Rechtsgrundlagen zur Organisation des Datenschutzes nach DSGVO

Öffentliche und nichtöffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben bisher gemäß § 9 BDSG die nötigen technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, den Datenschutz zu gewähren.

Auch Art. 32 Abs. 1 DSGVO verlangt mit eben solchen Maßnahmen die Vertraulichkeit der Daten sicherzustellen. Dies muss unter der Berücksichtigung des Standes der Technik, der Implementierungskosten und der Art des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeiten und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geschehen.

Was sieht die DSGVO vor?

Die DSGVO nennt dabei als Datenschutzziel die Wahrung der Vertraulichkeit, stellt aber die technischen und organisatorischen Maßnahmen unter das Gebot der Erforderlichkeit bzw. Angemessenheit in Bezug auf die Schwere des Risikos für die Rechte und Freiheiten der Betroffenen.

Mit anderen Worten bedeutet dies, je sensibler die Daten sind, je mehr die Erhebung, Verarbeitung oder Nutzung in das Persönlichkeitsrecht der Betroffenen eingreift und je höher für den Betroffenen bei einer Datenschutzverletzung die Risiken für seine Rechte und Freiheiten zu veranschlagen ist und der Schaden ausfallen kann, umso höher muss der Schutzbedarf der Daten veranschlagt werden. Ergänzend ist dabei auch der Schaden zu berücksichtigen, der für das Unternehmen entstehen kann.

Das Maß des Risikos für die Rechte und Freiheiten der betroffenen Personen und der Schutzbedarf der Daten entsprechen sich. Die Skalierung des Schutzbedarfs der Daten sollte deshalb der Skalierung der Risiken folgen.

Schutz- und Vertraulichkeitsstufen

Um den Schutzbedarf der Daten zu konkretisieren und letztlich daraus die erforderlichen technischen und organisatorischen Maßnahmen ableiten zu können, wurden von verschiedenen Stellen Skalen für eine Schutzeinstufung der Daten und Vertraulichkeitseinstufungen entwickelt.

Da in den Geschäftsprozessen und mit den Datenverarbeitungsanlagen nicht nur personenbezogene Daten, sondern auch nicht personenbezogene, aber ebenso vertrauliche Daten (im Folgenden betriebswirtschaftliche Daten genannt) verarbeitet werden, empfiehlt es sich, in die Betrachtung auch diese betriebswirtschaftlichen Daten mit einzubeziehen.

Die datenschutzrechtliche Sensibilität der personenbezogenen Daten beurteilt sich an der Frage, inwieweit der Betroffene bei einer Datenschutzverletzung in seinen Persönlichkeitsrechten oder seinem persönlichen oder wirtschaftlichen Ansehen verletzt oder eingeschränkt werden kann.

Schutzstufenmodell der Landesdatenschutzbeauftragten

Die Landesdatenschutzbeauftragten haben ein Schutzstufenmodell entwickelt, das folgende Schutzstufen unterscheidet (Quelle: Landesbeauftragter für den Datenschutz Niedersachsen):

Stufe A: Frei zugängliche Daten, in die Einsicht gewährt wird, ohne dass der Einsichtnehmende ein berechtigtes Interesse geltend machen muss, z. B. Daten, die die verantwortliche Stelle im Internet oder in Broschüren veröffentlicht bzw. in öffentlich zugänglichen Verzeichnissen zur Verfügung stellt.

Stufe B: Personenbezogene Daten, deren Missbrauch zwar keine besondere Beeinträchtigung erwarten lässt, deren Kenntnisnahme jedoch an ein berechtigtes Interesse des Einsichtnehmenden gebunden ist, z. B. interne Telefon-Durchwahlnummern, interne Zuständigkeiten.

Stufe C: Personenbezogene Daten, deren Missbrauch den Betroffenen in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigen kann (Stichwort: Beeinträchtigung des Ansehens), z. B. Daten über Vertragsbeziehungen, Höhe des Einkommens, etwaige Sozialleistungen, Ordnungswidrigkeiten.

Stufe D: Personenbezogene Daten, deren Missbrauch die gesellschaftliche Stellung oder die wirtschaftlichen Verhältnisse des Betroffenen erheblich beeinträchtigen kann (Stichwort: soziale Existenz), z. B. Unterbringung in Anstalten, Straffälligkeit, dienstliche Beurteilungen, psychologisch-medizinische Untersuchungsergebnisse, Schulden, Pfändungen, Insolvenzen.

Stufe E: Daten, deren Missbrauch Gesundheit, Leben oder Freiheit des Betroffenen beeinträchtigen kann (Stichwort: physische Existenz), z. B. Adressen von verdeckten Ermittlern, Adressen von Personen, die mögliche Opfer einer Straftat sein können.