Das Datenschutzrecht wird gerade grundlegend umstrukturiert und, auch die Datenschutzaufsichtsbehörden nehmen entsprechende interne Anpassungen vor. Als Hilfestellung für aufsichtsbehördliche Prüfungsmaßnahmen wurde das Standarddatenschutzmodell (SDM) offiziell auf der 92. Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder im November 2016 vorgestellt. Das Modell kann zukünftig als Grundlage für Datenschutzprüfungen und -beratungen dienen und verfolgt die Zielstellung die Risiken für das Recht auf informationelle Selbstbestimmung zu verringern. Dabei sollen in erster Linie geeignete technische und organisatorische Maßnahmen zur vollständigen Risikobeseitigung oder zumindest teilweisen Risikoreduzierung (auf ein tragbares Maß) hervorgebracht werden. Nachfolgend möchten wir Ihnen einen Überblick über die allgemeinen Ziele und die ersten praktischen Umsetzungshinweise geben.

I. Gewährleistungsziele

Im Konzept werden die Gewährleistungsziele für die Rechtmäßigkeit der personenbezogenen Datenverarbeitung mit den folgenden zentralen datenschutzrechtlichen Anforderungen zusammengefasst:

• die Zweckbindung einer Datenverarbeitung mit Personenbezug,
• die Begrenzung der Datenverarbeitung auf das erforderliche und datensparsame Maß,
• die Berücksichtigung der Betroffenenrechte, wonach in einem Verfahren Prozesse insbesondere für die Beauskunftung, die Korrektur, das Sperren und das Löschen von Betroffenendaten vorzusehen sind,
• die Transparenz von Verfahren als Voraussetzung dafür, dass die rechtlich festgelegten Anforderungen an ein Verfahren sowohl für die Organisation selber, als auch zumindest in einer allgemeinverständlichen Form für den Betroffenen sowie für die Aufsichtsbehörden überprüfbar sind,
• die Informationssicherheit der eingesetzten Komponenten zur Datenverarbeitung

II. Kategorisierung

Die jeweilige Schutzmaßnahme muss in einem angemessenen Verhältnis zum Schutzgegenstand stehen. Angelehnt an die IT-Grundschutz-Methodik des Bundesamts für Sicherheit in der Informationstechnik (BSI) wird auf die bekannten drei Schutzbedarfskategorien zurückgegriffen. „Normal“ bedeutet, dass es sich um allgemeine personenbezogene Daten handelt und es keine niedrigere Abstufung für die Einordnung von Daten mit Personenbezug gibt (Mindestschutzmaß). In die Kategorie „Hoch“ lassen sich  eine Vielzahl von Daten einordnen, wie beispielhaft  biometrische Daten, Steuer-ID, Schätzwerte im Scooring, Daten aus der Videoüberwachungen, die einen höheren Schutzbedarf haben. Die dritte Schutzkategorie “sehr hoch“ befasst sich mit Daten die eine existentielle Abhängigkeit aufweisen bzw. durch den Betroffen originär nicht ersichtlich sind.

III. Praktische Umsetzungshinweise

Es werden zur Umsetzung der abstrakten Gewährleistungsziele eine Vielzahl an Referenzmaßnahmen in Katalogform benannt und beschrieben. Es handelt sich um erprobte Maßnahmen aus der Datenschutzprüfpraxis vieler Datenschutzaufsichtsbehörden (Auszug)[1]:

1. Datenminimierung:

• Reduzierung von erfassten Attributen der betroffenen Personen,
• Reduzierung der Verarbeitungsoptionen in Verarbeitungsprozessschritten,
• Implementierung automatischer Sperr- und Löschroutinen, Pseudonymisierungs- und Anonymisierungsverfahren,
• Regelungen zur Kontrolle von Prozessen zur Änderung von Verfahren.

2. Verfügbarkeit

• Anfertigung von Sicherheitskopien von Daten, Prozesszuständen, Konfigurationen, Datenstrukturen, Transaktionshistorien u. ä. gemäß eines getesteten Konzepts,
• Schutz vor äußeren Einflüssen (Schadsoftware, Sabotage, höhere Gewalt),
• Redundanz von Hard- und Software sowie Infrastruktur,
• Umsetzung von Reparaturstrategien und Ausweichprozessen,
• Vertretungsregelungen für abwesende Mitarbeiter.

3. Integrität

• Einschränkung von Schreib- und Änderungsrechten,
• Einsatz von Prüfsummen, elektronische Siegeln und Signaturen in Datenverarbeitungsprozessen gemäß eines Kryptokonzepts,
• dokumentierte Zuweisung von Berechtigungen und Rollen.

4. Vertraulichkeit

• Festlegung eines Rechte- und Rollen-Konzeptes nach dem Erforderlichkeitsprinzip auf der Basis eines Identitätsmanagements,
• Implementierung eines sicheren Authentisierungsverfahrens,
• Verschlüsselung von gespeicherten oder transferierten Daten sowie Prozesse zur Verwaltung und zum Schutz der kryptografischen Informationen (Kryptokonzept),
• Schutz vor äußeren Einflüssen (Spionage, Hacking).

5. Nichtverkettung

• programmtechnische Unterlassung bzw. Schließung von Schnittstellen in Verfahren und Verfahrenskomponenten,
• regelnde Maßgaben zum Verbot von Backdoors sowie qualitätssichernde Revisionen zur Compliance bei der Softwareentwicklung,
• Trennung nach Organisations-/Abteilungsgrenzen,
• Zulassung von nutzerkontrolliertem Identitätsmanagement durch die verarbeitende Stelle,
• Einsatz von zweckspezifischen Pseudonymen, Anonymisierungsdiensten, anonymen Credentials, Verarbeitung pseudonymer bzw. anonymisierter Daten,
• geregelte Zweckänderungsverfahren.

6. Transparenz

• Dokumentation von Verfahren insbesondere mit den Bestandteilen Geschäftsprozesse, Datenbestände, Datenflüsse, dafür genutzte IT-Systeme, Betriebsabläufe, Verfahrensbeschreibungen, Zusammenspiel mit anderen Verfahren,
• Dokumentation der Verträge mit den internen Mitarbeitern, Verträge mit externen Dienstleistern und Dritten, von denen Daten erhoben bzw. an die Daten übermittelt werden, Geschäftsverteilungspläne, Zuständigkeitsregelungen,
• Dokumentation von Einwilligungen und Widersprüchen, – Protokollierung von Zugriffen und Änderungen,
• Versionierung,
• Dokumentation der Verarbeitungsprozesse mittels Protokollen auf der Basis eines Protokollierungs- und Auswertungskonzepts,
• Berücksichtigung der Auskunftsrechte von Betroffenen im Protokollierungs- und Auswertungskonzept.

7. Intervenierbark

• differenzierte Einwilligungs-, Rücknahme- sowie Widerspruchsmöglichkeiten,
• Schaffung notwendiger Datenfelder z. B. für Sperrkennzeichen, Benachrichtigungen, Einwilligungen, Widersprüche, Gegendarstellungen, – dokumentierte Bearbeitung von Störungen, Problembearbeitungen und Änderungen am Verfahren sowie an den Schutzmaßnahmen der IT-Sicherheit und des Datenschutzes,
• Deaktivierungsmöglichkeit einzelner Funktionalitäten ohne Mitleidenschaft für das Gesamtsystem,
• Einrichtung eines Single Point of Contact (SPoC) für Betroffene,
• operative Möglichkeit zur Zusammenstellung, konsistenten Berichtigung, Sperrung und Löschung aller zu einer Person gespeicherten Daten.

Das Modell wurde von den Aufsichtsbehörden (bis auf die Enthaltung der bayrischen Aufsichtsbehörde) anerkannt und wird derzeit in der zweiten Version überarbeitet und auf den aktuellen Stand der Europäischen Datenschutz-Grundverordnung gebracht. Gerne informieren wir Sie über Neuigkeiten zum Stand und stehen wir für Rückfragen zur Verfügung.

 ____________

[1] Ausführliche Hinweise zum Standarddatenschutzmodell finden Sie unter: https://www.saechsdsb.de/images/stories/sdb_inhalt/schwerpunkt/SDM-Methode_V_1_0.pdf