Datenschutzrecht

---

Sicherungsziele gem. Art. 7 Abs. 2 BayDSG

Über diese allgemeinen Maßnahmen hinaus gibt Art. 7 Abs. 2 BayDSG zehn Sicherungsziele vor, die bei dem Einsatz von automatisierten Verfahren umgesetzt werden sollen. Ein automatisiertes Verfahren liegt vor, wenn die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten mit Hilfe programmgesteuerter Anlagen durchgeführt wird. Hiervon wird also die gesamte computerunterstützte Datenverarbeitung umfasst.

• Zugangskontrolle, Art. 7 Abs. 2 Nr. 1 BayDSG

Im Wege der Zugangskontrolle (Art. 7 Abs. 2 Nr. 1 BayDSG) ist dafür zu sorgen, dass Unbefugten der Zugang zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet werden, verwehrt wird. In Betracht kommen hier unter anderem Maßnahmen wie die Sicherung der Räume, in denen sich die Datenverarbeitungsanlagen befinden, die Festlegung des Kreises der zugangsbefugten Personen und die Protokollierung der Datenverarbeitungs-vorgänge (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 18).

• Datenträgerkontrolle, Art. 7 Abs. 2 Nr. 2 BayDSG

Die datenverarbeitende Stelle hat zu verhindern, dass Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können (Datenträgerkontrolle, Nr. 2). Dazu bietet sich beispielsweise eine spezielle Sicherung der Datenträger an (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 22).

• Speicherkontrolle, Art. 7 Abs. 2 Nr. 3 BayDSG

Weiterhin sind durch eine Speicherkontrolle (Nr. 3) Vorkehrungen gegen eine unbefugte Eingabe in den Speicher sowie eine unbefugte Kenntnisnahme, Veränderung oder Löschung gespeicherter personenbezogener Daten zu treffen. Hierfür eignen sich eine Passwortvergabe und eine Protokollierung der vorgenommenen Änderungen (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 27).

• Benutzerkontrolle, Art. 7 Abs. 2 Nr. 4 BayDSG

Mittels einer Benutzerkontrolle (Nr. 4) ist zu verhindern, dass Daten-verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung von Unbefugten genutzt werden können. Dazu ist es erforderlich, sichere Passwortverfahren zu verwenden und auf den Datenzugriff über eine Wählleitung zu verzichten (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 32).

• Zugriffskontrolle, Art. 7 Abs. 2 Nr. 5 BayDSG

Es ist sicherzustellen, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können (Zugriffskontrolle, Nr. 5). Hierfür sind Passwortvergaben und Zugangsprotokollierungen vorzunehmen (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 36).

• Übermittlungskontrolle, Art. 7 Abs. 2 Nr. 6 BayDSG

Durch die Übermittlungskontrolle (Nr. 6) soll die Möglichkeit gewährleistet werden, zu überprüfen und festzustellen, an welche Stellen personenbezogene Daten durch Einrichtungen zur Datenübertragung übermittelt werden können. Zweckdienlich sind dabei die Kontrolle der Einrichtungen zur Datenübertragung und die Protokollierung der Datenübertragungen (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 41).

• Eingabekontrolle, Art. 7 Abs. 2 Nr. 78 BayDSG

Mittels der Eingabekontrolle (Nr. 7) ist zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit von wem in Datenverarbeitungssysteme eingegeben wurden. Auch hier bietet sich die Erstellung eines Protokolls über die erfolgten Eingaben und eine Festlegung der Zuständigkeiten für die Eingabe an (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 45).

• Auftragskontrolle, Art. 7 Abs. 2 Nr. 8 BayDSG

Durch eine Auftragskontrolle (Nr. 8) hat die datenverarbeitende Stelle außerdem sicherzustellen, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Anweisungen des Auftraggebers verarbeitet werden können. Hierfür hat die Universität Passau unter anderem ihre Auftragnehmer sorgfältig auszuwählen und diese auf das Datengeheimnis zu verpflichten (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 49).

• Transportkontrolle, Art. 7 Abs. 2 Nr. 9 BayDSG

Die weiterhin erforderliche Transportkontrolle (Nr. 9) soll verhindern, dass bei der Übertragung personenbezogener Daten sowie beim Transport von Datenträgern die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können. Daher sollten für den Versand solcher Daten besondere Versandarten genutzt werden und die Daten vor dem Versand verschlüsselt werden (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 53).

• Organisationskontrolle, Art. 7 Abs. 2 Nr. 10 BayDSG

Schließlich hat die Universität zur Erfüllung der Organisationskontrolle (Nr. 10) ihre innerbehördliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dazu gehört etwa eine sorgfältige Auswahl des mit der Verarbeitung personenbezogener Daten betrauten Personals sowie die schriftliche Festlegung deren Rechte und Pflichten (Wilde/Ehmann/Hiese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 57).