ZAP 9/2022, Die digitale Kanzlei: Datenschutz-Bestandsau ... / 2. Technische und organisatorische Maßnahmen

Art. 30 Abs. 1 S. 2 lit. g) DSGVO verlangt eine allgemeine Beschreibung der TOMs, die von der verantwortlichen Stelle umzusetzen sind. In Art. 32 Abs. 1 DSGVO werden diesbzgl. folgende Gewährleistungsziele genannt:

• Pseudonymisierung;
• Verschlüsselung;
• dauerhafte Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung;
• Fähigkeit zur raschen Wiederherstellung der Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall;
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOMs zur Gewährleistung der Sicherheit der Verarbeitung.

Leider nennt das Gesetz hier keine konkreten Einzelmaßnahmen, die zur Erreichung der genannten Ziele umgesetzt werden können. Einzige Ausnahmen bilden hier die Pseudonymisierung und die Verschlüsselung, die jedoch nicht bei jeder Datenverarbeitung im Anwaltsalltag in Frage kommen. Hieraus ergibt sich aber auch keine Pflicht zur Verschlüsselung oder zur Pseudonymisierung von Daten. Allerdings ist es ratsam, diese beiden Methoden zwecks Absicherung von Daten einzusetzen, sofern möglich und sinnvoll.

Ein Blick in § 64 BDSG bringt mehr Licht ins Dunkel, denn in dessen Abs. 3 werden insgesamt 14 Einzelmaßnahmen näher beschrieben. Es sei jedoch darauf hingewiesen, dass § 64 BDSG weder auf die allgemeine unternehmerische noch speziell auf die anwaltliche Tätigkeit Anwendung findet. Denn diese Vorschrift befindet sich in Teil 3 des BDSG und ist somit nur auf Strafverfolgungsbehörden o.Ä. anzuwenden. Gleichwohl spricht nichts dagegen, sich von dieser Norm Anregungen für die eigenen TOMs zu holen. Denn darin werden im Hinblick auf die Anforderungen an die Sicherheit der Datenverarbeitung folgende Maßnahmen beschrieben:

• Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle);
• Verhinderung des unbefugten Lesens, Kopierens, Veränderns oder Löschens von Datenträgern (Datenträgerkontrolle);
• Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle);
• Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle);
• Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben (Zugriffskontrolle);
• Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle);
• Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind (Eingabekontrolle);
• Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden (Transportkontrolle);
• Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellbarkeit);
• Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit);
• Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität);
• Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle);
• Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle);
• Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können (Trennbarkeit).

Bei der Frage, welche konkreten Sicherheitsmaßnahmen in der eigenen Kanzlei umgesetzt werden sollten, ist weniger die Verwendung einer bestimmten Begrifflichkeit als vielmehr die Umsetzung konkreter Einzelmaßnahmen entscheidend. Warum sollte man sich also nicht an (dem eigentlich nicht einschlägigen) § 64 BDSG orientieren, der doch mehr ins Detail geht und daher wesentlich hilfreicher ist als Art. 32 DSGVO?

Im Kern geht es darum, die eigene Kanzlei sowie die hier verarbeiteten personenbezogenen Daten von Beschäftigten, Mandanten, Kollegen, Gegenparteien, Vertragspartnern etc. so gut wie möglich abzusichern. Vorrangiges Ziel ist es, Datenpannen i.S.v. Art. 4 Nr. 12 DSGVO möglichst zu vermeiden. Eine hundertprozentige Sicherheit kann und muss nicht erreicht werden, die umzusetzenden TOMs sollten jedoch am eigenen, individuellen Risiko ausgerichtet sein. Exemplarisch seien Maßnahmen, wie auto...