Bericht VDSZ

abhängigen Landeszentrum für Datenschutz Schleswig-Holstein für Produkteprüfungen ausgearbeitet wurde³. Dieser Anforderungskatalog stellt beispielhaft Datenschutz- und Datensicherheitsanforderungen sowie in ihrem Zusammenhang zu berücksichtigende Fragestellungen nach wichtigen Rechtsnormen dar. Er gibt eine Mustergliederung für das Abarbeiten von Anforderungen. Eine reine Prüfcheckliste fällt dagegen nicht in Betracht, da sich die Anforderungsprofile und Datenarten pro zu prüfendem IT-Produkt unterscheiden und ausserdem die Prüfer ihre Bewertungen stets begründen müssen.

Die Richtlinien sollen Anforderungen an die Technikgestaltung formulieren. Dies betrifft insbesondere die Datenvermeidung und die Transparenz der Datenbearbeitung.

Die Zulässigkeit der angestrebten Datenverarbeitung wird anhand einer Konkretisierung der einschlägigen Datenschutzgrundsätze (Art. 4 ff. DSG) zu überprüfen sein.

Ebenfalls zu untersuchen wird sein, welche technisch-organisatorischen Massnahmen zum Schutz der Betroffenen das Produkt unterstützt. Diese Massnahmen leiten sich in erster Linie aus den Art. 8 ff. VDSG ab. Beachtet werden muss bei der Bewertung, welches Angreifermodell den getroffenen bzw. zu treffenden Massnahmen zugrunde liegt, gegen welche Angriffe Schutzmassnahmen vom IT-Produkt selbst vorgesehen sind, welche zusätzlichen Massnahmen unterstützt werden (bzw. ob es dabei Einschränkungen gibt), und schliesslich, welche Restrisiken verbleiben.

Weiter wird die Umsetzung der Rechte der Betroffenen (z.B. Benachrichtigung, Auskunft, Transparenzgebote) beurteilt werden müssen. Die Gewährleistung der Betroffenenrechte wird heutzutage vielfach auf organisatorischer Ebene abgedeckt. Beim zu zertifizierenden IT-Produkt ist entscheidend, inwieweit dort technisch:

• die Wahrnehmung der Rechte direkt durch die Betroffenen ermöglicht oder sogar gefördert sowie

• die organisatorische Ebene beim Betreiber zur Gewährleistung der Betroffenenrechte unterstützt wird.

Es sind jeweils zusätzlich sowohl die Aspekte der Datensparsamkeit (z.B. ist eine Abwicklung anonym oder unter Pseudonym möglich) als auch der Protokollierung der Wahrnehmung der Betroffenenrechte zu berücksichtigen.

Schliesslich ist zu beachten, dass innerhalb eines Produktes verschiedene Datenarten verarbeitet und zwischen einzelnen Komponenten ausgetauscht werden. Beispielhaft seien hier Betroffenendaten (häufig auch als Primärdaten bezeichnet), z.B. Patientendaten einer Versicherung, und Sekundärdaten (z.B. Protokolldaten über Dateneingaben und Datenbankzugriffe, aber auch über Konfigurationsänderungen oder Zugang zu sensiblen Räumen wie Rechenzentrum) genannt.

6. Erteilung und Gültigkeit der Zertifizierung (Art. 6)

Absatz 1 macht deutlich, dass die Anforderungen, die eine zu zertifizierende Organisation oder ein zu zertifizierendes Produkt zu erfüllen haben, sich einerseits aus den