Sicherheit der Daten und der Verarbeitung

Die Sicherheit von Personendaten muss dem Risiko angemessen sein: Je heikler die Daten, desto mehr Schutz ist nötig.

Wieviel Schutz genau nötig ist, ist schwierig zu sagen. Am besten ist es, sich am Stand der Praxis zu orientieren («Wie machen es die anderen?»).

Ob die Sicherheit noch angemessen ist, muss ab und zu, und wenn etwas ändert, neu ausgewertet werden.

Nach Art. 8 DSG müssen Verantwortliche und Auftragsbearbeiter durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten. Ziel dabei ist der Schutz der betroffenen Personen und deren Interessen.

Eine angemessene Datensicherheit zu gewährleisten ist ein Prozess, der nicht in einem Durchgang erledigt und dann vergessen werden kann. Ob das Schutzniveau noch genügt, muss periodisch, und bei wichtigen Änderungen, geprüft werden.

Die Massnahmen müssen ein dem Risiko angemessenes Schutzniveau gewährleisten und Verletzungen der Datensicherheit so gut wie möglich vermeiden. Die Frage, wie ein angemessenes Schutzniveau genau aussieht, ist schwer zu beantworten, die DSV enthält keine konkreten Mindestanforderungen an die Datensicherheit. Unternehmen sollten sich darum am Stand der Praxis in ihrer Branche und dem jeweiligen Risikokontext orientieren.

Datensicherheit nach der Datenschutzverordnung (DSV)

Datensicherheit muss in Bezug auf den Schutzbedarf der Daten und das vorhandene Risiko verstanden und ausgewertet werden.
Für alle schützenswerten Daten sollten die Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit nach Art. 2 DSV erreicht werden.

Die technischen und organisatorischen Massnahmen aus Art. 3 DSV können in folgende Kategorien zusammengefasst werden:

  1. Schutz der Daten vor unbefugtem Zugriff:
    Dazu gehören Benutzerkontrolle (nur Befugte haben Zugriff), Zugriffskontrolle (nur Zugriff auf benötigte Daten), Zugangskontrolle (Absicherung der Räume und Anlagen), Datenträger- und Speicherkontrolle (Schutz von Datenträgern und Speicher) und Transportkontrolle (Schutz der Daten bei Bekanntgabe und Transport).
    Siehe Art. 3 Abs 1 sowie Art. 3 Abs. 2 Bst. a, b und c DSV.
  2. Gewährleistung der Integrität der Daten:
    Dazu gehören Datenintegrität (es kann nicht zu Beschädigungen der Daten kommen), Zuverlässigkeit (Fehlfunktionen werden gemeldet) und Erkennung und Beseitigung (Verletzungen der Datensicherheit werden rasch erkannt und behoben).
    Siehe Art. 3 Abs. 2 Bst. e und Art. 3 Abs. 3 Bst. c DSV.
  3. Verfügbarkeit und Erkennung von Zwischenfällen:
    Dazu gehören Verfügbarkeit (alle Funktionen eines Datenbearbeitungssystems sind verfügbar) und Zuverlässigkeit (Fehlfunktionen werden gemeldet).
    Siehe Art. 3 Abs. 2 Bst. e DSV.
  4. Sicherung und Wiederherstellung:
    Wiederherstellung (Wenn ein Zwischenfall eintritt, müssen Funktionsfähigkeit, Vollständigkeit und Richtigkeit der Daten zeitnah wieder hergestellt werden können).
    Siehe Art. 3 Abs. 2 Bst. d DSV.
  5. Aktualität und Sicherheit der Systeme:
    Dazu gehören Systemsicherheit (Betriebssysteme und Software sind immer aktuell, Sicherheitslücken werden geschlossen) und Erkennung und Beseitigung (Verletzungen der Datensicherheit werden rasch erkannt und behoben).
    Siehe Art. 3 Abs. 2 Bst. f DSV.
  6. Logging:
    Dazu gehören Eingabekontrolle (Aufzeichnen welche Daten wann und von wem erstellt/verändert wurden) und Bekanntgabekontrolle (Aufzeichnen wem Daten bekanntgegeben wurden).
    Siehe Art. 3 Abs. 3 Bst. a und b DSV.

Leitfaden zu den technischen und organisatorischen Massnahmen des Datenschutzes (TOM) vom EDÖB.