Das Standard-Datenschutzmodell (Version 2.0)

Update, April 2020: Mittlerweile liegt die Version 2.0b vor. Es handelt sich um geringfügige redaktionelle Überarbeitungen. So wurde das Kapitel E6 hinsichtlich der Verbindlichkeit der Anwendung einzelner Referenzmaßnahmen aus dem SDM-Katalog ergänzt. Die Version 2.0b ist nun auch auf englisch verfügbar.

Neuerungen beim Standard-Datenschutzmodell

Wesentliche Unterschiede zur Vorgehensweise bringt die zweite Auflage des SDM nicht mit sich. Nach wie vor wird der Aufbau eines Datenschutzmanagementsystems unter Beachtung eines Plan-Do-Check-Act-Zyklus (PDCA) beschrieben. Diese Vorgehensweise ist grundsätzlich zu empfehlen.

Die Beschreibung des SDM geht jetzt allerdings stärker auf die Anforderungen der DSGVO ein und wurde auch begrifflich dementsprechend angepasst.

Wirklich neu ist Teil B hinzugekommen, der nunmehr auf viele der datenschutzrechtlichen Anforderungen eingeht und diese kurz erläutert. Insgesamt werden 23 übergreifend wichtige Gesichtspunkte aufgenommen und in ihrer Bedeutung und Zielrichtung dargestellt. So wird unter anderem auf Anforderungen wie Zweckbindung und Datenminimierung eingegangen. Die Rechenschaftspflicht wird ebenso angesprochen, wie vielen Anwendern bisher eher unbekannte Punkte wie etwa die Belastbarkeit.

Ausführlicher wird auch auf das Management von Einwilligungen eingegangen und die Umsetzung von aufsichtsbehördlichen Anordnungen. Diesen zwei Aspekten sind eigene kleine Kapitel in Teil B gewidmet.

Die 7 wichtigsten Gewährleistungsziele im Standard-Datenschutzmodell

Wie bereits in den früheren Versionen, stellt die Methodik des SDM weiterhin auf die in der DSGVO enthaltenen Gewährleistungsziele ab, um datenschutzrechtliche Anforderungen strukturiert umzusetzen:

“Datenminimierung”

Das nach dem Standard-Datenschutzmodell grundlegendste Gewährleistungsziel ist die Datenminimierung. Die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten hat sich grundsätzlich auf das unvermeidliche / erforderliche Maß zu beschränkten. Dies bezieht sich auf die vollständige Verarbeitungskette; von der Erhebung der Daten bis hin zu deren Löschung sollten alle Prozesse so ausgerichtet sein, dass ausschließlich die tatsächlich benötigten Daten verarbeitet bzw. verfügbar gehalten werden. Letztlich stellt sich hier stets die gleiche Frage: „Brauche ich die Daten für die Verarbeitung wirklich unbedingt?“

Um eine optimale Datensparsamkeit zu erreichen, sollte z. B. über folgende generische Maßnahmen nachgedacht werden:

• Reduzierung von erfassten Attributen
• Reduzierung der Verarbeitungsoptionen
• Reduzierung von Möglichkeiten der Kenntnisnahme
• Verarbeitungsprozesse, die eine Kenntnisnahme verarbeiteter Daten entbehrlich machen
• automatische Sperr- und Löschroutinen, Pseudonymisierungs- und Anonymisierungsverfahren,
• Kontrolle der Änderung von Verarbeitungstätigkeiten

“Verfügbarkeit”

Der Grundsatz der Verfügbarkeit fordert, dass vorhandene Daten einerseits vor mutwilliger Zerstörung oder auch fahrlässigem Verlust geschützt werden müssen, andererseits aber auch im Falle des Bedarfs jederzeit abrufbar sein sollen. Die Verfügbarkeit muss dabei nicht nur die jederzeitige Nutzung der Daten für den eigentlichen Zweck sicherstellen, sondern auch mögliche Auskunftsverlangen an Betroffene, über die Daten gespeichert sind.

In der Praxis wird die Verfügbarkeit meist über entsprechende Datensicherungen, Schutzvorrichtungen und Redundanzen von Hard- und Software sowie IT-Infrastrukturen gewährleistet. Bei Auslagerungen sollte stets auf entsprechende Service-Level-Agreements (SLAs) geachtet werden, z. B. Auftragsverarbeitungs-Verträge. Aber auch alltägliche organisatorische Maßnahmen, wie Vertretungsregelungen für abwesende Mitarbeiter, stellen die Verfügbarkeit der Daten sicher.

Beispiele für geeignete Maßnahmen:

• Anfertigung von Sicherheitskopien,
• Schutz vor äußeren Einflüssen (Schadsoftware, Sabotage, höhere Gewalt),
• Dokumentation der Syntax der Daten,
• Redundanzen,
• Reparaturstrategien und Ausweichprozesse,
• Vertretungsregelungen

“Integrität”

Als Integrität wird der Schutz vor ungewollter bzw. unautorisierter Veränderung von Daten verstanden. Sie besagt, dass einmal erstellte Daten auch zu einem späteren Zeitpunkt noch denselben – unveränderten – Inhalt besitzen müssen, sofern sie nicht in legitimer Weise verändert worden sind. Die anfängliche inhaltliche Richtigkeit der Daten ist hiervon allerdings nicht umfasst.

Unternehmen müssen folglich (generische) Maßnahmen ergreifen, die eine ungewünschte nachträgliche Veränderung von Daten verhindern. Dies kann beispielsweise gewährleitet werden durch:

• Begrenzung von Schreib- und Änderungsrechten,
• Einsatz von Prüfsummen, elektronischen Siegeln und Signaturen,
• dokumentierte Zuweisung von Berechtigungen und Rollen,
• Aufrechterhaltung der Aktualität von Daten,
• Festlegung des Soll-Verhaltens von Prozessen und regelmäßiges Durchführen von Tests zur Feststellung und Dokumentation der Funktionalität, von Risiken sowie Sicherheitslücken und Nebenwirkungen von Prozessen,
• Festlegung des Soll-Verhaltens von Abläufen bzw. Prozessen und regelmäßiges Durchführen von Tests zur Feststellbarkeit bzw. Feststellung der Ist-Zustände von Prozessen.

“Vertraulichkeit”

Als Vertraulichkeit wird der Schutz der Daten vor unbefugtem Zugriff oder unbefugter Kenntnisnahme verstanden.

Generische Maßnahmen um die Vertraulichkeit zu gewährleisten wären beispielsweise:

• Festlegung eines Rechte- und Rollen-Konzeptes,
• sichere Authentisierungsverfahren,
• Personalkonzept,
• Festlegung und Kontrolle zugelassener Ressourcen,
• für die Verarbeitungstätigkeit geeignete Umgebungen,
• Festlegung und Kontrolle organisatorischer Abläufe, interner Regelungen und vertraglicher Verpflichtungen ,
• Kryptokonzept,
• Schutz vor äußeren Einflüssen (Spionage, Hacking).

“Nichtverkettbarkeit”

Das Gewährleistungsziel der Nichtverkettbarkeit hat seinen Ausgangspunkt im Zweckbindungsgrundsatz und soll sicherstellen, dass für alle Daten der legitime Zweck für die Bearbeitung feststeht und erhalten bleibt. Dementsprechend darf im Laufe der Verarbeitungsprozesse stets nur der ursprünglich festgelegte Zweck verfolgt werden. Die in der Praxis oft vorgefundene Situation, dass Daten, die einmal im Unternehmen angekommen sind, dort frei umherirren und so auch für verschiedene Zwecke verarbeitet werden, ist daher gesetzeswidrig.

Um die Nichtverkettbarkeit zu gewährleisten, kommen etwa folgende Maßnahmen in Betracht:

• Einschränkung von Verarbeitungs-, Nutzungs- und Übermittlungsrechten,
• Schließung von Schnittstellen,
• Compliance bei der Softwareentwicklung,
• Trennung nach Organisations-/Abteilungsgrenzen,
• Trennung mittels Rollenkonzepten,
• Identitätsmanagement,
• Pseudonyme, Anonymisierung,
• geregelte Zweckänderungsverfahren.

“Transparenz”

Die Verarbeitung personenbezogener Daten hat grundsätzlich transparent zu erfolgen. Es muss also nachvollziehbar sein, wo und zu welchem Zweck personenbezogene Daten verarbeitet und genutzt werden. Dieser Grundsatz findet seinen Ausfluss unter anderem in der Verpflichtung zur Führung eines internen und externen Verfahrensverzeichnisses. Zudem kann nur mittels einer transparenten Datenverarbeitung dem Recht des Betroffenen auf Auskunft sowie den Rechten der Aufsichtsbehörden auf Auskunft und Einsicht entsprochen werden.

Typische Maßnahmen wären in diesem Zusammenhang vor allem die Dokumentationen über Verfahren, Prozesse, Anwendungen, Verträge, Systemtests, Freigaben, Vorabkontrollen, Verträge (sowohl interne z. B. mit Mitarbeitern als auch externe mit Dienstleistern). Außerdem sollten Zugriffe auf und Änderungen in Anwendungen dokumentiert sowie Dokumente versioniert werden.

Beispiele:

• Dokumentation der Geschäftsprozesse, Datenbestände, Datenflüsse, IT-Systeme, Betriebsabläufe, Beschreibungen von Verarbeitungstätigkeiten,
• Tests der Freigabe und ggf. Datenschutz-Folgenabschätzung von neuen oder geänderten Verarbeitungstätigkeiten,
• Dokumentation der Verträge mit den internen Mitarbeitenden, Dienstleistern und Dritten,
• Dokumentation von Einwilligungen und Widersprüchen,
• Protokollierung von Zugriffen und Änderungen,
• Nachweis der Quellen von Daten (Authentizität),
• Versionierung,
• Dokumentation der Verarbeitungsprozesse,
• Berücksichtigung der Auskunftsrechte von Betroffenen im Protokollierungs- und Auswertungskonzept.

“Intervenierbarkeit”

Unter das Gewährleistungsziel der Intervenierbarkeit werden im Wesentlichen die Betroffenenrechte auf Auskunft, Berichtigung und Sperrung bzw. Löschung der eigenen Daten gefasst. Sofern also ein Betroffener zurecht die Löschung seiner Daten verlangt, so muss dies konsequenterweise auch technisch umsetzbar sein.

Dies ist es beispielsweise nicht, wenn gar nicht klar ist, auf welchen Datensicherungsbändern dessen Daten überhaupt gespeichert sind bzw. in welchen Systemen dessen Daten abgelegt wurden. In diesem Fall wäre erst eine umfangreiche Suche erforderlich. Derartige technische Erschwernisse können die Pflicht der Unternehmen, dem Verlangen des Betroffenen nachzukommen, jedoch nicht entgegengehalten werden. Vielmehr muss Unternehmen bereits bei Speicherung der Daten klar sein, dass auch einzelne Datensätze gegebenenfalls wieder gelöscht werden müssen.

Infrage kommende Maßnahmen sind hier u. a. standardisierte Dialog- und Abfragestellen über vorhandene Datensätze von Betroffenen sowie ein konkret benannter Ansprechpartner, Deaktivierungsmöglichkeiten von einzelnen Systemkomponenten, ohne das gesamte System außer Betrieb zu setzen, Möglichkeiten der Einsichtnahme in das System durch den Datenschutzbeauftragten oder aber auch Aufsichtsbehörden.

Beispiele:

• differenzierte Einwilligungs-, Rücknahme- sowie Widerspruchsmöglichkeiten,
• Schaffung notwendiger Datenfelder z. B. für Sperrkennzeichen,
• dokumentierte Bearbeitung von Störungen, Problembearbeitungen und Änderungen am Verarbeitungstätigkeiten sowie an den Schutzmaßnahmen der IT-Sicherheit und des Datenschutzes,
• Deaktivierungsmöglichkeit von Funktionalitäten,
• Abfrage- und Dialogschnittstellen für Betroffene zur Geltendmachung und/oder Durchsetzung von Ansprüchen,
• Nachverfolgbarkeit der Aktivitäten,
• Einrichtung eines Single Point of Contact (SPoC) für Betroffene,
• operative Möglichkeit zur Zusammenstellung, konsistenten Berichtigung, Sperrung und Löschung aller zu einer Person gespeicherten Daten.

Generische Maßnahmen im Standard-Datenschutzmodell

Für die Datenschutzpraxis wirklich interessant sind die in der Methodik bereits angelegten generischen Maßnahmen zu den Gewährleistungszielen, die im Teil D benannt werden. Denn was hier genannt wird, dürfte von den Aufsichtsbehörden als Standard angesehen werden. Eine kritische Auseinandersetzung mit den hier aufgezählten Maßnahmen ist also in jedem Fall notwendig, selbst wenn man sich im Ergebnis gegen die Umsetzung entscheidet.

Mit Spannung sind in diesem Zusammenhang die als Anhang zum SDM angekündigten ausführlicheren Kataloge mit solchen generischen Maßnahmen zu erwarten. Bislang gibt es diese jedoch nur von einzelnen Aufsichtsbehörden (etwa Mecklenburg-Vorpommern) und nur zu einzelnen Gewährleistungszielen. Eine vollständige und unter den Aufsichtsbehörden abgestimmte Beschreibung ist derzeit noch nicht in Sicht. Wenn es hier einen solchen Katalog gibt, könnte damit tatsächlich ein gewisser Mindeststandard festgelegt werden.

Wie bei den vorherigen Versionen auch, handelt es sich bei Modell und Katalogen allein um eine Empfehlung von Aufsichtsbehörden, die keine echte rechtliche Verbindlichkeit beanspruchen kann und dies auch nicht will. Zumindest aber dem  Vorwurf, die Sorgfalt grob außer Acht gelassen zu haben, wird man bei einer Orientierung an diesen Vorschlägen nicht mehr ausgesetzt sein.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!