Steuer

Bei einer Auskunftssperre nach einem Umzug, und dies ist der Regelfall, ergibt sich keine Schlechterstellung der Betroffenen, da bei einer Melderegisterauskunft die Auskunftssperre greifen würde und keine solche Auskunft erteilt wird. Daten, die mit einer Auskunftssperre versehen sind, werden nicht im Datenpool des Unternehmens gespeichert. In den seltenen Fällen einer Auskunftssperre ohne Umzug ergibt sich ebenfalls keine Schlechterstellung der Betroffenen, weil die anfragende Kundschaft die Adresse bereits kennt, denn sie ist als Pflichtangabe zur Adressmittlung aus dem Datenpool zwingend erforderlich.

Da das Melderegister hinsichtlich der einfachen Melderegisterauskunft eine allgemein zugängliche Quelle ist und schutzwürdige Belange der Betroffenen nicht offensichtlich überwiegen, kann das Geschäftsmodell einschließlich der Anlage eines Adresspools auf §29 Abs. 1 Satz 1 Nr. 2 BDSG gestützt werden.

Allerdings ist die Übermittlung der gepoolten Daten an Dritte nur zulässig, wenn der Dritte ein berechtigtes Interesse glaubhaft dargelegt hat38. Die Gründe für das Vorliegen eines berechtigten Interesses und die Art und Weise ihrer glaubhaften Darlegung sind vom Adressmittler aufzuzeichnen39. Ein Verstoß gegen diese Vorschrift ist eine Ordnungswidrigkeit.

Organisation des Datenschutzes

Im Rahmen der Kontrolle haben wir auch die Umsetzung der gesetzlichen Anforderungen zur inneren Organisation des Datenschutzes geprüft. Dazu gehören der betriebliche Datenschutzbeauftragte, die Meldepflicht zum Verfahrensverzeichnis, die Verpflichtung zum Datengeheimnis und die Gewährleistung der Rechte der Betroffenen.

Zum Zeitpunkt der Prüfung war der Leiter der Datenverarbeitung und Systemverwaltung betrieblicher Datenschutzbeauftragter des Adressmittlers. Er verfügt über ausgezeichnete Kenntnisse des technischen Datenschutzes und der ITSicherheit. In rechtlichen Fragen beschränkt er sich auf die Kenntnis des Bundesdatenschutzgesetzes.

Allerdings wird das Unternehmen von einer Rechtsanwaltskanzlei unterstützt, die auf IT-Recht und damit auch Datenschutzrecht spezialisiert ist. Als Leiter der Datenverarbeitung und Systemverwaltung ist der Datenschutzbeauftragte jedoch Interessenkonflikten ausgesetzt, die ihn für dieses Amt ungeeignet machen. Das ist ein Mangel nach §4 Abs. 2 BDSG, der allerdings inzwischen durch Bestellung eines anderen betrieblichen Datenschutzbeauftragten behoben wurde. Da der Mangel schon vor unserer Kontrolle erkannt und inzwischen auch behoben ist, haben wir von der Verfolgung als Ordnungswidrigkeit abgesehen.

Da die beim Adressmittler gepoolten Daten zum Zwecke der Übermittlung ohne Kenntnis der Betroffenen gespeichert sind, sind sie nach §33 Abs. 1 Satz 2 BDSG von der erstmaligen Übermittlung zu benachrichtigen. Diese gesetzliche Anforderung befolgt das Unternehmen bisher nicht. Hierin liegt eine Ordnungswidrigkeit nach §43 Abs. 1 Nr. 8 BDSG. Eine Verfolgung dieser Ordnungswidrigkeit wird von uns davon abhängig gemacht, ob das Unternehmen in Zukunft der Benachrichtigungspflicht nachkommt.

Technisch-organisatorische Maßnahmen nach §9 BDSG

Das Ergebnis der technisch-organisatorischen Kontrolle ausnahmsweise mal vorweg: Dabei wurden keine datenschutzrechtlichen Mängel festgestellt. Die Datenverarbeitung erfolgt auf einem sehr hohen Sicherheitsniveau.

Die eingesetzte Hard- und Software teilt sich auf die Räume des erwerbsmäßigen Adressmittlers und einen externen Dienstleister auf. Die Server stehen bei einem auf Server Hosting spezialisierten Dienstleister, der die höchste Sicherheitsstufe garantiert. Alle personenbezogenen Daten, die im Rahmen der Auskunftsdienste des Adressmittlers verarbeitet werden, werden ausschließlich auf den Servern des externen Dienstleisters verschlüsselt gespeichert. Der Zugriff auf die Daten erfolgt sowohl für den Adressmittler als auch den Kunden webbasiert und ist verschlüsselt. Beim Adressmittler kommen im Produktionsbetrieb ausschließlich Thin Clients zum Einsatz, die nicht über Laufwerke verfügen. Ein Anschluss externer Speichermedien ist nicht möglich.

Ein eventuelles Kopieren und Abspeichern personenbezogener Daten wird damit verhindert. Die Weitergabekontrolle nach Nr. 4 der Anlage zu §9 BDSG ist gewährleistet.

Die Server beim externen Dienstleister befinden sich in einem Sicherheitsbereich. Der Zutritt ist durch biometrische Schlüssel, Alarmanlage, Sicherheitspersonal und ein Zugangskartenkontrollsystem gesichert. Der Zutritt wird protokolliert. Beim Adressmittler wird der Zutritt durch eine in verschiedene Sicherheitsbereiche eingeteilte Schließanlage gesichert. Alle Büroräume verfügen über eine Alarmanlage. Die Zutrittskontrolle nach Nr. 1 der Anlage zu §9 BDSG ist sichergestellt.

Die Arbeitsplätze beim Adressmittler sind passwortgeschützt, und es gibt strenge Vorgaben zur Passwortgestaltung. Weiterhin kommen passwortgeschützte Bildschirmschoner zum Einsatz.

Um Zugriffe aus dem Internet heraus zu verhindern, werden Virenschutzprogramme und gestaffelte Firewalls eingesetzt. Die Zugangskontrolle nach Nr. 2 der Anlage zu §9 BDSG ist gewährleistet. Zur Umsetzung der Zugriffskontrolle existiert ein detailliertes Berechtigungskonzept. Es steuert den Zugriff auf alle Komponenten des Produktionssystems. Zur Sicherstellung der Eingabekontrolle erfolgt eine Protokollierung der Dateneingaben, Datenänderungen und Datenlöschung.

Um eine hohe Verfügbarkeit zu gewährleisten, ist der Produktionsserver gespiegelt. Es erfolgt eine tägliche Datensicherung.

FAZIT

Die Kontrolle eines Berliner Adressmittlers ergab, dass das Speichern von Melderegisterauskünften in einem Datenpool zum Zwecke einer späteren Übermittlung für einen begrenzten Zeitraum zulässig ist, wenn die Betroffenen von der erstmaligen Übermittlung und der Art der übermittelten Daten benachrichtigt werden. Die ergriffenen technischorganisatorischen Maßnahmen sind vorbildlich, das Sicherheitsniveau damit sehr gut.

Datenschutz und Virtualisierung Kaum ein technischer Begriff ist so facettenreich wie der der Virtualisierung. So besteht schon jetzt die Möglichkeit, ein zusätzliches „virtuelles Leben" am Computer zu führen. Viele Bereiche der Informationstechnologie werden „virtualisiert". Es gibt bereits seit mehr als 30 Jahren das Konzept der „virtuellen Speicherung". Sehr aktuell, mittlerweile weit verbreitet und von großer Bedeutung für die Sicherheit der Datenverarbeitung ist das Konzept der Rechnervirtualisierung. Dabei können mehrere virtuelle Rechner, auch mit unterschiedlichen Betriebssystemen, parallel auf einer gemeinsamen physikalischen Rechnerplattform betrieben werden.

Virtualisierungstechniken werden bereits seit geraumer Zeit sowohl in professionellen Umgebungen als auch von Privatanwendern genutzt. Diverse kommerzielle Anbieter, aber auch die Open-SourceGemeinde, bieten den Einstieg in die Welt der Virtualisierung kostenfrei an. Die Einsatzmöglichkeiten sind vielfältig. Sie reichen von der Möglichkeit, ein neues Betriebssystem zu erproben, bis hin zum Aufbau einer „virtuellen Surfstation", die die Risiken der Nutzung des World Wide Web minimieren kann. Angesichts der Vielfalt von Anbietern gibt es auch Unterschiede bei den Verfahren, die eine Virtualisierung ermöglichen.

Bei der Paravirtualisierung wird zwischen der Hardware und dem Betriebssystem, das im Normalfall direkt mit der Hardware kommuniziert, eine Zwischenschicht (Virtualisierungsschicht) eingerichtet.