Die technisch-organisatorische Implementierung von Datenschutz in Organisationen unter besonderer Berücksichtigung der wirtschaftlichen Angemessenheit

Inhaltsverzeichnis

1. Frontmatter

2. Hintergrund der Arbeit

   1. Frontmatter

   2. 1. Einleitung

      Annika Selzer

      Zusammenfassung

      Kaum eine Organisation kommt heutzutage ohne die Verarbeitung großer Mengen personenbezogener Daten in Informationssystemen aus – sei es, dass die Daten der eigenen Mitarbeiter oder die Daten von Privatinteressenten und -kunden verarbeitet werden. Auf die Verarbeitung dieser personenbezogenen Daten findet regelmäßig die Datenschutz-Grundverordnung (DSGVO) Anwendung. Seit ihres direkten Anwendbarwerdens am 25. Mai 2018 fordern – und überfordern – die strengen Regelungen der DSGVO Organisationen.

3. Angemessene Schutzmaßnahmen

   1. Frontmatter

   2. 2. Technische und organisatorische Maßnahmen gemäß Datenschutz-Grundverordnung

      Annika Selzer

      Zusammenfassung

      Technische und organisatorische Maßnahmen stellen eine Überschneidung des Datenschutzrechts und der Datensicherheit dar. Während das Datenschutzrecht nur die Verarbeitung personenbezogener und personenbeziehbarer Daten regelt, befasst sich die Datensicherheit damit, wie Daten durch technische und organisatorische Maßnahmen geschützt werden können, um jegliche missbräuchliche Nutzung dieser zu verhindern bzw. das Risiko einer solchen missbräuchlichen Nutzung zu reduzieren. Maßnahmen zur Datensicherheit sind grundsätzlich nicht auf den Verarbeitungskontext personenbezogener Daten beschränkt, sondern betreffen die Verarbeitung all jener Daten, die der Verarbeiter für schutzwürdig hält.

   3. 3. Auswahlkriterien zur Umsetzung technischer und organisatorischer Maßnahmen

      Annika Selzer

      Zusammenfassung

      Die Datenschutzkonformität technischer und organisatorischer Maßnahmen hängt von deren ordnungsgemäßen Auswahl und Umsetzung sowie einer regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen ab. Die Auswahl technischer und organisatorischer Maßnahmen stellt somit den ersten Schritt dar, die Datenschutzkonformität technischer und organisatorischer Maßnahmen sicherzustellen. Sie legt den Grundstein für die ordnungsgemäße Umsetzung der Schutzmaßnahmen, die ohne die vorherige ordnungsgemäße Auswahl der Maßnahmen nicht möglich wäre.

   4. 4. Implementierungskosten als wirtschaftlicher Faktor der Angemessenheitsbewertung

      Annika Selzer

      Zusammenfassung

      Wie bereits im vorherigen Kapitel erwähnt, ist es für die Normadressaten im Vergleich mit der Überprüfung der Geeignetheit von Schutzmaßnahmen sehr schwierig, die Angemessenheit dieser Maßnahmen zu überprüfen. Eine besondere Schwierigkeit besteht darin, die Bewertung des Risikos für die Rechte und Freiheiten betroffener Personen gegen wirtschaftliche Faktoren abzuwägen. Da die Berücksichtigung wirtschaftlicher Faktoren nicht dem Schutz der betroffenen Personen, sondern dem Schutz des Normadressaten dient, steht es diesem zwar grundsätzlich frei, wirtschaftliche Faktoren unberücksichtigt zu lassen, um sich der Problematik, die die Abwägung der Risiken für die Rechte und Freiheiten betroffener Personen gegen wirtschaftliche Faktoren mit sich bringt, zu entziehen.

   5. 5. Quantifizierung der Implementierungskosten

      Annika Selzer

      Zusammenfassung

      Bei der Auswahl von Schutzmaßnahmen aus wirtschaftlicher Sicht bildet die Quantifizierung der Implementierungskosten von dem Stand der Technik entsprechenden Schutzmaßnahmen den Dreh- und Angelpunkt, weshalb sie den Schwerpunkt des nachfolgenden Kapitels bildet.

   6. 6. Zwischenergebnis

      Annika Selzer

      Zusammenfassung

      Die DSGVO normiert die Pflicht zum Treffen technischer und organisatorischer Maßnahmen. Die Maßnahmen des technisch-organisatorischen Datenschutzes sollen betroffenen Personen vor jeglicher unrechtmäßigen Verarbeitung ihrer personenbezogenen Daten schützen, die nicht (allein) durch die Normierung der rechtlichen Zulässigkeit der Datenverarbeitung herbeigeführt werden kann.

4. Angemessene Datennutzung unter Umsetzung angemessener Schutzmaßnahmen

   1. 7. Chancen und Grenzen personenbezogener Datenverarbeitung in Smart Cities aus Sicht des Verantwortlichen

      Annika Selzer

      Zusammenfassung

      Basierend auf den Ergebnissen aus Kapitel 2, in denen u. a. die Art, der Umfang, die Umstände und die Zwecke der Datenverarbeitung als Faktoren der Auswahl angemessener Schutzmaßnahmen vorgestellt wurden, kann die Frage nach den Chancen und Grenzen der Verarbeitung personenbezogener und anonymisierter Daten sowie des potenziellen Mehrwerts durch die Verarbeitung personenbezogener Daten von Verantwortlichen als Chance verstanden werden, vorzubewerten, ob (überhaupt) und wie lange die Verarbeitung personenbezogener Daten für den konkreten Zweck der Datenverarbeitung erforderlich und wirtschaftlich sinnvoll ist. Vor diesem Hintergrund befasst sich das vorliegende Kapitel mit der Frage der Chancen und Grenzen der personenbezogenen und anonymen Datenverarbeitung.

   2. 8. (Weitere) Rechtliche Grundlagen zur Gestaltung von Datenverarbeitungssystemen

      Annika Selzer

      Zusammenfassung

      Die Anforderungen, die ein Verantwortlicher im Rahmen der Nutzungen eines jeden Datenverarbeitungssystems erfüllen muss, in dem personenbezogene Daten verarbeitet werden sollen und für die die DSGVO anwendbar ist, ergeben sich zu einem Großteil aus dem technisch-organisatorischen Datenschutz und wurden daher bereits in Kapitel 2(Art. 24, 25, 32 DSGVO) und 4 (Art. 35 DSGVO) dieser Arbeit im Rahmen der Diskussion der Umsetzung angemessener technischer und organisatorischer Maßnahmen dargestellt. Neben den in Kapitel 2 und 4 genannten Anforderungen müssen Verantwortliche im Rahmen des Einsatzes von Datenverarbeitungssystemen insbesondere die Umsetzung der Datenschutz-Grundsätze des Art. 5 DSGVO sicherstellen, da sie die grundlegenden Anforderungen des Datenschutzrechts enthalten und somit auch die Grundlage der datenschutzkonformen Verarbeitung personenbezogener Daten im Rahmen eines Datenverarbeitungssystems bilden. Sie bilden daher auch die grundlegenden Anforderungen an den in Teil 3 dieser Arbeit betrachtete Teil 1a des Datenverarbeitungssystems (siehe Abbildung 10, in Folgenden – wenn insbesondere in Abgrenzung zum Teil 1b des Datenverarbeitungssystems nicht explizit anders benannt – kurz „Datenverarbeitungssystem“).

   3. 9. Exemplarische Umsetzung angemessener Schutzmaßnahmen

      Annika Selzer

      Zusammenfassung

      In diesem Kapitel werden nun Möglichkeiten der datenschutzkonformen Umsetzung für das exemplarische Datenverarbeitungssystem aufgezeigt. Neben Umsetzungsvorschlägen für die im exemplarischen Datenverarbeitungssystem besonders relevanten Datenschutz-Grundsätze liegt der Fokus auf dem Vorschlag einer Gestaltung der angemessenen Umsetzung technisch-organisatorischer Schutzmaßnahmen als Ausprägung des Datenschutz-Grundsatzes der Vertraulichkeit und Integrität. Dieser Betrachtung wird eine Darstellung vorangestellt, wie sich das Management der Umsetzung von Anforderungen des Datenschutzrechts – insbesondere in Bezug auf die Umsetzungspflicht technisch-organisatorischer Schutzmaßnahmen – in das Informationsmanagement einfügt.

   4. 10. Zwischenergebnis

      Annika Selzer

      Zusammenfassung

      In Bezug auf die angemessene Umsetzung von Schutzmaßnahmen kann die Frage nach den Chancen und Grenzen der Verarbeitung personenbezogener und anonymisierter Daten sowie des potenziellen Mehrwerts durch die Verarbeitung personenbezogener Daten von Verantwortlichen als Chance verstanden werden, vorzubewerten, ob (überhaupt) und wie lange die Verarbeitung personenbezogener Daten für den konkreten Zweck der Datenverarbeitung erforderlich und wirtschaftlich sinnvoll ist. Sollte eine Verarbeitung mit ausschließlich anonymen Daten möglich sein, fänden die strengen Vorschriften der Datenschutz-Grundverordnung regelmäßig keine Anwendung.

5. Zusammenfassende Strukturierung

   1. Frontmatter

   2. 11. Vorschlag für die datenschutzkonforme Gestaltung von Datenschutz-Grundsätzen und -Schutzmaßnahmen in IT-Systemen

      Annika Selzer

      Zusammenfassung

      Die Erkenntnisse der Teile 1–3 dieser Arbeit aufgreifend und zusammenfassend kann im Ergebnis ein Vorschlag für die datenschutzkonforme Gestaltung von Datenschutz-Grundsätzen und -Schutzmaßnahmen in IT-Systemen abgeleitet werden. Der Vorschlag wird einen Beitrag dazu leisten, datenschutzrechtlich Verantwortliche dabei zu unterstützen, die Anforderungen des technisch-organisatorischen Datenschutzes in ihren Organisationen während der Entwicklung neuer IT-Systeme in angemessener Weise umzusetzen. Hierfür werden die in dieser Arbeit diskutierten und einschlägigen Datenschutzanforderungen aufgezeigt sowie Empfehlungen zur zeitlichen und personellen Umsetzung der Anforderungen gegeben.

   3. 12. Zwischenergebnis

      Annika Selzer

      Zusammenfassung

      I. d. R. stellt es den Planer eines neuen IT-Systems vor große Herausforderungen, die Entwicklung und Inbetriebnahme dieses Systems in datenschutzkonformer Weise umzusetzen. Häufig fehlen seitens der Planer Fachkenntnisse zu datenschutzrechtlichen Rahmenbedingungen, andererseits fehlt es häufig an Erfahrungen zur Gestaltung des Zeitplans einer datenschutzkonformen Umsetzung des geplanten IT-Systems und zur Notwendigkeit der Einbindung von Funktionsträgern innerhalb der Organisation.

6. Gesamtergebnis

   1. Frontmatter

   2. 13. Angemessenheit im technisch-organisatorischen Datenschutz: Gesamtergebnis

      Annika Selzer

      Zusammenfassung

      Zu Beginn dieser Arbeit wurde festgestellt, dass heutzutage kaum eine Organisation ohne die Verarbeitung großer Mengen personenbezogener Daten in Informationssystemen auskommt (u. a. für die Verarbeitung von Mitarbeiter- und Kundendaten) und sich Organisationen vor diesem Hintergrund mit der Umsetzung datenschutzrechtlicher Anforderungen befassen müssen. Einerseits sollen die Regelungen der DSGVO dafür Sorge tragen, natürliche Personen vor Eingriffen in ihre Persönlichkeitsrechte zu schützen, die im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten stehen. Andererseits ist die Umsetzung der einschlägigen Datenschutzvorschriften häufig mit sehr hohen Kosten verbunden, während das Datenschutzrecht zusätzlich häufig als Hemmschuh für die innovativen Datennutzungsmöglichkeiten wahrgenommen wird.

7. Backmatter