Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Zu § 8 Technische und organisatorische Maßnahmen;
Vorabkontrolle
Absatz 1
Jede Verwendung personenbezogener Daten durch öffentliche Stellen im
Rahmen der Selbst- oder der Auftragsdatenverarbeitung erfordert technische
und organisatorische Maßnahmen, um die Ausführung der Vorschriften
dieses Gesetzes zu gewährleisten. Dabei gilt nach § 8 Abs. 1 S. 2 der
Grundsatz der Zweck-Mittel-Relation. Aufgrund der unterschiedlichen Verarbeitungsbedingungen
werden hierbei für die automatisierte und nichtautomatisierte
Datenverarbeitung differenzierte Maßnahmen vorgeschrieben.
Mit welchen konkreten Maßnahmen die Ziele erfüllt werden, bleibt den
verantwortlichen Stellen überlassen. Die Erforderlichkeit und das angemessene
Verhältnis zur Schutzwürdigkeit der Daten im Einzelfall lassen
sich immer nur anhand der konkreten Gegebenheiten bestimmen. Mehrere
Faktoren (Art und Schutzwürdigkeit der Daten, Schulung und Zuverlässigkeit
des Personals, räumliche und technische Gegebenheiten, Abgeschlossenheit
der Dienststelle usw.) sind dabei zu berücksichtigen. Die
Entscheidung liegt bei der jeweiligen öffentlichen Stelle, der insoweit ein
organisatorischer Handlungsspielraum zusteht. Dass Maßnahmen nach
dem jeweiligen Stand der Technik zu treffen sind, bedarf dabei keiner ausdrücklichen
gesetzlichen Festlegung (Vgl. Bü-Drs 13/3282). Der aktuelle
Stand der Technik ergibt sich u.a. aus den IT-Grundschutz-Katalogen des
Bundesamtes für Sicherheit in der Informationstechnik. Die Einhaltung der
technischen und organisatorischen Maßnahmen wird grundsätzlich für
nicht abdingbar gehalten. Betroffene können somit nicht darin einwilligen,
dass ihre Daten ohne einen ausreichenden Schutz nach dem Stand der
Technik verarbeitet werden. Die elektronische Übertragung sensibler personenbezogener
Daten ohne Verschlüsselung etwa per Mail scheidet deshalb
auch dann aus, wenn der Betroffene explizit um die Übersendung per
Mail bittet.
Absatz 2
Neben der Beachtung des Grundsatzes der Datenvermeidung und der
Datensparsamkeit, an dem sich nach § 4 Abs. 4 HmbDSG Auswahl und
Gestaltung technischer Einrichtungen auszurichten haben, müssen sich
bei automatisierter Verarbeitung die zu treffenden Maßnahmen an fünf
übergeordneten Sicherungszielen orientieren, die im Wesentlichen selbsterklärend
sind (Abs. 2 Nr. 1 bis 5):
• „Das Sicherungsziel der Vertraulichkeit verlangt, dass kein unbefugter
Informationsgewinn stattfinden kann;
78