Anforderungen für die Datenvernichtung

Zunächst widmete er sich den Grundlagen der Persönlichkeitsrechte, die zu den höchsten vom Grundgesetz geschützten Werten gehören. Das Bundesverfassungsgericht hat aus den ersten beiden Artikeln des Grundgesetzes das Recht des Einzelnen abgeleitet, selbst über die Verwendung seiner Daten zu bestimmen. Stefan Latz stellte klar, dass zu den personenbezogenen Daten alle persönlichen und sachlichen Verhältnisse einer Person zählen. Außerdem muss aus seiner Sicht beachtet werden: Was im Zusammenhang mit dem Datenschutz nicht ausdrücklich erlaubt ist, ist verboten.

In Unternehmen müssen demnach alle Personen, die Umgang oder Zugang zu personenbezogenen Daten haben, auf die Wahrung des Datengeheimnisses verpflichtet werden, dies gilt auch für Aushilfen. Für den Einkauf ist der Paragraf 11 „Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag“ des Bundesdatenschutzgesetzes wichtig. Geht es um die Erhebung, eine weitere Verarbeitung oder Nutzung von Daten bleibt immer der Auftraggeber verantwortlich für die Einhaltung der Vorschriften. Das heißt, selbst wenn ein Dienstleister mit der Vernichtung von Datenträgern beauftragt wird, trägt der Auftraggeber die Verantwortung. Vertraglich muss im Vorfeld unter anderem der Gegenstand und die Dauer des Auftrags festgelegt werden, die zu treffenden technischen und organisatorischen Maßnahmen und die mitzuteilenden Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen. Hierzu zählt außerdem die Pflicht des Auftraggebers, sich regelmäßig von der Einhaltung der getroffenen Maßnahmen zu überzeugen.

Im zweiten Teil seines Vortrags fasste Stefan Latz noch einmal die neue DIN zur Datensicherheit zusammen, die sich angefangen von den Grundlagen und Begriffen des Vernichtens von Datenträgern über die Anforderungen an Maschinen bis hin zum Prozess der Datenträgervernichtung dem gesamten Ablauf und den Vorgaben widmet. Entscheidend ist zunächst die Einstufung der Daten in die Schutzklassen eins bis drei. Daraus erfolgt die entsprechende Einordnung in die insgesamt sieben Sicherheitsstufen. Stufe eins heißt: „Datenträgervernichtung derart, dass die Reproduktion der auf ihnen wiedergegebenen Daten ohne besondere Hilfsmittel und Fachkenntnisse, jedoch nicht ohne besonderen Zeitaufwand möglich ist. Stufe sieben verlangt die höchste Sicherheit: „Datenträgervernichtung derart, dass die Reproduktion der auf ihnen wiedergegebenen Daten nach dem Stand von Wissenschaft und Technik unmöglich ist“.

Aus Sicht des TÜV-Experten kann der Entsorgungsprozess mit den neuen Normen DIN 66339 Teil eins bis Teil drei für jedwede Art von Information prozessorientiert im Unternehmen eingeführt und umgesetzt werden. Dadurch erlange die Datenentsorgung die Sicherheit, die notwendig ist und die definiert wurde. Er betont allerdings, dass Normen nicht zwingend angewendet werden müssen, in einem Gerichtsverfahren würden sie jedoch als Stand der Technik herangezogen.

www.tuev-hessen.de