maßnahmen oder deren gänzliche Ablöse verantwortlich zeichnet und auch jederzeit mit Details dazu aufwarten kann.
Die Einführung von dokumentierten Selbstkontrollen belegt diese aktive Pflege der TOMs und ein Katalog von Selbstkontrollen wird selbst zu einer wichtigen organisatorischen Maßnahme.
Diese Dokumentation wird die Datenschutzbehörde verlangen, wenn im Zuge eines Datenschutzvorfalles die Angemessenheit der Maßnahmen überprüft wird. Je vollständiger diese nachweisbar ist, desto weniger Probleme werden sich aus einem Bescheid ergeben und desto weniger wahrscheinlich wird eine daraus resultierende Schwerpunktprüfung sein.
Zur Merkliste hinzufügen
Aus der Merkliste entfernen
Zum Gratis-Download
