Bundesamt für Sicherheit in der Informationstechnik

M 2.501 Datenschutzmanagement

Verantwortlich für Initiierung: Behörden-/Unternehmensleitung

Verantwortlich für Umsetzung: Datenschutzbeauftragter, IT-Sicherheitsbeauftragter

Mit Datenschutzmanagement werden die Prozesse bezeichnet, die notwendig sind, um die Umsetzung der gesetzlichen Anforderungen des Datenschutzes bei der Planung, Einrichtung, dem Betrieb und nach Außerbetriebnahme von Verfahren zur Informationsverarbeitung sicher zu stellen. Datenschutzmanagement ist die übergeordnete Umsetzung des Datenschutzes in einer Organisation oder bei Großverfahren. Nachfolgend wird ein Musterprozess für das Datenschutzmanagement beschrieben, der als Beispielprozess und Vorschlag zu sehen ist. Der Prozess orientiert sich an den BSI -Standards 100-1 und 100-2 und ist als integrativer Bestandteil des Sicherheitsprozesses nach IT-Grundschutz anzusehen, kann aber auch als eigenständiger Prozess behandelt werden, wenn vorrangig der Datenschutzaspekt behandelt werden soll. Sinnvollerweise wird dieser Prozess nicht für einzelne Verfahren eingerichtet und betrieben, sondern für die gesamte Organisation und alle Verfahren, in denen personenbezogene Daten verarbeitet werden.

Der Datenschutzprozess

Herzstück des Datenschutzmanagements ist der Datenschutzprozess. Er ist wie der Sicherheitsprozess als zyklischer Prozess ausgelegt, um bei geändertem Umfeld die Einhaltung geltenden Datenschutzrechtes kontinuierlich sicherstellen zu können. Er deckt die Aufgaben in einer Organisation ab, die sich auf strategischer, taktischer oder operativer Ebene ergeben. Der Prozess bedient sich dabei einzelner Maßnahmen, die im Folgenden beschrieben sind. Er ist so ausgelegt, dass er die Errichtung eines Datenschutzmanagements auch in Organisationen ermöglicht, die noch über keine Strukturen zur Umsetzung des Datenschutzes verfügen. Die folgende Abbildung stellt den Prozess dar:

Im Folgenden werden die nun die einzelnen Prozessschritte bzw. Teilprozesse erläutert.

Initialisierung des Datenschutzprozesses

In diesem Prozessschritt sind die Maßnahmen angesiedelt, die eine strategische Zielstellung (Geltungsdauer bis zu fünf Jahren) haben. Sie beinhalten:

Erarbeitung einer Datenschutz-Richtlinie, in der Regel im Rahmen einer behörden- oder unternehmensweiten Sicherheitsrichtlinie: Diese kann als Zielstellungen unter anderem formulieren:

  • Regelkonformität ("Compliance") mit minimalen Aufwand oder
  • Datenschutz als Wettbewerbsvorteil ("USP": Unique Selling Proposition)

Einrichtung eines Datenschutzmanagements, in der Regel innerhalb des Sicherheitsmanagements. Wichtige Teilaspekte sind die Regelung der Zuständigkeiten (Rolle und Funktion des Datenschutzbeauftragten in Abgrenzung zu und Zusammenarbeit mit den Datensicherheitsbeauftragten), Prozessdefinitionen und Bereitstellung von Ressourcen (Personalkapazitäten).

Erstellung eines Datenschutzkonzepts

Das Datenschutzkonzept ist das Pendant zum Sicherheitskonzept (Geltungsdauer ein bis drei Jahre). Für den Inhalt wird auf Maßnahme M 2.503 Aspekte eines Datenschutzkonzeptes verwiesen.

Umsetzung der erforderlichen Maßnahmen

Dieser Prozessschritt beinhaltet die Umsetzung der im Datenschutzkonzept festgelegten, bislang noch nicht umgesetzten Maßnahmen. Die Umsetzung erfolgt im Rahmen eines klassischen Projektmanagements mit einem Projekt- und Arbeitsplan.

Aufrechterhaltung des Datenschutzes im laufenden Betrieb

Die Aufgabe dieses Teilprozesses ist es, auf Änderungen und Störungen im laufenden Betrieb der Verfahren zu reagieren, in denen personenbezogener Daten verarbeitet werden. Dies sind vor allem:

  • Änderungen im Datenschutzrecht
  • Änderungen in den (IT-)Verfahren
  • Störungen in den operativen Betriebsabläufen, die als Sicherheitsvorfall zu klassifizieren sind
  • Technischer Fortschritt und reduzierter Aufwand für bisher nicht realisierte Maßnahmen.

Zu diesem Zweck wird begleitend zum Sicherheitsprozess eine Reihe von Sub-Prozessen benötigt, die Änderungen und Störungen aus Datenschutzsicht eigenständig bearbeiten bzw. lösen. Die Ergebnisse können gegebenenfalls auch Strukturänderung im Datenschutzmanagement oder Aktualisierungen des Datenschutzkonzeptes (Aktualisierung) zur Folge haben.

Die folgende Abbildung stellt die Sub-Prozesse in einer Übersicht dar:

Management von Sicherheitsvorfällen

Das Management von Sicherheitsvorfällen bei IT-Verfahren im laufenden Betrieb muss auch gegebenenfalls die Vorfälle und ihre Folgen unter dem Gesichtspunkt des geltenden Datenschutzrechtes behandeln. Dies geschieht zweckmäßigerweise in Zusammenarbeit mit dem IT-Sicherheitsbeauftragten, der das Sicherheitsvorfall-Team leitet. Aufgaben des begleitenden Datenschutzmanagements können hier sein:

  • Priorisierung von technischen und organisatorischen Maßnahmen zur Problemanalyse und Problemlösung bzw. Beweissicherung unter Datenschutzgesichtspunkten
  • Behandlung juristischer Aspekte unter dem Gesichtspunkt des Datenschutzrechtes.

Unter dem Gesichtspunkt der Prozessintegration ist es sinnvoll, dass der Sicherheitsprozess das entsprechende Datenschutzmanagement auslöst bzw. den entsprechenden Sub-Prozess aufruft. In der Praxis kann dies beispielsweise bedeuten, dass bei Sicherheitsvorfällen, die Verfahren betreffen, in denen personenbezogene Daten verarbeitet werden, der Datenschutzbeauftragte automatisch Mitglied des Sicherheitsvorfall-Teams wird. Er kann so in die Informationen und Prozessabläufe optimal eingebunden werden. Unter diesem Management ist auch eine Beschreibung zu verstehen, wo bzw. von wem im Unternehmen oder der Behörde Datenschutzvorfälle gemanagt werden.

Management der Lebenszyklen von IT-Verfahren unter Datenschutzgesichtspunkten

Beim Management der Lebenszyklen von IT-Produkten und -Verfahren kommt ein Lebenszyklusmodell zur Anwendung, das sich am allgemeinen Lebenszyklusmodell der BSI-Standards und der IT-Grundschutz-Kataloge orientiert.

Innerhalb der jeweiligen Phasen ist eine Reihe von Maßnahmen aus dem Baustein B 1.5 Datenschutz zu berücksichtigen. Dies umfasst:

Darüber hinaus sollte bei der Planung und Konzeption von neuen IT-Verfahren geprüft werden, ob Privacy Enhancing Technologies (PETs) eingesetzt werden können. PETs unterstützen technisch die Umsetzung von Datenschutzgrundsätzen wie Datensparsamkeit, Zweckbindung oder das Transparenzgebot. Beispiele für PETs sind Protokolle wie P3P (Platform for Privacy Preferences) und Verfahren zur Anonymisierung und Pseudonymisierung von Daten beim Netzwerktransfer, der Datenhaltung in Datenbanken oder dem Data-Mining (Privacy Preserving Data Mining, PPDM). Aber auch Wiedervorlagefunktionen in Programmen, die die Einhaltung von Löschfristen bei der Speicherung von personenbezogenen Daten unterstützen, zählen dazu.

Management von Änderungen im Datenschutzrecht

Änderungen im Datenschutzrecht sind zu verfolgen und hinsichtlich ihrer Auswirkungen auf die Verfahren, in denen personenbezogene Daten verarbeitet werden, zu beurteilen. Dieser Sub-Prozess lässt sich auch in das behörder- oder unternehmensweite Monitoring von Änderungen in relevanter Gesetzgebung integrieren.

Technologie-Monitoring

Das Technologie-Monitoring verfolgt gemeinsam mit dem Sicherheits-Management den "Stand der Technik" bezogen auf Informationssicherheit und Datenschutz. Unter Maßgabe der einschlägigen Datenschutzgesetzgebung und deren Anwendung gibt dieser Sub-Prozess Impulse für die Weiterentwicklung von Datenschutz- und Sicherheitskonzept.

Monitoring und Management von Änderungen in den IT-Grundschutz-Katalogen

Beim allgemeinen Monitoring sind auch Aktualisierungen der BSI-Standards und der IT-Grundschutz-Kataloge, insbesondere des Datenschutzbausteins zu berücksichtigen. Neben Impulsen für die Weiterentwicklung von Datenschutz- und Sicherheitskonzept sind auch die Schnittstellen zu Sicherheitsmanagement zu überprüfen und gegebenenfalls anzupassen.

Zusammenfassung

Das vorgeschlagene Prozessmodell bietet vielfältige Anknüpfungspunkte und dadurch Synergien zu den entsprechenden Sicherheitsprozessen der BSI-Standards. Diese Synergien können von einer Kooperation der Prozesse, der Integration von Dokumenten (z. B. Datenschutz- und Sicherheitskonzept) und Dokumentation bis hin zur vollständigen Integration der Prozesse reichen. Dies kann sich auch auf Funktionsträger erstrecken: ein IT-Sicherheitsbeauftragter kann die Rolle des Datenschutzbeauftragten in Personalunion wahrnehmen, wenn er die geeignete Sachkunde mitbringt und im Bereich der IT nicht gleichzeitig konzeptionelle und operative Aufgaben wahrnimmt (Vermeidung einer Interessenkollision). Dies ist insbesondere in kleinen Organisationen von Bedeutung.

Die folgende Abbildung 3 stellt dies schematisch dar.

Prüffragen:

  • Liegt eine aktuelle Datenschutz-Richtlinie vor?

  • Sind Datenschutz- und Sicherheitsmanagement aufeinander abgestimmt?

  • Werden Änderungen im Datenschutzrecht und von anderen Rahmenbedingungen verfolgt und in den Datenschutzprozess integriert?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK