Technischer Datenschutz bezeichnet die technischen Maßnahmen, mit denen personenbezogene Daten geschützt werden, wie sie die DSGVO in Artikel 32 Absatz 1 neben organisatorischen Maßnahmen nennt, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Auf einen Blick
Nach Artikel 32 Absatz 1 DSGVO treffen Verantwortliche und Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und weiterer in Artikel 32 Absatz 1 genannter Umstände geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Als technische und organisatorische Maßnahmen und notwendige Garantien können nach den Leitlinien des Europäischen Datenschutzausschusses zu Artikel 25 im weiten Sinne alle Methoden oder Mittel verstanden werden, die ein Verantwortlicher bei der Verarbeitung anwenden kann.
Nach dem Standard-Datenschutzmodell der Datenschutzkonferenz sollen technische und organisatorische Maßnahmen nicht erst nachträglich festgelegt und umgesetzt werden.
Was ist Technischer Datenschutz?
Die DSGVO verwendet den Begriff Technischer Datenschutz nicht, sondern spricht von technischen und organisatorischen Maßnahmen, die Verantwortliche und Auftragsverarbeiter treffen. Nach Artikel 32 Absatz 1 treffen der Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen. Nach den Leitlinien des Europäischen Datenschutzausschusses sieht Artikel 25 nicht die Umsetzung bestimmter technischer und organisatorischer Maßnahmen vor.
Verschlüsselt ein Versicherer gespeicherte Gesundheitsdaten und beschränkt Zugriffe auf Berechtigte, betreibt er technischen Datenschutz: Artikel 5 DSGVO verlangt eine angemessene Sicherheit der Daten, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, durch geeignete technische und organisatorische Maßnahmen. Zu den Maßnahmen zählen nach Artikel 32 Absatz 1 gegebenenfalls unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten. Nach dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um einen Schutz etwa vor unbefugter Kenntnisnahme, unrechtmäßiger Verarbeitung oder dem unbeabsichtigten Verlust der Daten zu gewährleisten.
Wie funktioniert Technischer Datenschutz?
Bei der Beurteilung des angemessenen Schutzniveaus sind nach Artikel 32 Absatz 2 insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind. Der Verantwortliche setzt nach Artikel 24 Absatz 1 unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der DSGVO erfolgt.
Zu den Maßnahmen nach Artikel 32 Absatz 1 zählen gegebenenfalls unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen, die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen.
Technischer Datenschutz im Vergleich
| Kriterium | Technischer Datenschutz | Privacy by Design |
|---|---|---|
| Rechtliche Grundlage | Kein Begriff der DSGVO; sie spricht von technischen und organisatorischen Maßnahmen (Artikel 5 Absatz 1 Buchstabe f, Artikel 32 Absatz 1) | Datenschutz durch Technikgestaltung (Artikel 25) |
| Schwerpunkt | Angemessene Sicherheit der personenbezogenen Daten durch geeignete technische und organisatorische Maßnahmen | Wirksame Umsetzung der Datenschutzgrundsätze wie etwa Datenminimierung und Aufnahme der notwendigen Garantien in die Verarbeitung, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und weiterer in Artikel 25 Absatz 1 genannter Umstände |
| Bestimmte Maßnahmen | Gegebenenfalls unter anderem Pseudonymisierung und Verschlüsselung (Artikel 32 Absatz 1 Buchstabe a) | Nach den Leitlinien des Europäischen Datenschutzausschusses sieht Artikel 25 nicht die Umsetzung bestimmter technischer und organisatorischer Maßnahmen vor; Artikel 25 Absatz 1 nennt Pseudonymisierung als Beispiel für geeignete technische und organisatorische Maßnahmen |
Technischer Datenschutz: Woran erkenne ich wirksame Maßnahmen?
| Merkmal | Worauf es ankommt |
|---|---|
| Angemessene Sicherheit | Nach Artikel 5 Absatz 1 Buchstabe f müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen. |
| Risikoangemessenheit | Die Maßnahmen nach Artikel 32 Absatz 1 werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten und weiterer in Artikel 32 Absatz 1 genannter Umstände getroffen; ihr Ziel ist ein dem Risiko angemessenes Schutzniveau. |
| Pseudonymisierung und Verschlüsselung | Pseudonymisierung und Verschlüsselung gehören nach Artikel 32 Absatz 1 Buchstabe a gegebenenfalls unter anderem zu den Maßnahmen. |
| Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Wiederherstellung | Gegebenenfalls unter anderem die Fähigkeit, diese Eigenschaften der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen (Artikel 32 Absatz 1 Buchstabe b), sowie die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen (Buchstabe c). |
| Wirksamkeitsprüfung | Gegebenenfalls unter anderem ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Artikel 32 Absatz 1 Buchstabe d). |
Schutz im Ernstfall
Vorbeugen
- Verantwortliche und Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und weiterer in Artikel 32 Absatz 1 genannter Umstände; bei der Beurteilung des angemessenen Schutzniveaus sind nach Artikel 32 Absatz 2 insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind.
- Dazu gehören gegebenenfalls unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten (Artikel 32 Absatz 1 Buchstabe a).
- Dazu gehören gegebenenfalls unter anderem die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen (Artikel 32 Absatz 1 Buchstabe b), sowie die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen (Buchstabe c).
- Dazu gehört gegebenenfalls unter anderem ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Artikel 32 Absatz 1 Buchstabe d).
Beispiele aus der Praxis
- Ein Unternehmen verschlüsselt gespeicherte Kundendaten; die Verschlüsselung personenbezogener Daten gehört nach Artikel 32 Absatz 1 gegebenenfalls unter anderem zu den Maßnahmen, die Verantwortliche treffen.
- Eine Behörde pseudonymisiert Daten in ihrer Forschungsdatenbank, sodass sie ohne Hinzuziehung zusätzlicher Informationen keiner spezifischen betroffenen Person mehr zugeordnet werden können, sofern diese Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen; die Pseudonymisierung gehört nach Artikel 32 Absatz 1 Buchstabe a gegebenenfalls unter anderem zu den Maßnahmen.
- Ein Verantwortlicher richtet ein Verfahren ein, mit dem er die Wirksamkeit seiner technischen und organisatorischen Maßnahmen regelmäßig überprüft, bewertet und evaluiert, wie es Artikel 32 Absatz 1 Buchstabe d gegebenenfalls unter anderem nennt.
- Ein Versicherer verschlüsselt gespeicherte Gesundheitsdaten und beschränkt Zugriffe auf Berechtigte; solche technischen Maßnahmen dienen einer angemessenen Sicherheit der Daten einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung.
