Spezifikationsbericht E-Procurement

SPEZIFIKATION DES VERFAHRENS
„E-PROCUREMENT“
4.5 Anforderungen an die Sicherheit
Die Gewährleistung sicherer und vertraulicher Kommunikations- und Dienstleistungsangebote
über das Internet ist eine zwingende Voraussetzung für die Akzeptanz und
den Erfolg einer E-Vergabe-Lösung bei den Nutzern.
Anforderungen an die Sicherheit beziehen sich einerseits auf den Datenschutz sowie
andererseits auf die Daten- bzw. IT-Sicherheit.
Aufgabe des Datenschutzes ist es, den Einzelnen davor zu schützen, dass er durch
den Umgang mit seinen personenbezogenen Daten 7 in unzulässiger Weise in seinem
Recht beeinträchtigt wird, selbst über die Preisgabe und Verwendung seiner Daten
zu bestimmen.
Die Daten- bzw. IT-Sicherheit umfasst alle Maßnahmen für die Sicherstellung der
Verfügbarkeit, Vertraulichkeit und Integrität von Daten.
Im Folgenden werden Anforderungen im Zusammenhang mit dem Datenschutz sowie
der Daten- bzw. IT-Sicherheit erläutert.
4.5.1 Datenschutz
Eine Kommune bzw. ein Kreis hat zu prüfen, ob und inwieweit personenbezogene
Daten über die Vergabelösung erhoben, verarbeitet 8 oder genutzt werden. Für personenbezogene
Daten muss generell ein Grundschutz gewährleistet werden. Im
Bundesdatenschutzgesetz (BDSG) ist darüber hinaus geregelt, dass personenbezogene
Daten verstärkt zu schützen sind (vgl. § 3 Abs. 9 BDSG).
Werden über die Vergabelösung personenbezogene Daten (z. B. Kontaktdaten eines
Mitarbeiters) übermittelt, sind entsprechende technische und organisatorische Maßnahmen
des Datenschutzes zu treffen, so z. B.:
• Feststellung und Bewertung des Schutzbedarfs personenbezogener Daten:
Personenbezogene Daten sind im Hinblick auf ihren Schutzbedarf sowohl einzeln
als auch im Gesamtkontext der Anwendung zu bewerten. Da an einer Vergabelösung
verschiedene Stellen mitwirken können, ist darauf zu achten, dass die Daten
der beteiligten Einrichtungen insgesamt bewertet werden. Die Ausgestaltung
von Schutzmaßnahmen muss sich daran orientieren, welche Folgen für einen Betroffenen
bei Datenschutzverletzungen entstehen können und welcher potenzielle
Schaden für die Behörde eintreten kann.
• Personelle Maßnahmen: Es ist ein Rollen- und Zugriffsrechtekonzept zu erstellen,
das regelt, welche Personen im Rahmen ihrer jeweiligen Funktion (Anwen-
7 Als personenbezogene Daten werden einzelne Informationen gewertet, durch die sich Rückschlüsse auf die Identität
oder die sachlichen Verhältnisse einer Person ziehen lassen (vgl. § 3 Abs. 1 Bundesdatenschutzgesetz), so z. B.
Name, Anschrift, Staatsangehörigkeit, Familienstand, Beruf oder Einkommen.
8
Zur Verarbeitung personenbezogener Daten zählen das Speichern, Verändern, Übermitteln, Sperren und Löschen
(§ 3 Abs. 5 BDSG).
40 von 64