Quelltext der Seite Checkliste Technische und organisatorische Maßnahmen

<blockquote style="background-color:#f0f0f4;border:1px dotted #000;padding:5px;margin:20px;">
Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird.</blockquote>
Diesem einleitenden Satz der [[9_Satz1_Anlage|Anlage]] zu {{bdsgl|9||1}} [[BDSG]] folgt ein Anforderungskatalog mit einer Reihe von Maßnahmen, um die Datensicherheit je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien gewährleisten zu können.


Die nachfolgende Übersicht beruht auf der Checkliste zur Erfüllung der Aufgaben nach §&nbsp;9 BDSG und Anlage, die anhand von Prüflisten der Datenschutzaufsichtsbehörden erstellt und angepasst wurde. Als Quellen dienten die Regierung von Mittelfranken, die Bayerische Datenschutz-Aufsichtsbehörde für den nicht-öffentlichen Bereich (Stand: 7/2005) sowie der Hamburgische Datenschutzbeauftragte (Stand: 5/2007). Die Checkliste erschien erstmals 2006 in der Fachzeitschrift [https://www.gdd.de/aktuelles/rdv-online Recht der Datenverarbeitung] (RDV 2006, 272, 280) und wird regelmäßig im [[GDD]]-Jahrbuch veröffentlicht. Ihr Autor, Dr. Münch<ref name="pm">[http://www.datakontext.com/index.php?seite=referenten_detail&system_id=1377&com=detail Dr. Peter Münch], Checklisten zur Betriebsprüfung gem. §&nbsp;38 BDSG, RDV 2006, 272, 280; Coaching Workshop Datenschutzpraxis; Dr. Münch ist Berater für Datenschutz und IT-Sicherheit und Mitglied des Präsidiums der GDD-Datenschutzakademie. Als langjähriges Mitglied des GDD-Vorstandes zeichnete er für den Bereich IT-Sicherheit, Wissenschaft und Lehre sowie das Gesundheitswesen verantwortlich.</ref>, stellte sie dem Datenschutz-Wiki dankenswerterweise zur Verfügung. Des Umfangs halber wurden die Übersicht in einzelne Listen aufgeteilt, des weiteren teilweise angepasst bzw. ergänzt. Bei der Verwendung des Prüfkatalogs im Rahmen verschiedener Landesdatenschutzgesetze bitte die evtl. andere Nummerierung beachten.


{{TOM-Liste}}


== Checkliste ==

„''Für die zu prüfenden Stellen werden sofort die Prüfschwerpunkte erkennbar, die auch zur eigenen Auditierung des Standes der technisch-organisatorischen Maßnahmen verwendet werden können. Die Checkliste kann auch zur Prüfung der Dienstleister vor Auftragsvergabe ({{bdsgl|11}} BDSG) verwendet werden; z.B. durch Zusendung und Verpflichtung zur wahrheitsgemäßen Ausfüllung.''“ - Dr. Peter Münch, Vorbemerkung Coaching Workshop Datenschutzpraxis


<small>Abkürzungen: erf. = erfüllt, nicht erf. = nicht erfüllt, nicht erfdl. = nicht erforderlich / nicht zutreffend</small>

{| class="wikitable" style="counter-reset: levels1 1;"
|- valign="top"
!align="left" colspan="2"|Vorgabe
!align="left"|erf.
!align="left"|nicht erf.
!align="left"|nicht erfdl.
!align="left"|Bemerkungen
|- valign="top"
!align="left" colspan="6" class="level1"|Organisationskontrolle
|- valign="top" class="level2"
|class="level2"|
|Betriebsrat vorhanden?
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Feststellung des [[Schutzbedarf]]s der [[personenbezogene Daten|personenbezogenen Daten]]:
|| || || ||
|- valign="top"
|class="level3"|
|Kundendaten
|| x || || ||
|- valign="top"
|class="level3"|
|Lieferantendaten
|| || x || ||
|- valign="top"
|class="level3"|
|Mitarbeiterdaten
|| || || x ||
|- valign="top"
|class="level3"|
|{{komm|3|9||Besondere personenbezogene Daten}} gem. {{bdsgl|3|9}} BDSG
|| || || || ...
|- valign="top" class="level2"
|class="level2"|
|[[Risikoanalyse]] liegt vor?
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Wird der [https://www.bsi.bund.de/DE/Themen/ITGrundschutz/itgrundschutz_node.html BSI IT-Grundschutz] umgesetzt?
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Schriftliche Regelungen über den Betrieb und die Abläufe der Datenverarbeitung sowie zu den verschiedenen Datensicherheitsmaßnahmen
|| || || ||
|- valign="top"
|class="level3"|
|IT-Sicherheitskonzeption
|| || || ||
|- valign="top"
|class="level3"|
|IT-Sicherheitsrichtlinien
|| || || ||
|- valign="top"
|class="level3"|
|Arbeits- und Verfahrensanweisungen
|| || || ||
|- valign="top"
|class="level3"|
|Stellenbeschreibungen
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Mitbenutzung der DV-Anlagen durch Fremdfirmen 
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Mitbenutzung der TK-Anlagen durch Fremdfirmen
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Urlaubs-/Krankheitsvertretung  des DV-Verantwortlichen
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|DV-Revision, interne Revision
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Ausreichende Funktionstrennung, 4-Augen-Prinzip
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Regelungen zur Beschaffung von Hard- und Software
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Schriftliches Programmfreigabeverfahren
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Regelungen über Sicherung des Datenbestandes
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Regelmäßige Hinweise, Ermahnungen um das Problembewusstsein zu fördern
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Gelegentliche, unvermutete Kontrolle der Einhaltung von Datenschutz- und Datensicherungsmaßnahmen
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|IT-Versicherungen
|| || || ||
|- valign="top" class="level2"
|class="level2"|
|Ist ein [[Datenschutzbeauftragter]] (DSB) bestellt ({{bdsgl|4f}} BDSG)?
|| || || ||Begründung, wenn „nicht erforderlich“
|- valign="top"
|class="level3"|
|Schriftliche Bestellung des DSB
|| || || ||1.17.1 bis 1.17.8 entfallen, wenn „nicht erforderlich"
|- valign="top"
|class="level3"|
|Betriebliche Stellung
|| || || ||
|- valign="top"
|class="level4"|
|hauptamtlich
|| || || ||
|- valign="top"
|class="level4"|
|nebenamtlich
|| || || ||Haupttätigkeit?

...

Wie viel Zeit zur Aufgabenerfüllung?

...
|- valign="top"
|class="level4"|
|extern
|| || || ||
|- valign="top"
|class="level4"|
|freiwillig bestellt (ohne gesetzlichen Zwang)
|| || || ||
|- valign="top"
|class="level4"|
|der Geschäftsleitung direkt unterstellt
|| || || ||Wenn „Nein“, wem?
|- valign="top"
|class="level4"|
|weisungsfrei
|| || || ||
|- valign="top"
|class="level4"|
|Sind die Kündigungsregeln bekannt und werden sie umgesetzt?
|| || || ||
|- valign="top" class="level3"
|class="level3"|
|Liegt Kurzbeschreibung des beruflichen Werdeganges vor?
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top"
|class="level3"|
|Welche Fortbildungsmaßnahmen sind abgeschlossen?
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top"
|class="level3"|
|Welche Fortbildungsmaßnahmen sind geplant?
|| || || ||
|- valign="top"
|class="level3"|
|Werden Fortbildungsmaßnahmen ermöglicht und entsprechende Kosten geplant/übernommen?
|| || || ||
|- valign="top"
|class="level3"|
|Stellen-/Aufgabenbeschreibung vorhanden?
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top"
|class="level3"|
|Tätigkeitsberichte des DSB
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top" class="level2"
|class="level2"|
|Datenschutzordnung
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top" class="level2"
|class="level2"|
|Verpflichtung nach {{bdsgl|5}} BDSG
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top" class="level2"
|class="level2"|
|Verpflichtung nach {{p|juris|tkg|88|§ 88 TKG}}
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top" class="level2"
|class="level2"|
|Schulungs-/Informationsnachweise ({{bdsgl|4g}} BDSG)
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top" class="level2"
|class="level2"|
|[[Verfahrensverzeichnis|Verfahrensübersicht]] für jedermann ({{bdsgl|4g}} BDSG)
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top" class="level2"
|class="level2"|
|Interne Verfahrensübersichten ({{bdsgl|4d}}, {{bdsgl|4e}}, {{bdsg|4g}} BDSG)
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|- valign="top" class="level2"
|class="level2"|
|Verfahren zur Sicherung der Rechte von Betroffenen
|| || || ||Ist der Aufsichtsbehörde vorzulegen
|}

→ [[:Datei:Tom_organisationskontrolle.rtf|Checkliste als RTF-Datei]]


→ '''[[Checkliste TOM Zutrittskontrolle|2. Zutrittskontrolle]]'''

== Einzelnachweise ==
<references/>
[[Kategorie:Checklisten]]
{{BfDI-Content}}