Neue Instrumente im Datenschutz - Landesbeauftragter für ...

Beide Formen des Audits sollten getrennt werden. Es macht wenig
Sinn, wenn die vielen tausend Anwender eines Datenverarbeitungssystems
oder -programms dieses viel tausendfach auditieren lassen.
Vielmehr sollte allein der jeweilige Anbieter für das System oder
Programm ein einziges Produkt-Audit durchführen. Die datenverarbeitenden
Stellen sollten sich dagegen im Rahmen ihres System-
Audits verpflichten, - soweit vorhanden - auditierte Datenverarbeitungssysteme
und -programme in ihrer Datenverarbeitung einzusetzen.
Das System-Audit wiederum zielt auf eine Überprüfung und
Bewertung des Datenschutzmanagementsystems einer datenverarbeitenden
Stelle und ist ungeeignet, verläßliche Aussagen über eine
technische Einrichtung zu generieren. Das Produkt-Audit für Datenverarbeitungssysteme
und -programme kann daher nicht durch ein
System-Audit ersetzt werden.
Aus dieser Interpretation der Programmnorm des § 9a BDSG-E ergibt
sich folgende Regelungsstrategie: Die Anbieter von Datenverarbeitungssystemen
und -programmen sollten die gesetzliche Möglichkeit
erhalten, ihre technischen Einrichtungen durch unabhängige und
zugelassene Gutachter prüfen und bewerten zu lassen sowie das Ergebnis
der Prüfung zu veröffentlichen. Zu diesem Zweck sollte das
BSIG um den Aspekt des Datenschutzes erweitert werden. In § 4
BSIG ist bereits die Möglichkeit für eine Zertifizierung der Datensicherheit
eröffnet. Für den Aspekt des Datenschutzes müßten konkrete
Prüfkriterien erarbeitet werden. Zu diesem Zweck könnte in einer
Novelle des BSIG eine Ermächtigung zum Erlaß eines Kriterienkatalogs
vorgesehen werden. Diese könnte sich an § 16 Abs. 6 SigV
orientieren. 34 Danach wäre in der Ermächtigung festzuhalten, daß das
Bundesamt für Sicherheit in der Informationstechnik einen Katalog
geeigneter Kriterien erstellt und fortführt, anhand derer die Gewährleistung
von Datenschutz und Datensicherheit technischer Einrichtungen
bewertet werden kann. An der Erstellung und Fortführung des
Katalogs sind Experten aus Wirtschaft und Wissenschaft zu beteiligen.
Die jeweils gültige Fassung wird im Bundesanzeiger veröffentlicht.
34
S. zu dieser Vorschrift Roßnagel/Pordesch in: Roßnagel (Hrsg.), Recht der
Multimedia-Dienste, Kommentar zum Informations- und Kommunikationsdienste-Gesetz
und zum Mediendienste-Staatsvertrag, München 1999, § 16
SigV, Rn. 111.
55