Bundesamt für Sicherheit in der Informationstechnik

M 2.509 Datenschutzrechtliche Freigabe

Verantwortlich für Initiierung: Behörden-/Unternehmensleitung, Datenschutzbeauftragter

Verantwortlich für Umsetzung: Behörden-/Unternehmensleitung

Software und IT-Verfahren sind mit systematisch entwickelten Fall-Konstellationen (Testdaten, keine personenbezogenen Echtdaten) nach einem Testplan, aus dem das gewünschte Ergebnis hervorgeht, zu überprüfen (siehe auch M 2.83 Testen von Standardsoftware ). Massentests können, wenn erforderlich, nach Zustimmung und Vorgaben der fachlich dafür zuständigen Stelle mit anonymisierten Originaldaten durchgeführt werden. Die Zustimmung der fachlich zuständigen Stelle zur Anonymisierung von Originaldaten und alle Testergebnisse sind revisionssicher zu dokumentieren.

Tests mit einer Kopie der erforderlichen, nicht-anonymisierten Originaldaten (personenbezogene Echtdaten) sind nur zulässig, wenn

  • eine andere Rechtsvorschrift dies ausdrücklich erlaubt oder
  • sich im Ausnahmefall trotz Nachbildung im Testbereich ein Fehler aus dem Produktionsbetrieb nicht ermitteln, sondern nur mit Originaldaten aufklären lässt, oder die Verfahrenssicherheit nicht anders gewährleistet werden kann,
  • eine bereichsspezifische Rechtsvorschrift dies nicht ausdrücklich untersagt,
  • eine Anonymisierung der Originaldaten für die vorgesehene Test-Konstellation nur mit einem unvertretbar hohem Aufwand verbunden wäre,
  • die fachliche verantwortliche Stelle dem Vorgehen schriftlich zugestimmt hat,
  • bei der Durchführung oder Auswertung des Tests die schutzwürdigen Belange der Betroffenen und die Informationssicherheit angemessen berücksichtigt werden,
  • sichergestellt ist, dass nur die für die Fehlerbehebung und Durchführung des Tests erforderlichen Personen die Daten nutzen können und
  • Zugang zu diesen Daten nur Personen erhalten, die den jeweils maßgebenden Vertraulichkeitsgrundsätzen und insbesondere datenschutzrechtlichen Vorschriften unterliegen.

Der/die behördliche bzw. betriebliche Datenschutzbeauftragte bzw. eine sonstige dafür zuständige Stelle ist rechtzeitig vor den geplanten Tests mit Originaldaten zu informieren.

Der Kopierzugriff auf die Originaldaten ist zu protokollieren. Nach Beendigung des Tests ist die benutzte Kopie der Originaldaten unverzüglich aus dem Testbereich zu löschen bzw. im Testbereich zu anonymisieren. Die Verwendung von Originaldatenkopien ist mit Anlass, Begründung, Umfang und Dauer, die getroffenen Sicherheitsmaßnahmen sowie die vorangehenden Tests mit Testdaten revisionssicher zu dokumentieren.

Es muss geregelt sein, wie IT-Verfahren abgenommen, freigegeben, eingespielt bzw. benutzt werden dürfen. Auf die Maßnahmen M 2.62 Software-Abnahme- und Freigabe-Verfahren bzw. Baustein B 1.10 Standardsoftware wird verwiesen.

Die Freigabe von IT-Verfahren mit der Verarbeitung personenbezogener Daten setzt eine Prüfung auch aus datenschutzrechtlicher Sicht voraus. Die vorherige Beteiligung des Landesbeauftragten für den Datenschutz wird in einigen Landesdatenschutzgesetzen vorgeschrieben.

Prüffragen:

  • Wird der Datenschutzbeauftragte vor den Software-Tests mit Daten, die Personbezug haben könnten, informiert?

  • Wird vor der Freigabe von IT-Verfahren, die personenbezogene Daten verarbeiten, eine datenschutzrechtliche Prüfung durchgeführt?

Stand: 13. EL Stand 2013