Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen

Transkript

1 P009a.xml (14006.fmt), Seite 1 von 16 Datenschutzaudit 9a 9a Datenschutzaudit 1 Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Datenverarbeitungssystemen und -programmen und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter prüfen und bewerten lassen sowie das Ergebnis der Prüfung veröffentlichen. Die näheren Anforderungen an die Prüfung und Bewertung, das Verfahren sowie die Auswahl und Zulassung der Gutachter werden durch besonderes Gesetz geregelt. Darum geht es Es handelt sich um die gesetzliche Möglichkeit zum Erlass eines gesonderten Ausführungsgesetzes, das die Prüfungsanforderungen und Verfahrensregelungen eines bundesweit einheitlichen Datenschutzauditverfahrens regelt. Schlagworte Audit; Produktaudit; Verfahrens- und Systemaudit; Auditverfahren; Audit-Prüfkatalog; Gutachter; Datenschutzkonzept; Technische Einrichtung; liche Überprüfung eigener Datenschutzkonzepte; liche Überprüfung eigener technischer Einrichtungen; Veröffentlichung von Prüfungsergebnissen; Gütesiegel; ISO-Norm 7001; BSI-Grundschutzkatalog; Baustein Datenschutz; Düsseldorfer Kreis; Stiftung Datenschutz Weitere relevante Vorschriften Landesdatenschutzgesetze; Spezialgesetzliche Bundesgesetze, z.b. TKG, TMG; Verwaltungsverfahrensgesetz A. Allgemeines I. Regelungszweck II. Ausblick auf die Novellierung des Europäischen s B. Inhalt der Regelung I. Adressaten... 7 II. Regelungsgehalt, Satz Produktaudit Verfahrens- bzw. Systemaudit III. Regelungsgehalt, Satz IV. Bisherige Entwicklung Stand der Bundesgesetze Stand der Landesgesetze Exemplarisch der Stand in der Schweiz Heute bestehende Gütesiegel Dach-Zertifizierung der Stiftung Datenschutz V. Das eigene Audit-System und der eigene Audit-Prüfkatalog Standard-Dokumente für den Aufbau eines eigenen Audit-Systems Standard-Dokumente für den Aufbau eines eigenen Audit-Prüfkatalogs Weitere relevante (anerkannte) Standards und deren Fundstellen C. Muster I. Zutrittskontrolle: Auszug Audit-Fragen II. Zugangskontrolle: Auszug Audit-Fragen III. Zugriffskontrolle: Auszug Audit-Fragen IV. Weitergabekontrolle: Auszug Audit-Fragen V. Eingabekontrolle: Auszug Audit-Fragen VI. Auftragskontrolle: Auszug Audit-Fragen VII. Verfügbarkeitskontrolle: Auszug Audit-Fragen VIII. Trennungskontrolle: Auszug Audit-Fragen... 5 A. Allgemeines I. Regelungszweck Der Regelungszweck des 9a besteht darin, sowohl den Anbietern von Datenverarbeitungssystemen und -programmen als auch den datenverarbeitenden Stellen selbst die Möglichkeit eines freiwilligen Datenschutzaudits einzuräumen. Zur Verbesserung des Datenschutzes und der Datensicherheit sollen die eigenen Datenschutzkonzepte sowie die eigenen technischen Einrichtungen durch unabhängige und zugelassene Prüfer überprüft und bewertet werden können. Anbieter von Datenverarbeitungssystemen und -programmen sowie datenverarbeitende Stellen sollen schließlich die Möglichkeit erhalten, die Ergebnisse dieser Überprüfung zu veröffentlichen. 1 Saeugling 309

2 P009a.xml (14006.fmt), Seite von 16 9a Datenschutzaudit Gerade die Möglichkeit, eine erteilte Zertifizierung gezielt zu Werbezwecken einsetzen zu können, sollte nicht nur die freiwillige Durchführung fördern, sondern dem Anbieter einen Wettbewerbsvorteil verschaffen, der in einer gewöhnlichen Konkurrenzsituation am Markt immer auch zu einer allgemeinen Verbesserung des Datenschutzes und der Datensicherheit und damit einhergehend zu datenschutzfreundlicheren Produkten führt. 1 Diese in 9a Satz 1 zum Ausdruck kommende Intention des Gesetzgebers steht jedoch gemäß 9a Satz unter dem Vorbehalt des Erlasses eines Ausführungsgesetzes, das die näheren Anforderungen an die Prüfung und Bewertung, das zugrunde liegende Verfahren sowie die sachgerechte Auswahl und Zulassung der Gutachter beinhaltet. Da bis heute kein solches Ausführungsgesetz existiert, gibt es in der Bundesrepublik Deutschland bis heute kein bundesweit gültiges, einheitliches und freiwilliges Datenschutzauditverfahren. II. Ausblick auf die Novellierung des Europäischen s In Erwägungsgrund 77 der EU-VO fordert der europäische Gesetzgeber, dass zur Erhöhung der Transparenz und zur Verbesserung der Einhaltung dieser Verordnung angeregt werden soll, dass Zertifizierungsmechanismen sowie Datenschutzsiegel und -prüfzeichen eingeführt werden, die den betroffenen Personen einen raschen Überblick über das Datenschutzniveau einschlägiger Erzeugnisse und Dienstleistungen ermöglichen. 3 Neben den in Art. 38 der EU-VO geforderten Verhaltensregeln legt insofern Art. 39 der EU-VO den Mitgliedstaaten und der Kommission die Pflicht zur Förderung von Zertifizierungsverfahren sowie von Datenschutzsiegeln und -prüfzeichen auf europäischer Ebene auf. Die Kommission soll gemäß Art. 39 EU-VO ermächtigt werden, die Kriterien und Anforderungen der Zertifizierungsverfahren einschließlich der Bedingungen für die Erteilung und den Entzug der Zertifizierung sowie der Anforderungen für die Anerkennung der Zertifizierung in der Union und in Drittländern durch sogenannte delegierte Rechtsakte festzulegen. Ferner soll es zur Aufgabenkompetenz der Kommission gehören, technische Standards für die Zertifizierungsverfahren sowie Datenschutzsiegel und -zeichen und die Verfahren zur Förderung und Anerkennung von Zertifizierungsverfahren und Datenschutzsiegeln und -zeichen festzulegen. Kritisiert werden diese Regelungen dahingehend, dass sich nur eine Förderungsabsicht findet und nicht bereits eindeutige Regelungen aufgenommen wurden. Da die datenschutzspezifischen Zertifizierungsverfahren nur der ordnungsgemäßen Anwendung der EU-VO dienen sollen, vermisst man gegenwärtig die einem Verfahrens- bzw. Systemaudit typischen Vorgaben zur kontinuierlichen Verbesserung von Datenschutz und Datensicherheit. Dies erscheint jedoch zumindest derzeit als konsequent, als dass die EU-VO nicht zwischen einem Produkt- und einem Verfahrens- bzw. Systemaudit unterscheidet. B. Inhalt der Regelung 7 I. Adressaten 9a gilt für alle öffentlichen Stellen des Bundes wie auch für alle nicht-öffentlichen Stellen. Der Regelungsinhalt richtet sich an Anbieter von Datenverarbeitungssystemen und -programmen und an alle Daten verarbeitenden Stellen, womit die verantwortliche Stelle gemäß 3 Abs. 7 gemeint ist. 4 1 So auch Simitis/Scholz, 9a Rn. 3 f.; Bergmann/Möhrle/Herb, 9a Rn. 4, vgl. auch die Begründung des Gesetzentwurfs BT-Drs. 16/1011. Siehe auch Simitis/Scholz, 9a Rn. 1; Bergmann/Möhrle/Herb, 9a Rn EU-VO, KOM(01) 11 endgültig, S So auch Bergmann/Möhrle/Herb, 9a Rn Saeugling

3 P009a.xml (14006.fmt), Seite 3 von 16 Datenschutzaudit 9a II. Regelungsgehalt, Satz 1 Nach Satz 1 können sowohl technische Einrichtungen wie auch Datenschutzkonzepte Gegenstand einer Auditierung sein, was an sich zwei voneinander zu trennende Auditierungskonzepte erfordert. Die Auditierung einer technischen Einrichtung erfolgt durch ein sogenanntes Produktaudit. Datenschutzkonzepte werden bislang im Rahmen von Verfahrens- bzw. Systemaudits überprüft Produktaudit Im Rahmen eines Produktaudits können Anbieter von Datenverarbeitungssystemen oder -programmen eine einmalige Bewertung von Datenschutz- und Datensicherheitseigenschaften eines Produktes vornehmen lassen. Eine solche Prüfung ist immer objektorientiert und statisch 6 und bestätigt die Konformität eines Produktes zu einem bestimmten Zeitpunkt. Dieser Zeitpunkt liegt in jedem Fall vor dem initialen Go live eines Produktes beim Käufer und beurteilt das Produkt losgelöst von seiner konkreten Anwendungsform und dem Systemumfeld beim Käufer. Produktaudits sind in erster Linie für Hersteller von Datenverarbeitungssystemen oder -programmen von Interesse. Aber auch die nachgelagerten Vertriebsorganisationen solch einer Soft- und Hardware sind Adressaten von derart konzipierten Produktaudits. 7. Verfahrens- bzw. Systemaudit Im Rahmen eines Verfahrens- bzw. Systemaudits können datenverarbeitende (verantwortliche) Stellen eine Bewertung ihrer Datenschutzkonzepte vornehmen lassen. Im Unterschied zu einem Produktaudit ist solch eine Prüfung heute immer prozessorientiert und dynamisch. 8 Das Verfahrens- bzw. Systemaudit beinhaltet zunächst einmal die reine Bestätigung der Gesetzeskonformität (objektiver Maßstab) sowie in jedem Fall ergänzend freiwillige, individuell festgelegte Anstrengungen zur Verbesserung des Datenschutzes und der Datensicherheit (subjektiver Maßstab). 9 In Anlehnung an das Informationssicherheits-Managementsystem (ISMS) der ISO-Norm 7001 spricht man hinsichtlich der Festlegung von umzusetzenden Zielen, Prozessen und Strategien gerne auch von einem Datenschutzmanagementsystem, bei dem wie im Fall des klassischen ISMS die Wechselwirkung und Transparenz von Aktivitäten im Vordergrund stehen. Auch diese Prüfung ist Gegenstand eines Verfahrens- bzw. Systemaudits, auch wenn hinsichtlich des sogenannten Datenschutzmanagementsystems bis heute keine anerkannte, allgemeingültige Normierung existiert (subjektiver Maßstab). Datenverarbeitende Stellen im Sinne der Vorschrift sind alle verantwortlichen Stellen gemäß 3 Absatz 7. III. Regelungsgehalt, Satz Gemäß 9a Satz ist jedoch noch die Verabschiedung eines gesonderten Ausführungsgesetzes erforderlich, dass die näheren Anforderungen an die Prüfung und Bewertung, das Verfahren sowie die Auswahl und Zulassung der Gutachter regelt. Die Einführung eines bundesweit einheitlichen Datenschutzauditverfahrens unterliegt damit dem verfassungsrechtlichen Vorbehalt eines solchen Ausführungsgesetzes. Ein solches Gesetz existiert bis heute nicht. Sollte es ein solches Gesetz tatsächlich entgegen allen Erwartungen in Zukunft geben, so wäre dieses Gesetz ohnehin als Spezialgesetz gemäß 1 Abs. 3 dem BDSG vorrangig. 9a ist damit nicht sehr viel mehr als eine (politische) Willensbekundung Simitis/Scholz, 9a Rn. 3, vgl. auch Roßnagel, Datenschutzaudit, 000, S. 56 ff. und S. 138 ff., der das Verfahrensaudit ohne große inhaltliche Abweichung Systemaudit nennt. 6 Simitis/Scholz, 9a Rn. 4, vgl. insbesondere Roßnagel, in: FS Büllesbach 00, S. 140 f. 7 Simitis/Scholz, 9a Rn Simitis/Scholz, 9a Rn Simitis/Scholz, 9a Rn. 9 f., vgl. auch Hammer/Schuler, DuD 007, vgl. Roßnagel, Datenschutzaudit, 000, S. 140; Bergmann/Möhrle/Herb, 9a Rn. 0; Simitis/Scholz, 9a Rn. 40. Saeugling 311

4 Datenschutz im Unternehmen verantwortungsvoll ausführen! NEU! ISBN , 1084 Seiten, 16,5 x 4,4 cm, Buch (Hardcover) SUBSKRIPTIONSPREIS 98,00 bis 4 Wochen nach Erscheinen, danach 118,00 Auch als E-Book (PDF), ISBN PDF E-Book Jetzt versandkostenfrei (deutschlandweit) bestellen: Bestellung und Beratung: Tel. 0 1 / Fax: 0 1/ wirtschaft@bundesanzeiger.de

5 BESTELLSCHEIN shop.bundesanzeiger-verlag.de/ per Fax an 0 1/ wirtschaft@bundesanzeiger.de im Fensterkuvert einsenden an: Telefonische Bestellung: 0 1/ Datenschutz im Unternehmen verantwortungsvoll ausführen Bundesanzeiger Verlag Postfach Köln Ja, hiermit bestelle ich... Expl. Subskriptionspreis bis 4 Wochen nach Erscheinen... 98,00, danach ,00 Preise inkl. MwSt. und Versandkosten (deutschlandweit) PDF E-Book Als E-Book (PDF) bitte online unter shop.bundesanzeiger-verlag.de/ bestellen und downloaden Einzelplatzlizenz, Mehrplatzlizenzen auf Anfrage Deutschlandweit Versandkostenfrei! Versandkostenpauschale europaweit 4,00, weltweit 8,00 ABSENDER: Firma Name, Vorname Straße, Nr. PLZ, Ort Telefon wichtig bei der Bestellung von Online-Produkten Fax Ja, ich möchte kostenlos über Neuerscheinungen, Angebote und Aktionen per auf dem Laufenden gehalten werden. Diese Zustimmung ist freiwillig und kann jederzeit unter vertrieb@bundesanzeiger.de widerrufen werden. Jetzt 4 Wochen unverbindlich und kostenlos testen! IHRE ZUFRIEDENHEIT UNSERE GARANTIE Sie bestellen bei uns zur Ansicht und können unsere Produkte, ausgenommen CD-ROMs, DVDs, Online-Datenbanken und E-Books, zunächst kostenlos testen. Sollten Sie nach Prüfung wider Erwarten nicht zufrieden sein, senden Sie das Produkt einfach zurück weiter brauchen Sie nichts zu unternehmen. VERBRAUCHERSCHUTZHINWEIS: Diese Bestellung kann innerhalb von 4 Wochen nach Absendung ohne Begründung schriftlich oder in anderer Textform bei der Bundesanzeiger Verlagsges. mbh., Amsterdamer Str. 19, Köln, widerrufen werden. Zur Fristwahrung genügt die rechtzeitige Absendung des Widerrufs innerhalb dieses Zeitraumes. Der Widerruf verpflichtet zur Rücksendung der Ware, Beschädigung der Ware verpflichtet zum Kauf. DATENSCHUTZHINWEIS: Ihre Daten sind bei uns in sicheren Händen! Informationen zu unseren AGB und Datenschutzbestimmungen finden Sie unter Ihre Bundesanzeiger Verlag GmbH Datum, Unterschrift VIELEN DANK FÜR IHRE BESTELLUNG!