14: Gütesiegel, Zertifizierung (Christian Prietz) - Unabhängiges ...
14: Gütesiegel, Zertifizierung (Christian Prietz) - Unabhängiges ...
14: Gütesiegel, Zertifizierung (Christian Prietz) - Unabhängiges ...
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
www.datenschutzzentrum.de<br />
Audit und <strong>Gütesiegel</strong><br />
<strong>Christian</strong> <strong>Prietz</strong><br />
<strong>Unabhängiges</strong> Landeszentrum für Datenschutz<br />
Schleswig-Holstein<br />
<strong>14</strong>.01.20<strong>14</strong><br />
1
www.datenschutzzentrum.de<br />
<strong>Gütesiegel</strong> über <strong>Gütesiegel</strong><br />
2
www.datenschutzzentrum.de<br />
Warum braucht der Datenschutz ein<br />
eigenes <strong>Gütesiegel</strong>?<br />
• Betroffene: Fehlendes Vertrauen in die ordnungsgemäße<br />
Verarbeitung ihrer Daten und das Gefühl, keine Kontrolle<br />
mehr über die (eigenen) Daten zu besitzen<br />
• Unklarheit bei Anwendern / Beschaffern über die<br />
Anforderungen im Bereich Datenschutz<br />
<br />
<br />
Stand der Technik?<br />
Recht?<br />
• Datenschutz für beinahe alle Bereiche / Produkte relevant<br />
3
www.datenschutzzentrum.de<br />
§ 9a Bundesdatenschutzgesetz:<br />
Gesetzliche Regelungen<br />
Zur Verbesserung des Datenschutzes und der<br />
Datensicherheit können Anbieter von<br />
Datenverarbeitungssystemen und -programmen und Daten<br />
verarbeitende Stellen ihr Datenschutzkonzept sowie ihre<br />
technischen Einrichtungen durch unabhängige und<br />
zugelassene Gutachter prüfen und bewerten lassen sowie<br />
das Ergebnis der Prüfung veröffentlichen. Die näheren<br />
Anforderungen an die Prüfung und Bewertung, das<br />
Verfahren sowie die Auswahl und Zulassung der Gutachter<br />
werden durch besonderes Gesetz geregelt.<br />
4
www.datenschutzzentrum.de<br />
Vergleichbare Regelungen<br />
• Bundesrecht<br />
<br />
§ 78 c Sozialgesetzbuch X<br />
• Landesrecht<br />
§ 11 b Abs. 2 Brandenburgisches Datenschutzgesetz<br />
§ 7 b Bremisches Datenschutzgesetz<br />
§ 5 Abs. 2 Landesdatenschutzgesetz Mecklenburg-Vorpommern<br />
§ 4 Abs. 2 Datenschutzgesetz Nordrhein-Westfalen<br />
§ 4 Abs. 2 Landesdatenschutzgesetz Schleswig-Holstein<br />
5
www.datenschutzzentrum.de<br />
Audit / <strong>Zertifizierung</strong><br />
• Auditierung<br />
<br />
<br />
<br />
Verfahrensbezogen<br />
Datenverarbeitung in einem Unternehmens oder einer Behörde oder einem<br />
Teilbereich dieser Organisation<br />
Datenschutzmanagement<br />
• <strong>Zertifizierung</strong><br />
<br />
<br />
<br />
Produktbezogen<br />
„Produkt“ eines Anbieters (Hardware, Software oder IT-Dienstleistung)<br />
Ermöglichung oder Erzwingung des datenschutzgerechten Einsatzes beim Anwender<br />
durch technische oder organisatorische Vorgaben<br />
6
www.datenschutzzentrum.de<br />
Datenschutzaudit nach dem<br />
Landesdatenschutzgesetz<br />
Schleswig-Holstein<br />
§ 43 Abs. 2 LDSG SH<br />
Öffentliche Stellen können ihr<br />
Datenschutzkonzept durch das Unabhängige<br />
Landeszentrum für Datenschutz prüfen und<br />
beurteilen lassen.<br />
7
www.datenschutzzentrum.de<br />
• Auf freiwilliger Basis (Vertrag mit dem ULD)<br />
• Gegenstand des Audits:<br />
Behörden<br />
Abgrenzbare Teile von Behörden<br />
Einzelne Verfahren<br />
• Voraudit und Hauptaudit<br />
• Durchführung des Auditverfahrens in 3 Schritten<br />
Bestandsaufnahme<br />
Festlegung der Datenschutzziele<br />
Einrichtung eines Datenschutzmanagementsystems<br />
• Begutachtung des Prozesses durch das ULD<br />
• Auditverleihung<br />
Veröffentlichung des Kurzgutachtens des ULD<br />
Befristung des Audits für 3 Jahre<br />
Auditverfahren<br />
8
www.datenschutzzentrum.de<br />
<strong>Zertifizierung</strong><br />
9
www.datenschutzzentrum.de<br />
Wichtige Faktoren /Anforderung an<br />
<strong>Zertifizierung</strong>en<br />
Transparenz der <strong>Zertifizierung</strong><br />
• Kriterien<br />
• <strong>Zertifizierung</strong>sprozess<br />
• <strong>Zertifizierung</strong>sergebnisse<br />
Nachprüfbarkeit der <strong>Zertifizierung</strong><br />
• Wird erreicht durch Transparenz<br />
Glaubwürdigkeit<br />
• Durch unabhängige, neutrale und kompetente <strong>Zertifizierung</strong>sstelle<br />
• Transparenz der Prüfergebnisse (ermöglicht Vergleich ähnlicher<br />
Produkte/Dienste)<br />
=> Vertrauen in die <strong>Zertifizierung</strong><br />
10
www.datenschutzzentrum.de<br />
Einführung des <strong>Gütesiegel</strong>s 2001<br />
Vorrangiger Einsatz von Produkten, deren Vereinbarkeit<br />
mit den Vorschriften über den Datenschutz und die<br />
Datensicherheit in einem förmlichen Verfahren festgestellt<br />
wurden.<br />
11
www.datenschutzzentrum.de<br />
Datenschutzauditverordnung 2001<br />
• <strong>Zertifizierung</strong>sfähige IT-Produkte:<br />
„Hardware, Software und automatisierte Verfahren, die<br />
zur Nutzung durch öffentliche Stellen geeignet sind“<br />
• Regelung des <strong>Zertifizierung</strong>sverfahrens:<br />
<br />
<br />
<br />
Begutachtung durch externe Sachverständige<br />
Inhalt des Gutachtens<br />
Kurzgutachten zur Veröffentlichung<br />
• Regelung der Anerkennung von Sachverständigen<br />
• Ermächtigung zur Erhebung von Gebühren<br />
12
www.datenschutzzentrum.de<br />
-Ablauf des Verfahrens<br />
Produkt<br />
8Eignung für s.-h. Verwaltung<br />
8Herstellungsort beliebig<br />
8Realer Einsatz überall<br />
Gutachter<br />
8Akkreditiert<br />
8Eignung geprüft<br />
8Recht und Technik<br />
<strong>Zertifizierung</strong> durch ULD<br />
8Überprüfung des Gutachtens<br />
8Verleihung des <strong>Gütesiegel</strong>s<br />
Begutachtung<br />
8Zugrundelegung der<br />
Kriterien<br />
8Kurzgutachten<br />
13
www.datenschutzzentrum.de<br />
Besonderheiten nationaler /regionaler<br />
Regelungen<br />
• Nationale / Regionale Regelungen im Bereich der<br />
<strong>Zertifizierung</strong> weisen eine Reihe von Problemen auf<br />
Keine einheitliche Umsetzung der Datenschutzrichtlinie<br />
in den einzelnen Mitgliedsländern bzw. unterschiedliche<br />
LDSG in den Bundesländern<br />
Keine vergleichbaren Reglungen in anderen<br />
Bundesländern<br />
=> Fehlende oder unzureichende Anerkennung der<br />
<strong>Zertifizierung</strong> in anderen Staaten / Bundesländern<br />
• Mögliche Lösung: <strong>Zertifizierung</strong>sschema aufbauend auf<br />
europäischer Grundlage (Richtline, Rechtsprechung, Art. 29<br />
Gruppe etc.)<br />
<strong>14</strong>
www.datenschutzzentrum.de<br />
EuroPriSe<br />
Einführung als Projekt Juni 07 – Februar 09<br />
EU-Förderung 1.3 Mio.<br />
Projekt-Partner aus 8 Ländern<br />
Markteinführung seit März 2009 durch das ULD<br />
Mehr als 100 zugelassene Experten in 13 Ländern<br />
15 + 1 abgeschlossene Verfahren<br />
Unterstützt vom EDPS<br />
Vorbildlich lt. französischem Senatsbericht (06/09)<br />
Neues Logo seit 08/09<br />
Projekt-Partner:<br />
BORKING<br />
CONSULTANCY<br />
15
www.datenschutzzentrum.de<br />
Scope der <strong>Zertifizierung</strong><br />
The European Privacy Seal certifies that an IT product<br />
or IT-based service facilitates the use of that product or<br />
service in a way compliant with European regulations on<br />
privacy and data protection.<br />
16
www.datenschutzzentrum.de<br />
<strong>Zertifizierung</strong> nach EuroPriSe<br />
• Geeigneter Gegenstand einer <strong>Zertifizierung</strong> (Target of<br />
Evaluation [ToE]) ist hier ein IT-Produkt oder ein ITbasierter<br />
Dienst<br />
• Begutachtung durch externe Sachverständige<br />
• Zulassung der Sachverständigen durch die<br />
<strong>Zertifizierung</strong>sstelle<br />
Teilnahme an Zulassungsworkshop<br />
Erfolgreicher Nachweis der Sachkunde in Form eines<br />
Trainingsgutachtens<br />
Nachweis von ausreichend Berufserfahrung im Bereich Datenschutz<br />
und <strong>Zertifizierung</strong><br />
17
www.datenschutzzentrum.de<br />
Ablauf einer EuroPriSe <strong>Zertifizierung</strong><br />
Manufacturers or<br />
service providers<br />
commission admitted<br />
EuroPriSe Experts of of<br />
their choice<br />
IT Product<br />
or IT-based Service<br />
Monitoring of<br />
IT-based Services<br />
Award of European<br />
Privacy Seal<br />
Validity: 2 Years<br />
• Determination of of Target of of<br />
Evaluation (ToE)<br />
• Determination of of applicable<br />
Admitted certification Experts criteria Evaluate<br />
from<br />
Product or Service<br />
EuroPriSe Criteria Catalogue<br />
• Composition of of evaluation<br />
report and short public report<br />
Accredited Certification<br />
Authority checks evaluation<br />
© EuroPriSe ®<br />
18
www.datenschutzzentrum.de<br />
Einsatzbereiche der zertifizierten Produkte<br />
Haupteinsatzbereiche:<br />
Targeting-Lösungen (<strong>Gütesiegel</strong> S.-H. und EuroPriSe)<br />
Sicherer Internetanschluss (<strong>Gütesiegel</strong> S.-H.)<br />
Archivierungssystem (<strong>Gütesiegel</strong> S.-H.)<br />
Betrugsbekämpfungssoftware im Bankenbereich (EuroPriSe)<br />
Medizinbereich (<strong>Gütesiegel</strong> S.-H. und EuroPriSe)<br />
Datenträgervernichtung (<strong>Gütesiegel</strong> S.-H.)<br />
Software für die Verfremdung von Bilder einer<br />
Videoüberwachung (EuroPriSe)<br />
19
www.datenschutzzentrum.de<br />
Dauer und Kosten der <strong>Gütesiegel</strong>verfahren<br />
• Phase 1: Begutachtung durch Sachverständigen<br />
Dauer und Kosten abhängig von:<br />
Qualität des Produkts<br />
<br />
Qualität und Vollständigkeit der Dokumentation<br />
Kosten frei verhandelbar<br />
• Phase 2: Überprüfung durch <strong>Zertifizierung</strong>sstelle<br />
Dauer und Kosten abhängig von:<br />
Qualität des Produkts und der Dokumentation<br />
<br />
<br />
Qualität des Gutachtens<br />
Kosten nach Gebührensatzung (gültig für <strong>Gütesiegel</strong> S.-H., nicht für EuroPriSe!)<br />
Grundgebühr (in der Regel 1280,- bis 3840,- Euro)<br />
Erstattung zusätzlichen Aufwands durch<br />
Zusatzgebühren<br />
Kosten für EuroPriSe <strong>Zertifizierung</strong> abhängig von Komplexität des ToE<br />
20
www.datenschutzzentrum.de<br />
Rezertifizierung<br />
• Beide <strong>Zertifizierung</strong>en sind auf 2 Jahre befristet<br />
• Regelfall: Rezertifizierung in vereinfachtem<br />
Verfahren nach Ablauf der Gültigkeitsdauer:<br />
Lediglich Änderungen des Produktes, der Technikund<br />
Rechtslage und der Bewertung werden<br />
berücksichtigt.<br />
• bei umfangreicheren, erheblichen Änderungen des<br />
Produktes oder der Technik- und Rechtslage:<br />
Rezertifizierung auch während der Laufzeit<br />
• bei unerheblichen Veränderungen des Produktes:<br />
Anzeige gegenüber dem ULD<br />
21
www.datenschutzzentrum.de<br />
Nutzen und Vorteile eines Datenschutz-<br />
<strong>Gütesiegel</strong>s I<br />
Für den Beschaffer / Anwender:<br />
• Sicherheit darüber, ein datenschutzgerechtes Produkt zu nutzen (inkl.<br />
Rechtskonformität im Rahmen der Anwendungshinweise)<br />
• Soweit das Produkt die datenschutzgerechte Anwendung durch<br />
Technik erzwingt: Keine Datenschutzverletzungen durch<br />
Handlungsspielräume der Anwender, Risikoverminderung<br />
• Geprüfte Produktdokumentation in der Regel mit Hinweisen zur<br />
datenschutzgerechten Anwendung für Administratoren und Anwender<br />
(inkl. Einsatzumgebung)<br />
• Erleichterungen bei der Vorabkontrolle sowie beim Test und der<br />
Freigabe neuer Verfahren und Programme<br />
• Transparenz über Vorgänge der Datenverarbeitung<br />
• Erleichterung bei der Beschaffung durch Vergleichbarkeit und Nutzung<br />
der <strong>Zertifizierung</strong>sergebnisse (Kurzgutachten, ggf. ausführliches<br />
Gutachten)<br />
22
www.datenschutzzentrum.de<br />
Nutzen und Vorteile eines Datenschutz-<br />
<strong>Gütesiegel</strong>s II<br />
Für den Hersteller:<br />
• Wettbewerbsvorteile durch<br />
Vorrangiger Einsatz bei Ausschreibungen in Schleswig-Holstein (und<br />
ggf. anderen Bundesländern) (<strong>Gütesiegel</strong> S.-H.)<br />
einfacherer Nachweis von Datenschutz- und<br />
Sicherheitseigenschaften des Produktes gegenüber Kunden<br />
Imagegewinn: Nachweis von „Verantwortungsbewusstsein“<br />
• Eigenrevision und „Zwang“ zur Qualitätssicherung und<br />
Produktdokumentation (Dokumentation auch von Produktänderungen!)<br />
23
www.datenschutzzentrum.de<br />
Berücksichtigung des <strong>Gütesiegel</strong>s SH bei<br />
Vergabeentscheidungen in SH<br />
• § 4 Abs. 2 LDSG SH: Zertifizierte Produkte sollen vorrangig eingesetzt<br />
werden.<br />
• <strong>Gütesiegel</strong> ist als Kriterium bei der Vergabe zu berücksichtigen.<br />
• Datenschutzgerechte Einsatzmöglichkeit als Leistungsmerkmal des<br />
Produkts.<br />
• Wird in der Praxis bei Ausschreibungen berücksichtigt. GMSH als<br />
zentrale Beschaffungsstelle z.B. erkennt das <strong>Gütesiegel</strong> als<br />
Vergabekriterium an.<br />
• Führt in Bereichen dazu, dass Wettbewerber sich ebenfalls<br />
zertifizieren lassen (z.B. Aktenvernichtung, Meldeauskunft).<br />
• Es wurden auch Vergabeentscheidung gegen zertifizierte Produkte<br />
getroffen – andere Kriterien waren Ausschlag gebend. <strong>Gütesiegel</strong> ist<br />
kein allgemeines Qualitätsmerkmal.<br />
24
Konkrete Prüfung
www.datenschutzzentrum.de<br />
Ablauf und Kriterien der Prüfung<br />
• Festlegen des Prüfungsgegenstandes<br />
Produkt / Dienst (ToE)<br />
Hardware, Software, IT-basierte Dienste<br />
zur Verarbeitung personenbezogener Daten<br />
Der einzureichenden Produktdokumentation (nicht abschließend)<br />
Administratorhandbuch<br />
Benutzerhandbuch<br />
Information über Schwachstellen<br />
Hinweise zum Umgang mit Schwachstellen<br />
Hinweise zum datenschutzgerechten Einsatz<br />
Privacy Policy<br />
26
www.datenschutzzentrum.de<br />
• Inhalt der Prüfung:<br />
Ablauf und Kriterien der Prüfung<br />
Kann der ToE in einer Weise eingesetzt werden, dass die Vorschriften /<br />
Anforderungen im Bereich Datenschutz und Datensicherheit bei der Anwendung des<br />
Produkts eingehalten werden können? Wird der Anwender hierbei durch den ToE<br />
oder dessen Dokumentation aktiv unterstützt?<br />
Überprüfung der oben aufgeworfenen Frage im Hinblick auf<br />
Recht (welches sind die Anforderungen an Datenschutz und<br />
Datensicherheit?)<br />
Technik (wie sind diese Anforderungen durch den ToE umgesetzt?)<br />
27
www.datenschutzzentrum.de<br />
Ablauf und Kriterien der Prüfung<br />
• 1. Schritt: Festlegung des ToE<br />
<br />
Abgrenzung von der Einsatzumgebung, z. B. Betriebssystem bei der Prüfung eines<br />
Programms<br />
<br />
Definition der Schnittstellen (rechtlich und technisch)<br />
<br />
Überlegung, welche Datenverarbeitungsschritte mit dem ToE durchgeführt werden<br />
und welche unabhängig vom Einsatz des ToE erfolgen (bspw. im Rahmen der<br />
Erbringung eines Dienstes).<br />
28
www.datenschutzzentrum.de<br />
Ablauf und Kriterien der Prüfung<br />
• 2. Schritt: Bildung des Anforderungsprofils<br />
<br />
<br />
1. Ermittlung des Einsatzbereichs des ToE - Beispiele:<br />
Medizinbereich: Verarbeitung von Patientendaten im Krankenhaus<br />
Sozialwesen: Verarbeitung der Daten von Sozialhilfeempfängern<br />
Meldewesen: Auskunft aus dem Melderegister<br />
Internet: Verarbeitung von Kundendaten im Rahmen von Online-<br />
Transaktionen<br />
2. Ermittlung der Datenarten, die mit dem Produkt verarbeitet werden<br />
Primärdaten (oben z.B.: Patientendaten)<br />
Sekundärdaten (Protokolldaten, oben z.B. IP-Adresse des<br />
Internetnutzers)<br />
29
www.datenschutzzentrum.de<br />
Ablauf und Kriterien der Prüfung<br />
3. Ermittlung der bei der Anwendung einzuhaltenden<br />
Rechtsvorschriften über Datenschutz und Datensicherheit für jede<br />
Datenart<br />
Vorschriften ergeben sich aus den für den Einsatzbereich anwendbaren<br />
Gesetzen - bereichsspezifisches Recht (Landesmeldegesetz,<br />
Bundessozialhilfegesetz, Teledienstedatenschutzgesetz), allgemeines<br />
Datenschutzrecht (Landesdatenschutzgesetz,<br />
Bundesdatenschutzgesetz) oder die zugrundeliegenden Europäischen<br />
Richtlinien (95/46/EC, 2002/58/EC [2009/136/EC] und andere)<br />
30
www.datenschutzzentrum.de<br />
Ablauf und Kriterien der Prüfung<br />
• In einer Datenflussanalyse ist zu untersuchen, welche<br />
Arten von Daten überhaupt verarbeitet werden:<br />
<br />
<br />
<br />
<br />
Daten von Betroffenen<br />
technische Daten (z. B. Kommunikation, IP-Adresse, etc.)<br />
Protokolldaten (Protokollierung)<br />
Dokumentation (z. B. von der Vergabe von Nutzerrechten)<br />
• Eigene Anforderungsprofile für<br />
<br />
<br />
Primärdaten (i.d.R. Daten der Betroffenen)<br />
Sekundärdaten (Daten, die aufgrund der automatisierten Verarbeitung anfallen<br />
oder generiert werden sollten, in erster Linie Protokolldaten)<br />
• Fokus liegt auch auf den Daten der Mitarbeiterinnen<br />
und Mitarbeitern<br />
• Dokumentation und Handbücher sind Gegenstand der<br />
Begutachtung<br />
31
www.datenschutzzentrum.de<br />
Ablauf und Kriterien der Prüfung<br />
• 4. Schritt: Prüfung der Umsetzung der Anforderungen<br />
<br />
<br />
<br />
Rechtliche / Technische Umsetzung, z.B.:<br />
Sind ADV Verträge vorhanden und entsprechend ausgestaltet<br />
Ist die Privacy Policy in Ordnung<br />
Eingabefelder sind auf das Notwendige beschränkt -> keine<br />
überschießende Datenerhebung<br />
Automatische Löschung der Daten<br />
Protokollierung von verändernden oder löschenden Zugriffen auf Daten<br />
Berechtigungskonzept, durch das der Zugriff auf Daten auf die<br />
berechtigten Nutzer beschränkt werden kann<br />
Keine technische Umsetzung: Hinweise zur organisatorischen Lösung:<br />
Hinweise in der Produktdokumentation über notwendige<br />
organisatorische Maßnahmen<br />
Technische Lösung grundsätzlich vorzuziehen<br />
32
www.datenschutzzentrum.de<br />
• Der Prüfung liegt Kriterienkatalog zugrunde<br />
Kriterienkatalog<br />
Aufzählung aller möglichen in Betracht kommenden<br />
Prüfpunkte<br />
Sichert die vollständige Prüfung durch die Gutachter<br />
Nicht für jeden ToE sind alle Kriterien relevant<br />
33
www.datenschutzzentrum.de<br />
Kriterienkatalog mit 4 Komplexen:<br />
Kriterienkatalog<br />
• Komplex 1: übergreifende Anforderungen an die<br />
Technikgestaltung (insbesondere Datenvermeidung,<br />
Transparenz des Produktes, Dokumentation),<br />
• Komplex 2: Zulässigkeit der angestrebten<br />
Datenverarbeitung (materielles Recht),<br />
• Komplex 3: technisch-organisatorischen Maßnahmen zum<br />
Schutz der Betroffen,<br />
• Komplex 4: Rechte der Betroffenen (z.B. Benachrichtigung,<br />
Auskunft, Transparenzgebote, Löschung).<br />
34
www.datenschutzzentrum.de<br />
Kriterienkatalog<br />
• Komplex 1: Grundsätzliche technische Ausgestaltung von<br />
IT-Produkten<br />
<br />
Datensparsamkeit<br />
<br />
Frühzeitiges Löschen, Anonymisieren oder Pseudonymisieren<br />
<br />
Transparenz und Produktbeschreibung<br />
35
www.datenschutzzentrum.de<br />
Kriterienkatalog<br />
• Komplex 2: Zulässigkeit der Datenverarbeitung<br />
Allgemeine Voraussetzungen der Zulässigkeit<br />
Datenverarbeitung im Auftrag<br />
Einwilligung<br />
Zulässigkeit in den einzelnen Phasen der Datenverarbeitung<br />
Erhebung beim Betroffenen<br />
Zweckbindung<br />
Trennungsgebot<br />
Übermittlung<br />
Löschung nach Wegfall der Erfordernis<br />
36
www.datenschutzzentrum.de<br />
Kriterienkatalog<br />
• Komplex 3: Technisch-Organisatorische Maßnahmen<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Zugangskontrolle<br />
Zugriffskontrolle<br />
Protokollierung von Datenverarbeitungsvorgängen<br />
Maßnahmen zur Sicherung der Verfügbarkeit (Backup, Recovery etc.)<br />
Datenschutz- und Datensicherheitsmanagement (Security Policy, Risikoanalyse etc.)<br />
Löschung von Daten und Vernichtung von Datenträgern<br />
Verschlüsselung bei Nutzung mobiler Geräte und der Übertragung von Daten<br />
Pseudonymisierung und Anonymisierung<br />
37
www.datenschutzzentrum.de<br />
Kriterienkatalog<br />
• Komplex 4: Rechte der Betroffenen<br />
<br />
<br />
<br />
<br />
<br />
<br />
Aufklärung und Benachrichtigung<br />
Auskunft<br />
Berichtigung<br />
Löschung<br />
Sperrung<br />
Widerspruch gegen die Datenverarbeitung<br />
<br />
Bei einer EuroPriSe <strong>Zertifizierung</strong> werden hier speziell die Rechte des Betroffenen<br />
nach den Richtlinien 95/46/EC (siehe oben) und 2002/58/EC (Recht auf Information<br />
über Datenschutzvorfälle [Breach Notification], oder Sicherheitsrisiken etc.) geprüft.<br />
38
www.datenschutzzentrum.de<br />
• 4 Bewertungsstufen (<strong>Gütesiegel</strong> SH):<br />
<br />
<br />
<br />
<br />
vorbildlich<br />
adäquat<br />
unzureichend<br />
Nicht<br />
• 5 Bewertungsstufen (EuroPriSe)<br />
<br />
<br />
<br />
<br />
<br />
Excellent<br />
Adequate<br />
Additional safeguards needed<br />
Barely passing<br />
Fail<br />
Bewertung der Erfüllung der<br />
Voraussetzungen<br />
• Technische Umsetzung ist grundsätzlich einer organisatorischen Lösung<br />
vorzuziehen<br />
• Ausgleich von Defiziten möglich bei unzureichender Umsetzung durch<br />
Gesamtbewertung der Eigenschaften<br />
39
www.datenschutzzentrum.de<br />
Noch Fragen?<br />
www.datenschutzzentrum.de/audit/<br />
www.datenschutzzentrum.de/guetesiegel/<br />
www.european-privacy-seal.eu<br />
40
www.datenschutzzentrum.de<br />
Informationen zur Klausur<br />
41
www.datenschutzzentrum.de<br />
• Prüfungsleistung 1: Klausur<br />
Datum: 04. Februar 20<strong>14</strong><br />
Beginn: 08:00 Uhr s.t.<br />
Bearbeitungszeit: 1 Stunde<br />
Ort: ULD, Holstenstraße 98, 24103 Kiel<br />
Prüfungstermine (I)<br />
Anmeldung: Beim Prüfungsamt der Fachhochschule Kiel!<br />
Studentenausweis zum Prüfungstermin mitbringen<br />
Erlaubte Hilfsmittel: Gesetzessammlung<br />
"Datenschutzrecht in Schleswig-Holstein", 5. Aufl. 2012<br />
Achtung: Unterstreichungen und Verweise zwischen Paragrafen<br />
sind o. k., Definitionen oder sonstige Hilfstexte sind verboten<br />
42
www.datenschutzzentrum.de<br />
Prüfungstermine (II)<br />
Stoff: Grundrechte, Sieben Goldene Regeln,<br />
IT-Sicherheit, bereichsspezifisches Datenschutzrecht<br />
alle in den Vorlesungen behandelten Themen<br />
Aufgaben: Multiple Choice, Freitexte und Fälle<br />
Vorbereitung: Lehrbücher sind in Vorlesung Nr. 1<br />
empfohlen worden, Vorlesungsfolien sind abrufbar unter<br />
https://www.datenschutzzentrum.de/vorlesungen/<br />
• Prüfungsleistung 2: Voraussichtlich mündl. Prüfung<br />
Prüfungszeitraum: ???<br />
Achtung: Bei einer mündlichen Prüfung wird das<br />
Nichterscheinen eines Prüflings als „nicht bestanden“<br />
gewertet (laut Prüfungsordnung)<br />
43
Change language