Neben diesen Gefahren für die Sicherheit informationstechnischer Systeme hat meine Dienststelle gemeinsam
mit den Landesbeauftragten für Datenschutz und der Universität Dresden an einem Projekt zur Weiterentwicklung der Grundlagen des technologischen Datenschutzes mitgewirkt (vgl. Nr. 5.14.1) und bei der Erneuerung
von Normen zur Vernichtung von Daten (vgl. Nr. 5.14.2 und Nr. 8.4) mitgearbeitet.
Die folgenden Beiträge zum Identitätsdiebstahl (Nr. 5.14.3) und zur Zusammenlegung der IT im Geschäftsbereich des BMI (Nr. 5.14.4) zeigen noch einmal die Spannweite technologischer Themen.
5.14.1 Das Standard-Datenschutzmodell
Seit Jahren entwickeln sich die technisch-organisatorischen Regelungen in den Datenschutzgesetzen des Bundes und der Länder auseinander. 2001 hat ein Gutachten im Auftrag des BMI eine Überarbeitung der technischen und organisatorischen Datenschutzanforderungen für das BDSG vorgeschlagen. Aber nur wenige Bundesländer haben ihre Gesetze bereits auf den neuesten Stand der Technik gebracht.
Seit Jahren ist der Trend zu erkennen, dass die Anwendung der für den Bereich der IT-Sicherheit vom BSI entwickelte Methodik „IT-Grundschutz“ als hinreichend zur Erfüllung der technisch-organisatorischen Maßnahmen nach § 9 BDSG nebst Anlage angesehen wird. Dabei wird allerdings in den meisten Fällen vergessen, dass
die Anforderungen des Datenschutzes in vielen Fällen über die IT-Grundschutzmaßnahmen hinausgehen oder
- teilweise - diesen sogar widersprechen. Beispielweise kann die Forderungen nach Protokollierung zum Grundsatz der Datensparsamkeit in Widerspruch stehen. Datenschutz bedeutet eben mehr als nur die Umsetzung der
IT-Grundschutzmaßnahmen (vgl. z. B. 15. TB Nr. 30.8). Gleichwohl findet in der Praxis nur der IT-Grundschutz als praktikable Lösung Anwendung. Darauf aufbauend müssen aber zusätzliche, relativierende oder auch
abweichende Datenschutzmaßnahmen festgelegt werden. Das Standard-Datenschutzmodell, das von einer Arbeitsgruppe des Arbeitskreises Technik der Datenschutzbeauftragten des Bundes und der Länder entwickelt
wurde, ergänzt und erweitert in diesem Sinne die Anforderungen zur IT-Sicherheit.
In der Praxis orientiert sich die Datensicherheit heute unter anderem an der ISO Standard-Reihe 2700x der Internationalen Organisation für Normung (27001 Informationssicherheits-Managementsystem usw.) und an der
ISO-Norm 15408 (Common Criteria for Information Technology Security Evaluation, vgl. 19. TB Nr. 4.3). Daraus ergibt sich, dass für die technisch-organisatorischen Regelungen des Datenschutzes ein Augenmerk auf die
Aspekte von Planung, Kontrolle, Prüfung, Bewertung und die organisationsinterne Form der Verarbeitung und
Nutzung gelegt werden sollte.
Das in einer Arbeitsgruppe entwickelte Standard-Datenschutzmodell greift diese Gedanken auf und definiert unter den vorgenannten Bedingungen die elementaren Schutzziele des Datenschutzes: (vgl. Kasten a und b zu
Nr. 5.14.1).
Ich fordere schon seit längerem, dass diese elementaren Schutzziele sowie die ergänzenden Definitionen in das
BDSG oder in die neue Datenschutz-Grundverordnung aufgenommen werden sollten. Ich habe die Schutzziele
leider erfolglos eingebracht. Die Schutzziele sollten dabei möglichst zutreffend (reliabel/valide), kontrollierbar,
entwicklungsfähig, vollständig sowie allgemeinverständlich und normenklar formuliert sein. Die spezifischen
Maßnahmen zum Erreichen der Schutzziele müssen ebenfalls rechtlich verankert werden. Über die Schutzbe darf-Feststellung kann dann geklärt werden, welche Maßnahmen zu treffen sind (Konzeptphase) oder welche
Maßnahmen hätten getroffen werden müssen (Prüfphase) mit anschließender Bewertung der Maßnahmen (Bewertungsphase). Schließlich habe ich die hier vorgestellten Überlegungen zum Standard-Datenschutzmodell
auch in der Artikel-29-Gruppe eingebracht. Hier konnte allerdings bislang keine Einigung über das weitere Vorgehen erzielt werden. Die Ziele lösten bislang nur eine verstärkte Diskussion aus über ihre Definition.
BfDI 25. Tätigkeitsbericht 2013-2014
– 99 –