Checkliste TOM Zutrittskontrolle

Aus Datenschutz-Wiki
Wechseln zu: Navigation, Suche

Eine nähere Erläuterung des Prüfkatalogs zur Auditierung des Standes technischer und organisatorischer Maßnahmen bzw. zur Erfüllung der Aufgaben nach § 9 BDSG und Anlage ist unter Checkliste Technische und organisatorische Maßnahmen zu finden. Des Umfangs halber wurde die Übersicht in einzelne Listen aufgeteilt, des weiteren teilweise angepasst bzw. ergänzt. Bei der Verwendung des Prüfkatalogs im Rahmen verschiedener Landesdatenschutzgesetze bitte die evtl. andere Nummerierungen beachten.

Hilfsmittel zur Durchführung

Die Erfüllung der Aufgaben nach § 9 BDSG und Anlage beinhaltet

  1. Organisationskontrolle (im BDSG nicht mehr als eigenständige Nr. in der Anlage aufgeführt)
    "die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird"
  2. Zutrittskontrolle (Anlage Nr.1)
    "Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren"
  3. Zugangskontrolle (Anlage Nr.2)
    "zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können"
  4. Zugriffskontrolle (Anlage Nr.3)
    "zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können"
  5. Weitergabekontrolle (Anlage Nr.4)
    "zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist"
  6. Eingabekontrolle (Anlage Nr.5)
    "zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind"
  7. Auftragskontrolle (Anlage Nr.6)
    "zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können"
  8. Verfügbarkeitskontrolle (Anlage Nr.7)
    "zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind"
  9. Trennungskontrolle (Anlage Nr.8)
    "zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können"

sowie

  1. Internetauftritt
  2. WLAN

Checkliste[1]

Abkürzungen: erf. = erfüllt, nicht erf. = nicht erfüllt, nicht erfdl. = nicht erforderlich / nicht zutreffend

Vorgabe erf. nicht erf. nicht erfdl. Bemerkungen
Zutrittskontrolle
Gebäudeart
Innerhalb eines Betriebsgeländes
Bürogebäude
Büro- und Werkstattgebäude
Büro- und Wohngebäude
alleinige Nutzung
Bewachung des Geländes/Gebäudes außerhalb der Betriebsstunden
Wachpersonal Zeiten:
Bewegungsmelder Erfasste Bereiche?
Gebäude-Alarmanlage Aktive Zeit:
Verbindung zur Polizei
Verbindung zur Feuerwehr
Verbindung zu externem Wachdienst
Videoüberwachung
Zeitraum
Ort der Kameras
Standort der Monitore
Erfasste Bereiche
Mit Aufzeichnung Zugriffsregelung?
Aufbewahrungsdauer
Aufbewahrungsort
Betriebsvereinbarung vorhanden?
Lage der Räume
Serverräume abgegrenzt (Sperrbereich)?
PC-Arbeitsplätze abgegrenzt?
TK-Anlage abgegrenzt (Sperrbereich)?
Netzverteiler abgegrenzt (Sperrbereich)?
Zutritt ausreichend abgesichert
Türen, Türschlösser
Elektrische Türschlösser
Lichtschächte
Lüftungsöffnungen
Fenster, Verglasungsart
Rollos gegen Hochschieben gesichert
Feuerleiter
Feuertreppe
Auf- und Abschließen der Räume bei Arbeitsbeginn bzw. –ende
Schlüsselregelung
Quittierung der Schlüsselausgabe
Generalschlüsselanlage?
Aufbewahrung Generalschlüssel geregelt?
Überwachungseinrichtungen Räume
Alarmanlage
Videoüberwachung
Zeitraum
Ort der Kameras
Standort der Monitore
Erfasste Bereiche
Mit Aufzeichnung Zugriffsregelung?
Aufbewahrungsdauer
Aufbewahrungsort
Betriebsvereinbarung vorhanden?
Schriftliche Festlegungen zur Zutrittsberechtigung
Generalschlüsselentnahme
Ausweisregelungen
Trennung von Bearbeitungs- und Publikumszonen
Besucherregelungen
Besucherbuch
Kundenabfertigung (Schalterbetrieb)
Zutrittskontrollsystem
Ausweisleser
Magnetkarte
Transponderkarte
Multifunktionale Kartennutzung
Kontrolle Reinigungs- und Wartungsarbeiten
Anwesenheitskontrolle Richtlinien/Vereinbarungen?
Zeiterfassungssystem angeschlossen
Stechuhren
Schichtbuch
Protokollierung Wie? Zugriffsregelung?
Zutrittskontrolle bei Tele-/Heimarbeitern geregelt?
Beratung durch polizeiliche Beratungsstelle
Beratung durch Feuerwehr?

Checkliste als RTF-Datei


1. Organisationskontrolle

3. Zugangskontrolle

Einzelnachweise

  1. ^ Dr. Peter Münch, Checklisten zur Betriebsprüfung gem. § 38 BDSG, RDV 2006, 272, 280; Coaching Workshop Datenschutzpraxis; Dr. Münch ist Berater für Datenschutz und IT-Sicherheit und Mitglied des Präsidiums der GDD-Datenschutzakademie. Als langjähriges Mitglied des GDD-Vorstandes zeichnete er für den Bereich IT-Sicherheit, Wissenschaft und Lehre sowie das Gesundheitswesen verantwortlich. Die Listen sind teilweise angepasst bzw. ergänzt.


Dieser Text wurde aus dem Datenschutz-Wiki der BfDI übernommen. Bearbeitungen vor dem 16.April 2016 stehen unter der Lizenz Creative Commons Namensnennung 3.0 Deutschland.