Inhaltsverzeichnis
- Standard-Datenschutzmodell (SDM): Definition
- An wen richtet sich das Standard-Datenschutzmodell?
- Version 2.0: SDM wurde von Datenschutzbehörden im November 2019 aktualisiert
- Maßnahmenkatalog des SDM wurde erweitert
- SDM ersetzt kein Security-Managementsystem
Standard-Datenschutzmodell (SDM): Definition
Das Standard-Datenschutzmodell (SDM) ist ein Werkzeug, das die Auswahl und Bewertung technischer und organisatorischer Maßnahmen (TOM) unterstützt. Es stellt zum einen eine Methode dar, mit der die Risiken, die bei der Verarbeitung personenbezogener Daten für die Rechte und Freiheiten Betroffener einhergehen, beseitigt oder zumindest auf ein tragbares Maß reduziert werden. Zum anderen erbringen Unternehmen mit Anwendung des SDM den Nachweis für eine rechtskonforme Umsetzung der TOM, an die seit der DSGVO erhöhte Anforderungen gestellt werden.
Das SDM strukturiert die rechtlichen Vorgaben in Form von Gewährleistungszielen. Als zentrales Element enthält das SDM sieben Gewährleistungsziele:
- Datenminimierung
- Verfügbarkeit
- Integrität
- Vertraulichkeit
- Transparenz
- Nichtverkettung
- Intervenierbarkeit
Im SDM selbst werden die Gewährleistungsziele als „Übersetzungshilfe vom Recht zur Technik“ bezeichnet, die den „ständigen Dialog zwischen Juristen und Technikern“ unterstützt. Insofern stellen die Gewährleistungsziele des SDM die datenschutzrechtlichen Anforderungen an Verarbeitungstätigkeiten in komprimierter sowie strukturierter Art und Weise dar, auf deren Grundlage die konkreten TOM abgeleitet werden können.
An wen richtet sich das Standard-Datenschutzmodell?
Das SDM richtet sich an folgende Parteien:
- Verantwortliche für die Verarbeitung personenbezogener Daten: Diese können mit dem Standard-Datenschutzmodell erforderliche Funktionen und Schutzmaßnahmen systematisch planen, umsetzen und kontinuierlich überwachen. Datenschutzverantwortliche können das SDM insbesondere sinnvoll für die IT-Planung und -Konfiguration sowie die rechtskonforme Gestaltung von Verarbeitungsprozessen und deren Aufrechterhaltung einsetzen.
- Datenschutzaufsichtsbehörden: Aufsichtsbehörden greifen mit dem SDM auf eine einheitliche Methode zurück, um Verarbeitungsprozesse und deren Komponenten transparent und nachvollziehbar zu beurteilen. Das SDM wurde von den Datenschutzbehörden des Bundes und der Länder entwickelt, um für den operativen Datenschutz im Hinblick auf TOM ein einheitliches Prüfverfahren sicherzustellen. Es dient der Bewältigung ihrer gesetzlichen Prüf-, Beratungs- und Sanktionsaufgaben.
Hinweis: Verantwortliche können davon ausgehen, dass das SDM vermehrt bei Audits oder in einzelnen Beratungsvorgängen angewendet wird.
Version 2.0: SDM wurde von Datenschutzbehörden im November 2019 aktualisiert
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat Anfang November 2019 das Standard-Datenschutzmodell in der Version 2.0 verabschiedet. Dieses umfasst jetzt 67 Seiten und bringt folgende Neuerungen mit:
Text des SDM wurde mit Version 2.0 neu gegliedert
Die Version 2.0 des Standard-Datenschutzmodells ist nun in fünf Kapitel gegliedert:
- Kapitel A – Zweck und Anwendungsbereich des SDM
- Kapitel B – Sammlung wesentlicher operativer Anforderungen der DSGVO
- Kapitel C – Abbildung normativer Anforderungen der DSGVO auf den sieben Gewährleistungszielen
- Kapitel D – Listung generischer Maßnahmen und Erklärung von Großthemen des Datenschutzes
- Kapitel E – Bezugnahmen zum IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI)
Verarbeitungstätigkeiten werden praxisnäher erläutert
Das Konzept der „Verarbeitungstätigkeit“ wird im SDM 2.0 nun näher an der Praxis erläutert, indem die Bestimmung des Zwecks deutlicher definiert wird. Zu unterscheiden sind:
- Zwecksetzung
- Zweckbeschreibung
- Zwecktrennung
- Zweckbindung
Auch die ausführlichere Behandlung des Themas Risiko von Verarbeitungstätigkeiten im neuen SDM ist für Datenschutz-Praktiker von hoher Relevanz.
SDM 2.0 enthält neues Kapitel zum Einwilligungsmanagement
Mit dem neuen Kapitel zum Einwilligungsmanagement erinnert die DSK an die Anforderungen dieser Rechtsgrundlage. Bei der Gestaltung einer Verarbeitungstätigkeit ist diese ggf. einzuholen und zu speichern. Die datenschutzrechtliche Einwilligung dient dem Nachweis und kann widerrufen werden.
Neues Kapitel zum Datenschutzmanagement ergänzt
Zu den relevanten Neuerungen des Standard-Datenschutzmodells gehört das neue Kapitel zum Datenschutzmanagement. Erstreckt sich dieses Management zyklisch geschlossen auf die gesamte Organisation, lässt es sich als ein Datenschutzmanagementsystem einrichten und betreiben.
Die vier Komponenten des kontinuierlichen Verbesserungsprozesses im Datenschutzmanagement sind dann:
Die Teilprozesse Plan, Do und Check können mit einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO weitgehend zusammenfallen, wenn sie das erste Mal für eine Verarbeitungstätigkeit durchgeführt werden.
Maßnahmenkatalog des SDM wurde erweitert
Zur Gewährleistung von normalem und hohem Schutzbedarf definiert das SDM in Form eines Maßnahmenkatalogs generische Einzelmaßnahmen. Mit der Version 2.0 wurde der bestehende Katalog um weitere Maßnahmen ergänzt. Verantwortlichen für den Datenschutz ist es zu raten, sich an den dort gelisteten Maßnahmen zu orientieren und diese auf die spezifischen Umstände ihrer Verarbeitungstätigkeiten anzupassen.
Unter der Prämisse, dass der Maßnahmenkatalog aus den Gewährleistungszielen des SDM entwickelt wird, können Verantwortliche annehmen, dass die Implementierung einer bestimmten Maßnahme auch der datenschutzrechtlichen Anforderung genügt. Die einzelnen Bausteine des Maßnahmenkatalogs werden nach und nach veröffentlicht und zur Anwendung freigegeben.
Beispiele aus Maßnahmenkatalog des SDM
Gleichwohl müssen nicht alle im Maßnahmenkatalog des SDM genannten Schutzmaßnahmen genau umgesetzt werden. Welche Schutzmaßnahmen umzusetzen sind, ergibt sich aus dem ermittelten Schutzbedarf für die Verarbeitungstätigkeiten. Hier Beispiele für zwei Gewährleistungsziele:
Beispiele für Schutzmaßnahmen gemäß Gewährleistungsziel „Datenminimierung“
- Reduzierung von erfassten Attributen der betroffenen Personen
- Reduzierung der Verarbeitungsoptionen in Verarbeitungsprozessschritten
- Reduzierung von Möglichkeiten der Kenntnisnahme vorhandener Daten
Beispiele für Schutzmaßnahmen gemäß Gewährleistungsziel „Verfügbarkeit“
- Anfertigung von Sicherheitskopien von Daten, Prozesszuständen, Konfigurationen, Datenstrukturen und Transaktionshistorien u. Ä. gemäß eines getesteten Konzepts
- Schutz vor äußeren Einflüssen (Schadsoftware, Sabotage, höhere Gewalt)
- Dokumentation der Syntax der Daten
SDM ersetzt kein Security-Managementsystem
Das SDM ersetzt weder die Etablierung eines Systems zur Risikobewertung noch die Implementierung eines Security-Managementsystems. Vielmehr setzt das Standard-Datenschutzmodell eine Risikobewertung voraus und kann als Teil eines Security-Managementsystems verstanden werden.
Tiefer greifende Informationen zur Implementierung von IT-Sicherheit-Managementsystemen sowie praxisnahe Erläuterungen zu datenschutzrechtlichen Vorgaben erhalten Verantwortliche im Handbuch „Datenschutz 2020“.
Quellen: „Infodienst Datenschutz für Praktiker“, „Das Standard-Datenschutzmodell“
