Kein Katalog, sondern ein Schutzniveau
Die Norm verlangt eine Begründung, warum eine Maßnahme zu einem bestimmten Risiko passt. Genau diese Begründung fehlt in den meisten Maßnahmenlisten.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Liste ist vollständig, die Begründung dahinter existiert nicht
Fast jede Maßnahmenliste, die in Verträgen und Ordnern kursiert, folgt derselben Gliederung: Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle, Trennungsgebot. Diese acht Punkte stammen aus der Anlage zu Paragraf 9 Satz 1 des bis Mai 2018 geltenden Bundesdatenschutzgesetzes. Im heutigen Bundesdatenschutzgesetz gibt es keine solche Anlage mehr. Ein Katalog dieser Art steht nur noch in Paragraf 64 Absatz 3, und der gilt nach Paragraf 45 ausschließlich für Behörden, die Straftaten verhüten, verfolgen oder ahnden.
Die Gliederung ist damit nicht falsch, sie ist nur nicht mehr das, wonach gefragt wird. Artikel 32 fragt nach dem Verhältnis zwischen einem Risiko und einer Maßnahme. Eine Liste, die für den Newsletterversand dieselben Punkte nennt wie für ein Personalsystem mit Krankmeldungen, kann dieses Verhältnis nicht abbilden, weil sie das Risiko nirgends benennt.
Sichtbar wird die Lücke in zwei Situationen. Nach einem Vorfall fragt die Aufsichtsbehörde, welche Maßnahmen für die betroffene Verarbeitung galten und warum sie als angemessen eingeschätzt wurden. Und bei einem Dienstleistervertrag hängt an derselben Anlage die Frage, was der Anbieter eigentlich zugesagt hat. In beiden Fällen ist eine allgemeine Liste keine Antwort, sondern der Beginn einer längeren Nachfrage.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wie Artikel 32 Absatz 1 aufgebaut ist
Der Satz besteht aus zwei Teilen. Vor dem Doppelpunkt stehen die Größen, aus denen sich das angemessene Schutzniveau ergibt, dahinter vier Buchstaben, die Beispiele und Ziele nennen. Wer beide Teile auseinanderhält, sieht sofort, warum eine Liste ohne Risikobezug die Norm nicht erfüllt.
Der Aufbau
Schutzniveau ← Stand der Technik × Kosten × Art, Umfang, Umstände, Zwecke × Eintrittswahrscheinlichkeit und Schwere → (a) Pseudonymisierung und Verschlüsselung · (b) Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit · (c) Wiederherstellbarkeit · (d) Überprüfung der Wirksamkeit - 01 Die beiden Größen, die nach oben begrenzen
Stand der Technik × KostenDer Stand der Technik beschreibt, was fachlich anerkannt und verfügbar ist, nicht was technisch gerade eben möglich wäre. Die Implementierungskosten dürfen berücksichtigt werden, sind aber kein Argument gegen eine Maßnahme, die zum Risiko passt und zu vertretbarem Aufwand zu haben ist. Beide Größen begründen also, warum du nicht das Aufwendigste einsetzt, sie begründen nicht, warum du gar nichts tust.
- 02 Was die Verarbeitung selbst mitbringt
Art, Umfang, Umstände, ZweckeDiese vier Angaben stehen bereits im Verarbeitungsverzeichnis, deshalb ist das Verzeichnis der natürliche Ausgangspunkt für die Maßnahmenwahl. Ein Personalsystem für 400 Beschäftigte mit Abwesenheitsgründen unterscheidet sich in Art, Umfang und Umständen von einer Adressliste für den Weihnachtsversand, und diese Unterschiede sind der Grund, warum beide nicht dieselbe Maßnahmenliste haben können.
- 03 Das Risiko, und zwar für die betroffenen Personen
Eintrittswahrscheinlichkeit und SchwereGemeint ist das Risiko für die Rechte und Freiheiten natürlicher Personen, nicht der Schaden für dein Unternehmen. Absatz 2 nennt die Ereignisse, um die es geht: Vernichtung, Verlust, Veränderung, unbefugte Offenlegung und unbefugter Zugang. Die Schwere bemisst sich danach, was der betroffenen Person daraus entsteht, etwa Diskriminierung, finanzieller Verlust, Rufschaden oder der Verlust der Kontrolle über die eigenen Daten.
- 04 Die einzigen zwei Techniken, die die Norm beim Namen nennt
(a) Pseudonymisierung und VerschlüsselungBeide sind Beispiele, keine Pflicht. Die Verschlüsselung hat trotzdem eine Sonderstellung, weil Artikel 34 Absatz 3 Buchstabe a die Benachrichtigung betroffener Personen entfallen lässt, wenn die Daten durch Verschlüsselung für Unbefugte unzugänglich waren. Genau deshalb reicht der Eintrag Verschlüsselung nicht: Es kommt darauf an, was verschlüsselt ist und wo die Schlüssel liegen. Ein verschlüsseltes Laufwerk schützt nicht vor einem Angreifer, der mit gültigem Konto am angemeldeten System arbeitet.
- 05 Vier Ziele, die dauerhaft gelten sollen
(b) Vertraulichkeit, Integrität, Verfügbarkeit, BelastbarkeitDer Wortlaut verlangt die Fähigkeit, diese vier Eigenschaften auf Dauer sicherzustellen. Belastbarkeit ist der Begriff, der am seltensten umgesetzt wird: Gemeint ist, dass Systeme unter Last und unter Störung weiterarbeiten. Verfügbarkeit taucht in Maßnahmenlisten dagegen fast immer auf, weil sie mit der ohnehin vorhandenen Sicherung zusammenfällt.
- 06 Die beiden Punkte, die eine Handlung verlangen
(c) Wiederherstellbarkeit · (d) Überprüfung der WirksamkeitBuchstabe c verlangt die Fähigkeit, Verfügbarkeit und Zugang nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Eine Sicherung, die nie zurückgespielt wurde, belegt diese Fähigkeit nicht. Buchstabe d verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Das ist der Punkt, an dem sich eine gepflegte Dokumentation von einer abgelegten unterscheidet, und er fehlt in kopierten Listen fast immer.
Wenn es nicht funktioniert
Das siehst du
Die Maßnahmenliste ist für alle Verarbeitungen im Haus dieselbe, vom Newsletter bis zur Personalakte.
Warum
Die Liste wurde als Unternehmensdokument angelegt statt als Aussage über eine Verarbeitung. Damit fehlt der Bezug zum Risiko, den Artikel 32 Absatz 1 voraussetzt.
Was hilft
Behalte die allgemeine Liste als Beschreibung der Grundsicherung und ergänze für die Verarbeitungen mit erhöhtem Risiko je eine halbe Seite: welches Risiko, welche zusätzliche Maßnahme, welche Begründung.
Das siehst du
In der Liste steht Verschlüsselung, aber niemand kann sagen, was damit gemeint ist.
Warum
Der Eintrag beschreibt eine Technik statt eines Zustands. Ob Daten im Ruhezustand, im Transport oder gar nicht verschlüsselt sind und wer die Schlüssel hält, geht daraus nicht hervor.
Was hilft
Halte je Verarbeitung fest, welche Datenbestände im Ruhezustand verschlüsselt sind, welche Übertragungswege gesichert sind und wo die Schlüssel liegen. Nur diese Angaben tragen später die Prüfung nach Artikel 34 Absatz 3 Buchstabe a.
Das siehst du
Pseudonymisierung wird als Grund dafür genannt, dass eine Auswertung nicht mehr unter die Verordnung falle.
Warum
Pseudonymisierung ist nach Artikel 4 Nummer 5 eine Verarbeitung, bei der die Zuordnung ohne Zusatzinformationen nicht mehr möglich ist. Erwägungsgrund 26 stellt klar, dass solche Daten weiterhin Informationen über eine identifizierbare Person sind.
Was hilft
Prüf, ob die Zusatzinformationen bei irgendeiner beteiligten Stelle noch existieren. Solange sie existieren, ist die Auswertung eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage.
Das siehst du
Die Anlage im Dienstleistervertrag beschreibt Zutrittskontrollen eines Rechenzentrums, das der Anbieter nicht selbst betreibt.
Warum
Die Anlage bildet die Infrastruktur eines Unterauftragnehmers ab, statt die Maßnahmen zu nennen, die der Anbieter selbst verantwortet.
Was hilft
Verlange eine Trennung zwischen eigener Leistung und zugekaufter Infrastruktur. Für die eigene Leistung gehören Rollenkonzept, Schlüsselverwahrung, Protokollierung und deren Aufbewahrung hinein.
Das siehst du
Die Wirksamkeit der Maßnahmen wurde seit ihrer Festlegung nie überprüft.
Warum
Buchstabe d wurde als Beschreibung gelesen statt als Auftrag. Ohne ein festgelegtes Verfahren findet die Überprüfung nicht statt, weil sie niemandem gehört.
Was hilft
Leg einen einfachen, wiederkehrenden Nachweis fest: eine Rückspielprobe aus der Sicherung, eine Durchsicht der Zugriffsrechte nach Personalwechseln, eine Stichprobe in den Protokollen. Drei belegbare Handlungen sind mehr wert als ein umfangreiches Konzept ohne Ergebnis.
Vier Größen bestimmen das angemessene Schutzniveau
- 01 Der Stand der Technik gibt vor, was überhaupt zur Verfügung steht.
- 02 Die Implementierungskosten begrenzen, was verhältnismäßig bleibt.
- 03 Art, Umfang, Umstände und Zwecke beschreiben die Verarbeitung selbst.
- 04 Eintrittswahrscheinlichkeit und Schwere bemessen das Risiko für Betroffene.
- 05 Erst aus allen vier Größen zusammen ergibt sich die passende Maßnahme.
Was du danach begründen kannst, ohne auf eine Vorlage zu zeigen
Der Weg führt nicht über eine bessere Liste, sondern über eine kurze Kette: Verarbeitung, Risiko für die betroffenen Personen, gewählte Maßnahme, Begründung. Diese Kette passt je Verarbeitung auf eine halbe Seite und beantwortet genau die Fragen, die im Ernstfall gestellt werden.
Das Risiko der richtigen Seite zuordnen
Artikel 32 meint das Risiko für die Rechte und Freiheiten natürlicher Personen, nicht den Schaden für dein Unternehmen. Ein Ausfall des Rechnungsprogramms ist ein Betriebsrisiko, der Verlust von Krankmeldungen ein Risiko der betroffenen Person. Die Maßnahmen richten sich nach dem zweiten.
Die vier Größen aus Absatz 1 wirklich anwenden
Stand der Technik und Implementierungskosten begrenzen nach oben, Art, Umfang, Umstände und Zwecke sowie Eintrittswahrscheinlichkeit und Schwere treiben nach oben. Wer alle vier benennt, hat die Begründung schon geschrieben.
Verschlüsselung konkret beschreiben
Der Eintrag Verschlüsselung sagt nichts. Brauchbar wird er erst, wenn feststeht, was verschlüsselt ist, ob im Ruhezustand oder im Transport, und wer die Schlüssel verwahrt. An diesen Angaben hängt nach Artikel 34 Absatz 3 Buchstabe a, ob nach einer Panne die betroffenen Personen benachrichtigt werden müssen.
Pseudonymisierung von Anonymisierung trennen
Pseudonymisierte Daten bleiben nach Erwägungsgrund 26 personenbezogen, solange die Zuordnung mit Zusatzwissen möglich ist. Sie sind eine Schutzmaßnahme nach Buchstabe a, kein Ausstieg aus der Verordnung.
Die Anlage im Dienstleistervertrag lesbar machen
Eine Anlage, die für das gesamte Anbieterportfolio gilt, belegt für den gebuchten Dienst nichts. Du achtest darauf, dass sie zwischen eigener Leistung und zugekaufter Infrastruktur trennt und dass sich aus ihr im Streitfall eine Zusage ableiten lässt.
Buchstabe d nicht überlesen
Die Verordnung verlangt ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit. Das ist der einzige der vier Punkte, der eine wiederkehrende Handlung beschreibt, und er fehlt in Listen am häufigsten.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Warum in der Norm keine Liste steht
Der alte Rechtszustand hatte einen Katalog, und er hat die Erwartungen geprägt. Die Anlage zum früheren Bundesdatenschutzgesetz nannte acht Kontrollen, und wer sie abgearbeitet hatte, konnte auf die Anlage zeigen. Das heutige Bundesdatenschutzgesetz enthält keine entsprechende Anlage mehr. Einen vergleichbaren Katalog gibt es nur noch in § 64 Absatz 3 mit vierzehn Punkten von der Zugangskontrolle bis zur Trennbarkeit, und er gilt nach § 45 ausschließlich für öffentliche Stellen, die Straftaten verhüten, aufklären oder ahnden.
Für Unternehmen gilt stattdessen Artikel 32, und der argumentiert über Angemessenheit. Das ist unbequemer, weil es eine eigene Bewertung verlangt, hat aber einen praktischen Grund: Eine feste Liste wäre für kleine Verarbeitungen zu aufwendig und für riskante zu dünn. Der Preis dafür ist, dass die Begründung mitgeliefert werden muss, denn ohne sie lässt sich Angemessenheit nicht behaupten.
Die alten acht Kontrollen taugen weiterhin als Gliederung, sie sind nur nicht mehr der Maßstab. Wer sie beibehält, sollte je Punkt eine Aussage über die konkrete Verarbeitung treffen statt eine über das Unternehmen. Der Unterschied liegt zwischen dem Satz, dass ein Rollenkonzept existiert, und dem Satz, dass in diesem Personalsystem drei benannte Rollen existieren, deren Rechte bei jedem Wechsel überprüft werden.
Vom Risiko zur begründeten Maßnahme
Die Kette beginnt bei einer einzelnen Verarbeitung aus dem Verzeichnis, weil dort Art, Umfang, Umstände und Zwecke schon stehen. Dann kommt die Frage, was den betroffenen Personen passieren kann, wenn eines der Ereignisse aus Artikel 32 Absatz 2 eintritt: Vernichtung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugter Zugang. Bei einer Adressliste für Werbepost ist die Antwort überschaubar, bei einer Liste mit Abwesenheitsgründen der Belegschaft nicht.
Die häufigste Verwechslung an dieser Stelle betrifft die Blickrichtung. In vielen Häusern wird das Risiko aus Sicht des Unternehmens bewertet, also nach Umsatzausfall, Wiederherstellungsaufwand und Rufschaden. Artikel 32 fragt nach dem Risiko für die Rechte und Freiheiten natürlicher Personen. Beide Sichtweisen führen häufig zu ähnlichen Maßnahmen, aber nicht immer: Ein Ausfall des Warenwirtschaftssystems ist betrieblich teuer und für betroffene Personen harmlos, während der stille Abfluss einer Bewerberdatei betrieblich kaum auffällt und für die Betroffenen erheblich ist.
Aus der Antwort folgt die Maßnahme, und die Begründung ist dann der kurze Satz, der beide verbindet. Er lautet in der Sache immer gleich: Weil diese Verarbeitung diese Daten in diesem Umfang betrifft und ein Abfluss für die Betroffenen diese Folge hätte, gilt hier zusätzlich diese Maßnahme. Eine halbe Seite je risikoreicher Verarbeitung reicht dafür aus. Genau diese halbe Seite ist es, die nach einem Vorfall verlangt wird.
Pseudonymisierung ist eine Maßnahme, keine Befreiung
Artikel 4 Nummer 5 definiert Pseudonymisierung als Verarbeitung, bei der die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten Person zugeordnet werden können, wobei diese zusätzlichen Informationen gesondert aufbewahrt und technisch geschützt werden. Der entscheidende Halbsatz ist der letzte: Die Zusatzinformationen existieren weiter, sie liegen nur woanders.
Erwägungsgrund 26 zieht daraus die Folge. Pseudonymisierte Daten, die durch Heranziehung zusätzlicher Informationen zugeordnet werden könnten, sind Informationen über eine identifizierbare natürliche Person und fallen unter die Verordnung. Aus dem Anwendungsbereich fällt nur heraus, was anonym ist, sich also auf keine identifizierte oder identifizierbare Person mehr bezieht. Der Unterschied ist nicht graduell, sondern kategorisch: Bei der Pseudonymisierung wird der Schlüssel getrennt aufbewahrt, bei der Anonymisierung wird er vernichtet.
Im Alltag zeigt sich das an drei Stellen. Ein Auswertungsbericht, in dem Namen durch Personalnummern ersetzt sind, ist pseudonymisiert, weil jede Personalabteilung die Nummer auflösen kann. Ein Datensatz mit Geburtsdatum, Postleitzahl und Geschlecht kann selbst ohne Namen wieder zuordenbar sein, wenn die Gruppe klein genug ist. Und eine Vertragsklausel, die dem Anbieter die anonymisierte Auswertung erlaubt, beschreibt in der Sache oft eine Pseudonymisierung, weil der Anbieter die Zuordnung technisch wiederherstellen könnte.
Die Anlage zum Dienstleistervertrag, die etwas belegt
Artikel 28 Absatz 3 Buchstabe c verweist für Auftragsverarbeiter auf Artikel 32, deshalb hängt an jedem Dienstleistervertrag eine Maßnahmenanlage. Sie ist die Stelle, an der die Angemessenheitsfrage zwischen zwei Unternehmen verhandelt wird, und sie ist zugleich die Stelle, an der am häufigsten Textbausteine stehen.
Brauchbar wird eine solche Anlage durch drei Eigenschaften. Sie bezieht sich auf den gebuchten Dienst und nicht auf das gesamte Portfolio des Anbieters. Sie trennt zwischen dem, was der Anbieter selbst verantwortet, und dem, was er von einem Unterauftragnehmer zukauft. Und sie beschreibt Zustände statt Absichten, also welche Daten wo verschlüsselt sind, wie Zugriffsrechte vergeben und entzogen werden, was protokolliert wird und wie lange die Protokolle bleiben.
Nachweise nach Artikel 32 Absatz 3 können über genehmigte Verhaltensregeln oder ein Zertifizierungsverfahren geführt werden. Das ist ein Hilfsmittel und kein Ersatz für die Anlage, denn Zertifikate decken meist ein Unternehmen oder ein Rechenzentrum ab, nicht den einzelnen Dienst. Der Blick in den Geltungsbereich des Zertifikats gehört deshalb zur Prüfung dazu und ist in fünf Minuten erledigt.
Der Teil, der eine wiederkehrende Handlung verlangt
Buchstabe d ist die einzige Vorgabe in Artikel 32 Absatz 1, die nicht einen Zustand beschreibt, sondern ein Verfahren: die regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen. Er wird am häufigsten übergangen, weil er keine Anschaffung ist und deshalb in keinem Beschaffungsvorgang auftaucht.
Wirksam wird er mit wenigen, dafür belegbaren Handlungen. Eine Rückspielprobe aus der Sicherung, die einmal im Jahr tatsächlich stattfindet und deren Ergebnis notiert wird, beantwortet Buchstabe c und d zugleich. Eine Durchsicht der Zugriffsrechte nach jedem Personalwechsel deckt regelmäßig Konten auf, die nach einem Abteilungswechsel ihre alten Rechte behalten haben. Eine Stichprobe in den Protokollen zeigt, ob überhaupt protokolliert wird, was die Dokumentation behauptet.
Der Unterschied zu einem umfangreichen Prüfkonzept liegt im Nachweis. Drei Handlungen mit Datum, Ergebnis und Namen sind belastbar. Ein Konzept, das jährliche Audits vorsieht, die nie stattgefunden haben, ist im Ernstfall schlechter als gar nichts, weil es die eigene Vorgabe dokumentiert und zugleich belegt, dass sie nicht eingehalten wurde.
Dazu passende Kurse
Wer die Begründung nicht jedes Mal neu suchen will, kann technische Schutzmaßnahmen im Kurs einordnen und dabei die eigenen Verarbeitungen zugrunde legen.
Weil ein Teil der Maßnahmen am Ende Administrationsarbeit ist, lohnt daneben das Kursangebot rund um IT-Sicherheit .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Häufige Fragen
Gibt es eine Mindestliste an Maßnahmen, die jeder umsetzen muss?
Reicht ein Zertifikat des Dienstleisters als Nachweis?
Was ist der Unterschied zwischen Pseudonymisierung und Anonymisierung?
Wie ausführlich muss die Dokumentation der Maßnahmen sein?
Quellen
- Artikel 32 DSGVO im Volltext
- § 64 BDSG, Sicherheit der Datenverarbeitung mit dem Katalog aus vierzehn Punkten
- § 45 BDSG, Anwendungsbereich von Teil 3 des Bundesdatenschutzgesetzes
- BSI, IT-Grundschutz-Kompendium als Anhaltspunkt für den Stand der Technik
- ISO/IEC 27001, Informationssicherheits-Managementsysteme
Passt thematisch dazu
Sobald der Dienst von einem US-Unternehmen kommt, gehört zur Begründung einer Maßnahme auch die Frage, was Verschlüsselung gegenüber einem staatlichen Herausgabeverlangen leistet , denn der Standort des Rechenzentrums beantwortet sie nicht.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Maßnahmen, die zu einer bestimmten Verarbeitung passen
Wie du vom Risiko einer Verarbeitung zu einer begründeten Maßnahme kommst, arbeitest du bei cmt an eigenen Verfahren durch statt an einer Musterliste.