Standard-Datenschutzmodell

Diese Seite ist derzeit noch ein Entwurf. Weitere Informationen sowie Diskussionen über Änderungen an diesem Entwurf gibt es evtl. auf der Diskussion-Seite.

---

Einführung

Das Standard-Datenschutzmodell (SDM) wurde von der Datenschutzkonferenz (DSK) entwickelt. Die DSK ist ein Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder in Deutschland, das sich mit Fragen des Datenschutzes beschäftigt. Das SDM beschreibt eine methodische Vorgehensweise für die Planung, Umsetzung und Überwachung von Datenschutzmaßnahmen in IT-Systemen und dient als Rahmen für die Umsetzung des Datenschutzes in Unternehmen und Organisationen.

Vorgehen Allgemein

Das Vorgehen zur Umsetzung des Standard-Datenschutzmodells (SDM) umfasst in der Regel die folgenden Schritte:

1. Festlegung der Gewährleistungsziele und der Schutzbedarfsstufe: Hier wird zunächst definiert, welches Schutzniveau für die zu schützenden personenbezogenen Daten notwendig ist.
2. Durchführung einer Bestandsaufnahme: Hier werden alle relevanten Informationen zum Datenschutz in den betroffenen IT-Systemen und -Prozessen gesammelt und dokumentiert.
3. Risikoanalyse: Anhand der Bestandsaufnahme wird eine Risikoanalyse durchgeführt, um die relevanten Risiken für die personenbezogenen Daten zu identifizieren und zu bewerten.
4. Ableitung von Maßnahmen: Auf Basis der Risikoanalyse werden Maßnahmen abgeleitet, um die identifizierten Risiken zu minimieren oder zu beseitigen.
5. Implementierung der Maßnahmen: Die abgeleiteten Maßnahmen werden umgesetzt und in den IT-Systemen und -Prozessen implementiert.
6. Überwachung und Optimierung: Die Wirksamkeit der implementierten Maßnahmen wird regelmäßig überwacht und gegebenenfalls angepasst und optimiert.

Es ist jedoch zu beachten, dass das genaue Vorgehen zur Umsetzung des SDM je nach Unternehmen, Branche und Art der personenbezogenen Daten variieren kann.

Umsetzung

Die Umsetzung des Standard-Datenschutzmodells (SDM) erfolgt in mehreren klar strukturierten Schritten, die Organisationen dabei unterstützen, datenschutzrechtliche Anforderungen systematisch zu erfüllen. Diese Schritte bilden zusammen einen Zyklus, der immer wieder durchlaufen wird, um den Datenschutz kontinuierlich zu gewährleisten und an neue Herausforderungen anzupassen.

1. Identifikation des Verarbeitungsprozesses

• Ermittlung, welche Datenverarbeitungen stattfinden.
• Definition des Zwecks der Verarbeitung.
• Festlegung der betroffenen Personengruppen und der Art der verarbeiteten Daten.

2. Analyse der rechtlichen Anforderungen

• Prüfung, welche rechtlichen Grundlagen (z. B. DSGVO, nationales Datenschutzrecht) auf den Verarbeitungsprozess zutreffen.
• Identifikation spezifischer Anforderungen an den Datenschutz (z. B. Einwilligung, Vertragserfüllung, berechtigtes Interesse).

3. Definition der Schutzziele

• Festlegung der Datenschutz-Schutzziele basierend auf dem SDM:
  • Verfügbarkeit: Sicherstellung, dass Daten immer dann zur Verfügung stehen, wenn sie benötigt werden.
  • Integrität: Gewährleistung, dass Daten unverändert und vollständig sind.
  • Vertraulichkeit: Schutz der Daten vor unbefugtem Zugriff.
  • Transparenz: Klare Kommunikation gegenüber Betroffenen über die Datenverarbeitung.
  • Intervenierbarkeit: Möglichkeit für Betroffene, auf ihre Daten Einfluss zu nehmen (z. B. Recht auf Löschung).
  • Nichtverkettung: Verhinderung der Erstellung von Profilen, die Betroffene identifizierbar machen.

4. Risikoanalyse

• Analyse der Risiken für die Rechte und Freiheiten der betroffenen Personen, die sich aus der Datenverarbeitung ergeben können.
• Bewertung der Eintrittswahrscheinlichkeit und der potenziellen Schwere des Schadens.
• Identifikation möglicher Bedrohungen und Schwachstellen.

5. Ableitung von technischen und organisatorischen Maßnahmen (TOMs)

• Entwicklung konkreter Maßnahmen, die notwendig sind, um die identifizierten Schutzziele zu erreichen.
• Beispiele: Verschlüsselung, Zugangskontrollen, Datensparsamkeit, regelmäßige Sicherheitsupdates.
• Festlegung von Maßnahmen für Notfallmanagement und Wiederherstellung nach Zwischenfällen.

6. Umsetzung der Maßnahmen

• Praktische Implementierung der definierten technischen und organisatorischen Maßnahmen.
• Schulung der Mitarbeitenden zu den getroffenen Datenschutzvorkehrungen.
• Einführung von Prozessen, die sicherstellen, dass die Datenschutzmaßnahmen fortlaufend eingehalten werden.

7. Dokumentation

• Umfassende Dokumentation der Risikobewertung, der Schutzziele und der implementierten Maßnahmen.
• Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten, das den Datenschutzbehörden auf Anfrage vorgelegt werden kann.
• Sicherstellung der Rechenschaftspflicht durch kontinuierliche Nachverfolgung und Überprüfung.

8. Überwachung und kontinuierliche Verbesserung

• Regelmäßige Überprüfung der Wirksamkeit der umgesetzten Maßnahmen.
• Anpassung der Maßnahmen bei Veränderungen im Risiko oder bei neuen rechtlichen Vorgaben.
• Einführung eines kontinuierlichen Verbesserungsprozesses, um die Datenschutzmaßnahmen laufend zu optimieren.

Quellen

Das Standard-Datenschutzmodell (SDM) und seine Maßnahmenkataloge (Bausteine).