17. Datenschutz- und Informationsfreiheitsbericht

Technik
Erreichen eines hohen Sicherheitsniveaus und damit eines hinreichenden
Schutzes der zu verarbeitenden Daten ist nicht nur für die Einhaltung
gesetzlicher Vorschriften erforderlich, sondern dient insbesondere dem
Eigeninteresse eines Unternehmens. IT-Sicherheit als Unternehmensziel
sollte daher Leitungssache sein.
2.7 Einzelfragen zur Datensicherheit
2.7.1 Löschen von personenbezogenen Daten auf
Speichermedien
Bereits im 15. Datenschutzbericht 2001 unter 2.6.2, S. 53 wurde auf die
Notwendigkeit der sicheren Löschung von personenbezogenen Daten auf
Festplatten vor deren Weitergabe oder Entsorgung hingewiesen. Die
zunehmende Anzahl von Anfragen zeigt, dass das Sicherheitsbewusstsein in
dieser Hinsicht bei den Nutzerinnen und Nutzern zugenommen hat. Der
sorglose Umgang bei der Reparatur, dem Austausch oder der Ausmusterung
von Speichermedien mit personenbezogenen Inhalten macht allerdings ein
erneutes Aufgreifen des Themas erforderlich.
2.7.1.1 Gefährlicher Irrtum: vermeintliche Datenlöschung
Da staunte ein Bürger nicht schlecht, als er entdeckte, dass sich hochsensible
personenbezogene Daten auf der gerade erworbenen, gebrauchten
Festplatte befanden. Er meinte zu Recht, dass ihn die Erbschaftsangelegenheiten
anderer Leute nichts angingen.
Aus Anlass dieses Falls wurde in einer Presseerklärung nochmals auf die
Risiken beim Verkauf gebrauchter PCs aufmerksam gemacht und auf den
weitverbreiteten Irrtum hingewiesen, die in den marktgängigen
Betriebssystemen implementierten Löschfunktionen könnten Daten
irreversibel löschen. Vielmehr sind spezielle Löschprogramme zu
verwenden, die beispielsweise Festplatten mehrfach überschreiben.
In einem anderen Fall wurde bei der Reparatur eines PCs einfach die Festplatte
gegen eine andere gebrauchte Platte ausgetauscht, ohne die hierauf
vorhandenen personenbezogenen Daten samt Betriebssystem und Anwendungen
zu löschen. Ein Bürger, dessen Notebook-Festplatte beim Händler
ausgetauscht worden war, wurde in einem weiteren Fall von einer Kundin
LDI NRW 17. Datenschutzbericht 2005 23