Alkemade IT-Security e.K. - Datenschutz & IT-Sicherheit · externer Datenschutzbeauftragter · Frankfurt · Mainz · Wiesbaden · Gießen · Marburg · Wetzlar · Bad Homburg · Friedberg · Bad Nauheim

Durch das im Grundgesetz normierte Recht auf informationelle Selbstbestimmung, die Forderungen des Bundesdatenschutzgesetzes (BDSG) und weiterer einschlägiger Gesetze, Vorschriften und Empfehlungen und nicht zuletzt durch die immer weiter zunehmende Möglichkeit der massenhaften Speicherung und Weitergabe von Daten gewinnt der Schutz personenbezogener Daten einen immer höher werdenden Stellenwert. Datenschutz und IT-Sicherheit sind damit wichtige Grundpfeiler unserer, zunehmend von Technik geprägten, modernen Gesellschaft.
Mit Einführung der elektronischen Gesundheitskarte müssen im Gesundheitsbereich weitere technische und organisatorische Datenschutzmaßnahmen umgesetzt werden, um den ausschließlich berechtigten Zugriff auf die gespeicherten Gesundheitsdaten gewährleisten zu können.

§ 4f BDSG verpflichtet Unternehmen, die personenbezogene Daten EDV-gestützt verarbeiten, einen Beauftragten für den Datenschutz schriftlich zu bestellen, wenn damit mindestens zehn Personen beschäftigt sind.

Dies gilt gleichermaßen für die anderweitige Erhebung, Verarbeitung oder Nutzung personenbezogener Daten, wenn damit in der Regel mindestens 20 Personen beschäftigt sind.

Soweit nicht-öffentliche Stellen automatisierte Verarbeitungen vornehmen, die mit besonderen Risiken für die Betroffenen verbunden sind, haben sie unabhängig von der Anzahl der Beschäftigten einen Datenschutzbeauftragten zu bestellen.

Die Bestellung zum Datenschutzbeauftragten erfordert neben der gebotenen Zuverlässigkeit die zur Erfüllung seiner Aufgaben notwendige Fachkunde, die sich insbesondere an dem Umfang der Datenverarbeitung und dem Schutzbedarf der personenbezogenen Daten auszurichten hat. Mit dieser Aufgabe kann auch eine externe Person außerhalb des Unternehmens betraut werden.

Aufgaben des Beauftragten für den Datenschutz
Die Aufgaben des Beauftragten für den Datenschutz ergeben sich aus § 4g des Bundesdatenschutzgesetzes (BDSG):

Hinwirken auf die Einhaltung des Bundesdatenschutzgesetzes und anderer Vorschriften über den Datenschutz
Überwachung der ordnungsgemäßen Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden
Durchführung von geeigneten Maßnahmen, um die bei der Verarbeitung personenbezogener Daten tätigen Personen mit den Vorschriften des BDSG und anderer datenschutzrelevanter Gesetze und Verordnungen vertraut zu machen
Führen einer Liste über die zugriffsberechtigten Personen

Gemäß § 9 BDSG sind erforderliche technische und organisatorische Maßnahmen zu treffen, um die Ausführung der Vorschriften des BDSG zu gewährleisten. Hierzu gehört insbesondere der Maßnahmenkatalog der Anlage zu § 9 BDSG:

Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle).
zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle).
zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle).
zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtung zur Datenübertragung vorgesehen ist (Weitergabekontrolle).
zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle).
zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle).
zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle).
zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

Löschen von Datenträgern
Löschen wird im Bundesdatenschutzgesetz (BDSG) als das Unkenntlichmachen gespeicherter personenbezogener Daten definiert.

Die Einhaltung von Lösch- und Aufbewahrungsfristen werden durch das BDSG und weiterführende Gesetze geregelt. Insbesondere im Gesundheitswesen gelten Dokumentationspflichten von Patientendaten gemäß den Berufsordnungen für Ärztinnen und Ärzte der jeweiligen Landesärztekammern und weiterer Gesetze wie z.B. der Abgabenordnung, dem Transfusionsgesetz, dem Medizinproduktegesetz oder der Röntgenverordnung.

Gemäß § 35 BDSG sind personenbezogene Daten zu löschen, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist.

Für die gesicherte Vernichtung verschiedenartiger Datenträger enthält DIN 32757-1 detaillierte Aussagen über die Güte der Vernichtung und unterscheidet dabei 5 Sicherheitsstufen.

Für die Vernichtung von Datenträgern aus Papier gelten für die Sicherheitsstufen folgende Materialteilchengrößen:

Stufe 1: Streifenbreite < 12 mm beliebiger Länge oder Fläche < 2000 mm²

Stufe 2: Streifenbreite < 6 mm beliebiger Länge oder Fläche < 800 mm²

Stufe 3: Streifenbreite < 2 mm beliebiger Länge oder < (4 mm x 80 mm)

Stufe 4: Streifenbreite < 2 mm und Länge < 15 mm

Stufe 5: Streifenbreite < 0,8 mm und Länge < 15 mm

Das Verwirbeln oder Pressen kann insgesamt die Vernichtungsgüte erhöhen und gestattet ggf. das Absenken der Sicherheitsstufe bei der Zerkleinerung um eine, in Asnahmefällen um zwei Stufen. Für die datenschutzgerechte Vernichtung von anderen Datenträgern wie z.B. Mikrofilmen, Chipkarten und optisch oder magnetisch lesbaren Datenträgern (z.B. MOD, CD, DVD, Festplatten, Magnetbänder) gelten andere Materialteilchengrößen.

Nach Empfehlung des Dezernats Datenschutz beim Regierungspräsidium in Darmstadt und anderer Datenschutzaufsichtsbehörden stellt Sicherheitsstufe 3 die Mindestanforderung an eine datenschutzgerechte Vernichtung personenbezogener Daten auf Papier dar.

Bei den sogenannten besonderen Arten personenbezogener Daten, deren Missbrauch Existenz, Gesundheit, Leben oder Freiheit der Betroffenen gefährden können, wird für die Vernichtung Sicherheitsstufe 4 oder gar 5 empfohlen.

Bei der Entsorgung von Datenträgern personenbezogener Daten ist der Auftraggeber für die datenschutzgerechte Entsorgung verantwortlich. Insbesondere hat er dafür Sorge zu tragen, dass die Daten nicht unbefugt eingesehen, verändert, kopiert oder entfernt werden können und die gesetzliche Verpflichtung, sich von der ordnungsgemäßen Verarbeitung der Daten und der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.

Die Entsorgung von Datenträgern mit personenbezogenen Daten durch externe Unternehmen stellt gemäß § 11 BDSG eine Datenverarbeitung im Auftrag dar und bedarf entsprechender - nicht nur datenschutzvertraglicher - Absicherungen mit dem Auftragnehmer.

Weitere Hinweise enthält das Merkblatt zur Datenträgervernichtung

des Dezernats Datenschutz beim Regierungspräsidium in Darmstadt.

Verarbeitung personenbezogener Daten im Auftrag
Die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag durch externe Unternehmen werden in § 11 des Bundesdatenschutzgesetzes (BDSG) geregelt. Demnach

trägt der Auftraggeber für die Einhaltung der Datenschutzvorschriften die Verantwortung.
ist der Auftragnehmer unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen.
ist der Auftrag schriftlich zu erteilen unter Festlegung der Art der Datenverarbeitung und der zu treffenden technischen und organisatorischen Maßnahmen.
hat sich der der Auftraggeber von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
darf der Auftragnehmer die Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten.