Rechtsfrage
Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt dafür Kriterien statt einer Liste. Angemessen heißt, dass Stand der Technik, Kosten, Art und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos gegeneinander abgewogen werden. Eine Aufzählung von Maßnahmen ohne diese Abwägung erfüllt die Vorschrift nicht.
Was die Vorschrift verlangt
Die Vorschrift ist bewusst offen formuliert. Sie nennt vier Ziele und fünf Abwägungskriterien und überlässt die Auswahl der verantwortlichen Stelle. Damit ist die Aufgabe keine des Abhakens, sondern eine der Begründung.
Vertraulichkeit
Zugriff nur für Befugte. Der wirksamste Hebel liegt im Berechtigungskonzept, denn der häufigste Vorfall in der Praxis ist der Zugriff einer unbefugten Person aus dem eigenen Betrieb.
Integrität
Daten bleiben unversehrt. Änderungen sind nachvollziehbar. Protokollierung ist hier Mittel und zugleich ein eigener Gegenstand der Abwägung.
Verfügbarkeit und Belastbarkeit
Der Dienst hält Belastung und Störung aus. Für den Datenschutz zählt dabei auch, dass Betroffenenrechte erfüllbar bleiben, wenn ein System ausfällt.
Wiederherstellbarkeit
Nach einem Vorfall ist der Zustand wiederherstellbar. Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme und kein Nachweis.
Wo die Abgrenzung verläuft
Art. 32 DSGVO und § 30 BSIG verlangen weitgehend dieselben Maßnahmen und bewerten sie verschieden.
Art. 32 DSGVO gegen § 30 BSIG
| Art. 32 DSGVO | Merkmal | § 30 BSIG |
|---|---|---|
| Rechte der Betroffenen | Geschützt ist | Funktionsfähigkeit des Dienstes |
| dem Risiko angemessenFünf Abwägungskriterien und vier Ziele, aber keine Liste. Angemessen heißt begründet und nicht vollständig. | Maßstab | Stand der Technik, verhältnismäßig |
| Rechenschaft, Art. 5 II | Nachweis | spricht in dieser Zeile dafürNachweis an das BSIBesonders wichtige Einrichtungen weisen die Umsetzung gegenüber dem BSI nach, Betreiber kritischer Anlagen wiederkehrend. |
| kurz halten | Protokollfristen | lang halten |
| jede verantwortliche Stelle | Adressat | nur erfasste Einrichtungen |
Die vierte Zeile ist der eigentliche Konflikt. Für die Sicherheit spricht eine lange Frist, für den Datenschutz eine kurze. Die Entscheidung ist eine Abwägung, die zu begründen und zu dokumentieren wäre.
Woran es in der Praxis hängt
Am Fehlen der Verbindung zwischen Verarbeitung und Maßnahme. Die Maßnahmen werden für die IT insgesamt beschrieben, die Verarbeitungen stehen im Verzeichnis. Zwischen beiden gibt es keine Zuordnung. Damit lässt sich für eine einzelne Verarbeitung nicht sagen, welches Schutzniveau gilt.
So unterstützen wir Sie bei den technischen und organisatorischen Maßnahmen
Eine Zuordnung nach Schutzbedarf ist der übliche Weg. Jede Verarbeitung im Verzeichnis bekommt eine Einstufung. Zu jeder Einstufung gehört ein Satz von Maßnahmen. Damit entsteht die Verbindung, ohne dass für jede Verarbeitung einzeln bewertet werden müsste.
Für den Nachweis genügt eine kurze Unterlage je Einstufung, in der das betrachtete Risiko, die getroffenen Maßnahmen und die verworfenen Alternativen stehen. Sie ist in einem Audit die Antwort auf die Frage nach der Angemessenheit.
Häufige Fragen
Gibt es eine Mindestliste?
Art. 32 Abs. 1 DSGVO nennt vier Beispiele, nämlich Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, Wiederherstellbarkeit sowie ein Verfahren zur regelmäßigen Überprüfung. Das ist keine abschließende Liste, sondern eine Aufzählung von Zielen.
Wie belegen wir die Angemessenheit?
Über die Dokumentation der Abwägung. Festzuhalten wären das betrachtete Risiko, die erwogenen Maßnahmen, die getroffene Entscheidung und ihr Grund. Diese Unterlage ist das, wonach eine Aufsichtsbehörde fragt, nicht aber die Liste selbst.
Wie oft ist zu überprüfen?
Art. 32 Abs. 1 Buchst. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, nennt aber keine Frist. Ein jährlicher Turnus ist verbreitet, dazu eine anlassbezogene Prüfung nach einem Vorfall oder einer wesentlichen Änderung.
Weitere Fragen aus diesem Bereich
NIS2 umsetzen
Die zehn Gegenstände des § 30 Abs. 2 BSIG sind der Mindestumfang, ihre Tiefe bemisst sich nach den fünf Größen des § 30 Abs. 1 S. 2 BSIG.
SOC und SIEM
Ein System zur Auswertung sicherheitsrelevanter Ereignisse verarbeitet in großem Umfang Daten über das Verhalten von Beschäftigten, und zwar als Nebenwirkung seines Zwecks.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.