2.5 Datenschutzmaßnahmen

Von den Datenschutzzielen werden notwendige, geeignete und angemessene Maßnahmen zur Erreichung der Ziele abgeleitet. Die Eignung und Angemessenheit der Maßnahmen bestimmt sich nach ihrer Wichtigkeit für die Erreichung der Unternehmensziele, nach dem jeweiligen Stand der Technik, nach dem Kosten, die mit einer Implementierung der Maßnahme im Unternehmen einhergehen, nach Art, Umfang, Umstände und Zweck der Datenverarbeitung sowie nach der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.

Maßnahmen können beispielsweise sein:

Sicherstellung der Verfügbarkeit durch

Maßnahmen in Bezug auf Haltbarkeit und Aufbewahrung von Datenträgern

Einschränkung der Verfügbarkeit zur Sicherstellung der Vertraulichkeit

Redundanz

Verfahren zur Gewährleistung, dass der Zugang zu Daten bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden kann (Backups, Ausweichzentren) etc

Sicherstellung der Vertraulichkeit durch

Nutzung anonymer Daten

Verschlüsselung der Daten in einer Stärke je nach Schutzbedarf

Datenverarbeitung auf unterschiedlichen Systemen

Trennung von Datenbeständen

Zutrittskontrollen, Zugangskontrollen, Zugriffskontrolle

Weitergabekontrollen

Protokollierung von Zugriffen

Zugriffskontrollen etc

Sicherstellung der Integrität personenbezogener Daten durch

Technischer Schutz vor Manipulation der Daten

Einschränkung der Schreibrechte

Regelmäßige Integritätsprüfungen

Festlegung von Referenzwerten

Hash-Wert-Vergleich etc

Transparenz der Datenverarbeitung durch

Dokumentation der Verfahren und Prozesse

Dokumentation der eingesetzten Systeme

Protokollierung der Datenverarbeitung etc

Sicherstellung der Zweckbindung der Datenverarbeitung

Personenbezogene Datenverarbeitungen müssen so eingerichtet sein, dass deren Daten nicht oder nur mit unverhältnismäßig hohem Aufwand für einen anderen als den ausgewiesenen Zweck erhoben, verarbeitet und genutzt werden können.

Maßnahmen, die sicherstellen, dass ein eindeutiger, legitimer und festgelegter Zweck der Datenverarbeitung vorliegt

Maßnahmen, die sicherstellen, dass im Falle der Weiterverarbeitung von Daten, der Weiterverarbeitungszweck mit dem ursprünglichen Erhebungszweck vereinbar ist

Abschluss von Vereinbarungen mit Auftragsverarbeitern etc

Gewährleistung der Betroffenenrechte

Zuständigkeit und Prozesse im Unternehmen hinsichtlich der Wahrnehmung von Betroffenenrechten

Sperr- und Widerspruchshinweise

Löschung bei unrechtmäßiger Verarbeitung

Schutz vor versehentlicher Rückeinspielung von Daten etc