16/3377 - Abgeordnetenhaus von Berlin

Bericht des Berliner Beauftragten für Datenschutz und
Informationsfreiheit 2009
ist der Datenschutzbeauftragte jedoch
Interessenkonflikten ausgesetzt, die ihn für dieses Amt
ungeeignet machen. Das ist ein Mangel nach § 4 Abs.
2 BDSG, der allerdings inzwischen durch Bestellung
eines anderen betrieblichen Datenschutzbeauftragten
behoben wurde. Da der Mangel schon vor unserer
Kontrolle erkannt und inzwischen auch behoben ist,
haben wir von der Verfolgung als Ordnungswidrigkeit
abgesehen.
Da die beim Adressmittler gepoolten Daten zum
Zwecke der Übermittlung ohne Kenntnis der
Betroffenen gespeichert sind, sind sie nach § 33 Abs.
1 Satz 2 BDSG von der erstmaligen Übermittlung zu
benachrichtigen. Diese gesetzliche Anforderung
befolgt das Unternehmen bisher nicht. Hierin liegt
eine Ordnungswidrigkeit nach § 43 Abs. 1 Nr. 8
BDSG. Eine Verfolgung dieser Ordnungswidrigkeit
wird von uns davon abhängig gemacht, ob das
Unternehmen in Zukunft der Benachrichtigungspflicht
nachkommt.
Technisch-organisatorische Maßnahmen nach § 9
BDSG
Das Ergebnis der technisch-organisatorischen
Kontrolle ausnahmsweise mal vorweg: Dabei wurden
keine datenschutzrechtlichen Mängel festgestellt. Die
Datenverarbeitung erfolgt auf einem sehr hohen
Sicherheitsniveau.
Die eingesetzte Hard- und Software teilt sich auf die
Räume des erwerbsmäßigen Adressmittlers und einen
externen Dienstleister auf. Die Server stehen bei
einem auf Server Hosting spezialisierten Dienstleister,
der die höchste Sicherheitsstufe garantiert. Alle
personenbezogenen Daten, die im Rahmen der
Auskunftsdienste des Adressmittlers verarbeitet
werden, werden ausschließlich auf den Servern des
externen Dienstleisters verschlüsselt gespeichert. Der
Zugriff auf die Daten erfolgt sowohl für den
Adressmittler als auch den Kunden webbasiert und ist
verschlüsselt. Beim Adressmittler kommen im
Produktionsbetrieb ausschließlich Thin Clients zum
Einsatz, die nicht über Laufwerke verfügen. Ein
Anschluss externer Speichermedien ist nicht möglich.
Ein eventuelles Kopieren und Abspeichern
personenbezogener Daten wird damit verhindert. Die
Weitergabekontrolle nach Nr. 4 der Anlage zu § 9
BDSG ist gewährleistet.
Die Server beim externen Dienstleister befinden sich
in einem Sicherheitsbereich. Der Zutritt ist durch
biometrische Schlüssel, Alarmanlage,
Sicherheitspersonal und ein
Zugangskartenkontrollsystem gesichert. Der Zutritt
wird protokolliert. Beim Adressmittler wird der Zutritt
durch eine in verschiedene Sicherheitsbereiche
eingeteilte Schließanlage gesichert. Alle Büroräume
verfügen über eine Alarmanlage. Die Zutrittskontrolle
nach Nr. 1 der Anlage zu § 9 BDSG ist sichergestellt.
Die Arbeitsplätze beim Adressmittler sind
passwortgeschützt, und es gibt strenge Vorgaben zur
Stellungnahme des Senats
42