Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

9         Audit und Gütesiegel

9.1         Datenschutzauditgesetz – reloaded

Die Bundesregierung hat eine neue Initiative zur Einführung eines Daten­schutz-Audits auf Bundesebene angekündigt – über eine Stiftung Datenschutz.

Wie vermutet wurde der Entwurf eines Datenschutzauditgesetzes der Bundes­regierung von der Fachöffentlichkeit nicht für gut befunden (31. TB, Tz. 9.1). In einer Anhörung des Innenausschusses des Bundestages im März 2009 wurde das Anliegen des Entwurfes, freiwillige Anreize im Wettbewerb für eine Verbesse­rung des Datenschutzes zu geben, von allen Sachverständigen unterstützt. Die zur Diskussion stehende Lösung war hierfür aber nicht geeignet, da in einem äußerst bürokratischen Verfahren eine Zertifizierung durch private Kontrollstellen vorge­sehen war, ohne dass die Qualität der Zertifikate durch eine unabhängige Stelle oder auch nur über hinreichende Transparenz durch eine kritische Öffentlichkeit geprüft werden konnte. Das Zertifikat sollte schon durch eine reine Bereit­schaftserklärung zur Überprüfung erlangt werden können. Während die BDSG-Novelle II vom Bundestag kurz vor Ende der Legislaturperiode verabschiedet wurde (Tz. 5.1.1), blieb die zugleich geplante Normierung des Audits unerledigt.

In der Koalitionsvereinbarung von CDU, CSU und FDP für die 17. Legislatur­periode wird das Thema wieder angesprochen: „Darüber hinaus werden wir eine Stiftung Datenschutz errichten, die den Auftrag hat, Produkte und Dienstleistun­gen auf Datenschutzfreundlichkeit zu prüfen, Bildung im Bereich des Datenschut­zes zu stärken, den Selbstdatenschutz durch Aufklärung zu verbessern und ein Datenschutz-Audit zu entwickeln. Wir sind überzeugt, dass mit dieser Lösung auch der Technologiestandort Deutschland gestärkt wird, wenn datenschutz­freundliche Technik aus Deutschland mit geprüfter Qualität weltweit vertrieben werden kann.“

Die Idee einer Stiftung Datenschutz ist ein äußerst innovativer Ansatz, über dessen Umsetzung aber bisher wenige Vorstellungen bekannt sind. Zunächst schien es so, als solle die neue Stiftung mit seinen Überprüfungen – ähnlich der Stiftung Warentest als Instrument des Verbraucherschutzes – eine Lücke zwischen staatlicher Datenschutzaufsicht und freiwilliger Zertifizierung füllen, und zwar durch Untersuchungen von Marktangeboten, inwieweit diese die Datenschutz­vorschriften beachten. Das ULD präsentierte gegenüber den zuständigen Ressorts auf der Basis der Erfahrungen mit Kontrollen und Zertifizierungen Überlegungen für eine wirkungsvolle Umsetzung der Stiftungsidee.

Die Federführung für das Projekt liegt beim Bundesministerium des Innern. Die Bundesministerin der Justiz signalisierte, dass sich ihr Ressort in das Projekt einbringen wird. Die Stiftung soll nach ihrer Vorstellung als unabhängige Stelle ausgestaltet werden, die auch freiwillige Zertifizierungsverfahren mit einer großen Prüftiefe durchführen können soll. Der Charme einer solchen Stiftung kann darin liegen, dass eine von den Länderverwaltungen unabhängige Einrichtung bundes­weit ein einheitliches Vorgehen bei der Auditierung gewährleisten kann.
Bei den weiteren Diskussionen wird es darauf ankommen, die bisher gemachten Erfahrungen mit Datenschutzzertifizierungen zu berücksichtigen. Zwar gibt es vonseiten der Wirtschaft vielversprechende Ansätze. Diese leiden aber durch­gängig an mangelnder Transparenz und Unabhängigkeit mit der Folge unzurei­chender Vertrauenswürdigkeit für den Markt und die Öffentlichkeit. Derartige Auftragsaudits erfüllen eine wichtige Rolle als Rückversicherung bei der internen Compliance, also der Beachtung der von außen gesetzten Datenschutzregeln. Sie können aber nicht für andere Marktteilnehmer als Orientierungshilfe genutzt werden, da ihre Verfahren und Kriterien unklar bleiben. So ergab z. B. eine Anfrage bei der Schufa, die ein eigenes „DatenschutzSiegel“ als „Zeichen für mehr Sicherheit und Vertrauen“ anbietet, dass weder das Zertifizierungsverfahren und die Kriterien im Detail noch dessen Ergebnisse offengelegt werden.

Das ULD hat seine Kooperationsbereitschaft bei der Etablierung eines nationalen Datenschutzauditverfahrens signalisiert. Dabei sollte hinsichtlich der technischen, organisatorischen und rechtlichen Anforderungen an die zu zertifizierenden IT‑Anwendungen bei den schon vorliegenden Kriterienkatalogen angeknüpft werden. Für alle Beteiligten, also Hersteller, Anbieter, Marktteilnehmer, Verbrau­cher, private Datenschutzdienstleister, Datenschutzbeauftragte in den Unterneh­men und Datenschutzaufsichtsbehörden, sollte eine größtmögliche Transparenz hinsichtlich der datenschutzrelevanten Eigenschaften der zertifizierten Produkte geschaffen werden. Die Unabhängigkeit und Neutralität sowie die Vergleichbar­keit der Zertifizierungsentscheidung müssen gesichert sein. Bei einer nationalen Lösung kann es nicht um eine Eins-zu-eins-Übertragung der schleswig-holsteini­schen Praxis gehen. Dies erlaubt weder die größere Dimension eines nationalen Verfahrens noch die föderale Struktur des Datenschutzes in Deutschland. Doch sollte sich das Audit der Stiftung Datenschutz in die sich derzeit entwickelnde europäische Auditierungslandschaft einfügen, sodass keine Konkurrenz, son­dern ein gegenseitiges Ergänzen bewirkt wird.

 

9.2         Audits in Schleswig-Holstein

9.2.1      ISO 27001-Zertifizierung  auf der Basis von IT-Grundschutz

Das ISO 27001-Zertifikat auf der Basis von IT-Grundschutz bietet den Behörden die Möglichkeit, ihre positiven Aktivitäten im Bereich Datenschutz und IT-Sicherheit unter Beweis zu stellen.

Interesse und Bereitschaft von Behörden wie Unternehmen, internationale Sicher­heitsstandards anzuwenden, nehmen ständig zu. Im Behördenumfeld ist der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) vorgegebene IT-Grund­schutzstandard schon lange bekannt. Aufgrund der Anlehnung an die ISO 27001-Norm, die ausführlich die Anforderungen eines Informationssicherheitsmanage­mentsystems (ISMS) beschreibt, erhält der IT-Grundschutzstandard eine interna­tionale Ausrichtung und gewinnt somit zunehmend an Bedeutung.

Das ULD hat schon früh die Vorausset­zungen für die Durchführung derartiger Audits geschaffen und verfügt über drei Auditoren mit dem erforderlichen Know-how, ISO 27001-Zertifizierun­gen auf der Basis von IT-Grundschutz durchzuführen. Für die Vergabe dieses Zertifikats muss ein Audit durch einen externen, vom Bundesamt für Sicher­heit in der Informationstechnik (BSI) zertifizierten Auditor für ISO 27001-Audits auf der Basis von IT-Grund­schutz durchgeführt werden. Das Er­gebnis des Audits ist ein vom Auditor erstellter Auditreport, welcher der Zertifi­zierungsstelle beim BSI vorgelegt wird. Diese entscheidet abschließend über die Vergabe des Zertifikats.

Bei einem Grundschutzaudit werden das IT-Sicherheitsmanagement sowie die konkrete Umsetzung der IT-Sicherheitsmaßnahmen geprüft. Der Umfang der zu prüfenden IT-Sicherheitsmaßnahmen ist in den IT-Grundschutzkatalogen fest­gelegt. In diesen Katalogen erfolgt eine Auflistung geeigneter organisatorischer, personeller, infrastruktureller und technischer Maßnahmen zur Erreichung eines Sicherheitsniveaus für IT-Systeme, das für den normalen Schutzbedarf angemes­sen und ausreichend ist und als Basis für hoch schutzbedürftige IT-Systeme und Anwendungen dienen kann. Die IT-Grundschutzkataloge erklären, wie Informa­tionssicherheit konzipiert und realisiert werden sollte, und geben sehr konkrete Hinweise, wie eine Umsetzung auf technischer Ebene aussehen kann.

Einige größere Behörden in Schleswig-Holstein verfahren bereits nach dem IT‑Grundschutzstandard. Eine Zertifizierung streben jedoch bis jetzt nur sehr wenige an. Aufgrund der in letzter Zeit bekannt gewordenen Datenskandale steigt der öffentliche Druck auf Unternehmen und Behörden, IT-Sicherheit und Daten­schutz gründlicher anzugehen, z. B. durch Überprüfung der ordnungsgemäßen Datenverarbeitung durch einen externen Gutachter mit dem Ziel einer Zertifi­zierung.

Das ULD bietet die ISO 27001-Zerti­fizierung auf der Basis von IT-Grund­schutz separat, aber auch in Kombina­tion mit dem Datenschutz-Audit an. Beide Verfahren zielen auf eine Ver­besserung der IT-Sicherheit und des Datenschutzes ab.

 

9.2.2      azv Südholstein

Das neue Kommunalunternehmen azv Südholstein hat zusätzliche Aufgaben übernommen und verarbeitet verstärkt Kundendaten. Durch ein Auditver­fahren möchte es sicherstellen, dass die Verarbeitung personenbezogener Daten nach aktuellem Stand der Technik und datenschutzfreundlich erfolgt.

Für das gemeinsame Projekt mit dem ULD könnte die Ausgangsbasis nicht besser sein. Der azv Südholstein, vor 2009 tätig als Abwasser-Zweckverband Pinneberg, verfügt bereits über umfangreiche Auditerfahrung aus erfolgreich durchgeführ­ten Verfahren der ISO 9000er-Reihe zum Qualitätsmanagement und der ISO 14000er-Reihe zum Umweltmanagement. Wir konnten beim Datenschutz­auditverfahren sofort damit beginnen, bestehende technisch-organisatorische Lücken im Rahmen der üblichen Mängelbehebung zu schließen. Gemeinsames Ziel ist es, das Datenschutz-Behördenaudit in Übereinstimmung mit den Anfor­derungen der ISO 2700er-Reihe zum Informationssicherheitsmanagement auszu­gestalten.

 

9.2.3      Rezertifizierung  Landesnetz

Das Landesnetz ist ein zentraler Baustein in der gemeinsamen E-Govern­ment-Strategie des Landes und der Kommunen. Im Rahmen einer Rezertifi­zierung wurde das bestehende Auditsiegel erneuert.

Auf der Sommerakademie 2009 erhielt der Staatssekretär im Finanzministerium für das Landesnetz erneut das Siegel nach einem erfolgreichen Datenschutz-Behördenauditverfahren. Das ULD prüfte bei der Rezertifizierung nicht nur die technischen und organisatorischen Sicherheitsmaßnahmen beim Finanzministe­rium, bei Dataport und bei T-Systems, sondern legte einen Schwerpunkt auf das Datenschutzmanagement mit regelmäßig durchgeführten Kontrollen und einem geordneten Vorgehen beim Umgang mit Sicherheitsproblemen. Wir stellten eine kontinuierliche Weiterentwicklung der technischen und organisatorischen Sicherheitsmaßnahmen im Landesnetz fest, was durch Detailverbesserungen gegenüber der Erstzertifizierung zu einer Verbesserung des Sicherheits- und Datenschutzniveaus führte.

 

9.2.4      ZIAF-Audit beim Landwirtschaftsministerium

Das Ministerium für Landwirtschaft, Umwelt und ländliche Räume hat für den sicheren und datenschutzfreundlichen Betrieb des ZIAF-Verfahrens erneut ein Auditsiegel erhalten. Die erreichten Sicherheitsstandards müssen stetig fortgeschrieben werden.

Im vorigen Jahr hat das ULD das ZIAF-Verfahren des Ministeriums für Landwirt­schaft, Umwelt und ländliche Räume (MLUR) zur Agrarförderung erfolgreich auditiert (31. TB, Tz. 9.2.2). Zur Erinnerung: Der ländliche Raum wird durch den Europäischen Ausrichtungs- und Garantiefonds für die Landwirtschaft (EAGFL) und den Europäischen Landwirtschaftsfonds für die Entwicklung des ländlichen Raums (ELER) gefördert. Die Kommission der Europäischen Gemeinschaft (EU‑Kommission) hat für die ordnungsgemäße Abwicklung der zur Verfügung gestellten Finanzmittel Anforderungen erlassen, die von den eingerichteten Zahl­stellen der Bundesländer einzuhalten sind. Für die Umsetzung dieser Verord­nung haben sich die Bundesländer auf die Anwendung des IT-Grundschutzstan­dards des Bundesamtes für Sicherheit in der Informationstechnik (BSI) verständigt (Tz. 9.2.1). Die beim Ministerium durchgeführten Audits sollen bestätigen, dass die Zahlstelle und die dort für die Fördermaßnahmen eingesetzten IT-Systeme (ZIAF) nach den nationalen und europarechtlichen Vorgaben betrieben werden.

Rückblick: Das MLUR hat das ULD im Juni 2005 mit der Begutachtung der IT‑Sicherheit in der Zahlstelle beauftragt, um die Einhaltung der von der Europä­ischen Gemeinschaft (EG) vorgegebenen IT-Sicherheitsanforderungen zu über­prüfen. Als Basis für die Umsetzung der Anforderungen wurde zunächst eine Generaldokumentation als Konzeption der Zahlstelle des MLUR erstellt. Sie sollte zunächst inhaltlich auf ihre Norm- und Rechtskonformität sowie ihre Umsetzbarkeit hin überprüft werden. Neben dem Datenschutz ging es vor allem um die Erfüllung der spezifischen Anforderungen des IT-Grundschutzstandards durch die in der Zahlstelle eingesetzten ZIAF-Fachverfahren.

Im Oktober 2007 verlieh das ULD für drei Jahre dem Konzept mit seiner General­dokumentation das Datenschutzauditzertifikat. Auf dieser Basis sollte die Umset­zung zur Erreichung der BSI-Grundschutzkonformität durch eine Zertifizierung nach ISO 27001 nachgewiesen werden. Als dies erreicht war, verlieh das Bundes­amt für Sicherheit in der Informationstechnik (BSI) dem Konzept im April 2009 das Zertifikat nach ISO 27001 auf der Basis von IT-Grundschutz für drei Jahre. Da auch die datenschutzrechtlichen Anforderungen erfüllt waren, erfolgte durch das ULD im August 2009 die ergänzende Datenschutzauditierung.

Die erreichten Sicherheitsstandards müssen nun dauerhaft aufrechterhalten werden. Dafür hat das MLUR sein IT-Sicherheitsmanagement nachhaltig und effektiv bei der ZIAF-IT einzusetzen. Mit der IT-Grundschutzzertifizierung verpflichtet sich das MLUR zu jährlichen Nachprüfungen durch einen anerkann­ten BSI-Auditor im Rahmen von sogenannten Überwachungsaudits. Das erste Überwachungsaudit wird bereits im Jahr 2010 erfolgen. Nach den Vorgaben des BSI müssen folgende Aspekte geprüft werden:

• Fortführung und Stand der Dokumentation,
• Wirksamkeit des IT-Sicherheitsmanagements,
• Abarbeitung der bei der Zertifizierung erteilten Auflagen,
• Änderungen an dem IT-Verbund bzw. der IT-Systemzusammenstellung.

 

9.2.5      Amt Viöl [1]

An de 31. August 2009 wurr de Amtsverwaltung Viöl in Rohmen vun de Sommerakademie 2009 een Dotenschutzauditzertifikot för de vörbildliche Verarbeidung vun personenbetruckene Doten op IT-Systeme dörch dat ULD verlehnt.

Dat bi’t Amt Viöl vörwiegend Platt sproken warrt, gehört to de gode Service vun’t Huus, de Bürger in de gewohnte Sprook to begegnen. De Amtsvörsteher Hans Jes Hansen mit sien Lüüd ist nämli foortschrittli opstellt: Ünner dat Motto „Unse Verwaltung arbeitet ortsnoh, effektiv un kostengünstig“ hett he de Dotenverarbei­dung in’t Huus op de Inholung dotenschutzrechtliche Belange dör dat ULD pröven loten. Nofolgend een poor Eenzelheiten ut dat Godachten:

• De Amtsverwaltung hat för ehr Informationstechnik un ehr Verwaltungsnetz een Dotenschutzmanagement etableert.
• De op de Arbeitsplatz-PC verfögbore Funktionen sind op een Mindestmoot reduzeert.
• De Disketten- un CD-ROM-Loopwarke un de USB-Port sind standardmäßig deaktiveert.
• De Fachanwendungen warrn struktureert zentrol op Servern verwaltet.
• De Internet-Togang is dör een Firewall un een qualifizeerte Virenschutzsoft­ware schützt.
• Grundlaag vör de Överprövung vun de IT-Systeme dör dat ULD weer een detail­leerte Dokumentation. Prövt wurr uk, op all de inschlägigen
• Dotenschutzvör­schriften vun de Amtsverwaltung beachtet warrn. De erfolgrieke Zertifizeerung wiest, dat sik een Dotenschutz-Audit uk för een lüdde Amtsverwaltung as een wirksome Middel to noholdige Verbedderung vun IT-Sekerheit un Bürgerver­trun nutzen lett.

 

 

9.2.6      Audit für Internetdienste im Kreis Plön

Die IT-Abteilung des Kreises Plön setzt erneut Maßstäbe beim Betrieb des Rechenzentrums. Der Landrat des Kreises erhielt ein weiteres Datenschutz­auditzertifikat für die Internetdienste E-Mail und WWW.

Die Kreisverwaltung Plön ist unter den Kommunen des Landes schon lange Vorreiter im Bereich Datenschutz und IT-Sicherheit. Vor zwei Jahren ließ sie ihr Kreisnetz vom ULD erfolgreich zertifizieren. Nun folgte die Zertifizierung der Internetanbindung und der Internetdienste E-Mail und WWW für die Kreisver­waltung und über das Kreisnetz angeschlossene Kommunen. Folgende von der IT‑Abteilung umgesetzte Sicherheitsmaßnahmen wurden festgestellt:

• Zum Schutz vor Angriffen von außen wurden die Übergänge vom internen Verwaltungsnetz zum Internet mit abgestuften Firewallsystemen ausgestattet.
• Die Überwachung und Administration der eingesetzten Firewallkomponenten werden ausschließlich von der Kreisverwaltung durchgeführt.
• Die ergriffenen Sicherheitsmaßnahmen werden regelmäßig von qualifizierten Mitarbeitern auf ihre Wirksamkeit hin überprüft.
• Veränderungen der Sicherheitseinstellungen bedürfen nach Abstimmung mit dem IT-Sicherheitsmanagement und der behördlichen Datenschutzbeauftragten der Zustimmung des Leiters der IT-Abteilung.
• Alle Einstellungen auf den Internetkomponenten werden nachvollziehbar dokumentiert.
• Nicht zugelassene Zugriffe werden auf der physikalischen Ebene protokolliert und abgewehrt. Bei Ereignissen von sicherheitsrelevanter Bedeutung werden gesonderte Warnmeldungen ausgegeben.
• Eine Fernadministration der Firewallkomponenten ist nicht gestattet.
• Es werden nur die E-Mails an den Arbeitsplatz geleitet, die virenüberprüft sind und zugelassene Anhänge enthalten.
• Der Zugriff auf die Webseiten wird in Bezug auf die sicherheitskritischen Komponenten ActiveX, Java und VBScript gefiltert.
• Webseiten werden nach Inhalten gefiltert und gegebenenfalls für den Aufruf nicht zugelassen.
• Das Herunterladen ausführbarer Programme und Dateien auf die Arbeitsplatz­rechner ist nicht zugelassen.

 

9.2.7      Amt Trave-Land

Das Amt Trave-Land schreitet voran: Als Pionier der Ämterfusionen nimmt man sich des Datenschutzes und der Datensicherheit im Rahmen eines Audit­verfahrens intensiv an.

Mit rund 20.000 Einwohnern in 27 Gemeinden und einer Flächengröße von 318 Quadratkilometern ist das Amt Trave-Land eine der größten Amtsverwaltun­gen in Schleswig-Holstein. In einem gemeinsamen Auditverfahren unterstützt das ULD die Amtsverwaltung bei der datenschutzfreundlichen Ausgestaltung ihrer Verwaltungsprozesse und der technischen Infrastruktur. Nach einer ersten Analyse rechtlicher Rahmenbedingungen nimmt das Amt eine umfassende Bestandsauf­nahme der technischen Gegebenheiten vor Ort vor.

 

9.3         Datenschutz-Gütesiegel  Schleswig-Holstein

9.3.1      Abgeschlossene Gütesiegelverfahren

Im Jahr 2009 wurde wieder zahlreichen Produkten ein Datenschutz-Gütesie­gel verliehen. Sechs Produkte wurden erstmalig zertifiziert. Weitere sechs Produkte wurden nach Fristablauf einer bestehenden Zertifizierung in einem vereinfachten Verfahren rezertifiziert.

Das anhaltende Interesse der IT-Hersteller an Zertifizierungen und Rezertifizie­rungen zeigt, dass das Gütesiegel einen echten Wettbewerbsvorteil bietet, der sich lohnt, regelmäßig erneuert zu werden. Mehr und mehr Hersteller machen von einer Doppelzertifizierung zusammen mit EuroPriSe (Tz. 9.4) Gebrauch, um die Datenschutzfreundlichkeit sowohl für den europäischen wie für den deutschen Markt zu dokumentieren. Bei der Doppelzertifizierung können sowohl bei den Gutachtern als auch bei uns als Zertifizierungsstelle Synergieeffekte genutzt und Kosten gespart werden. So ist es möglich, ein gemeinsames Gutachten auf Deutsch oder Englisch einzureichen, das beide Zertifizierungsverfahren ein­schließt (Tz. 9.3.3).

Im Einzelnen wurden folgende Produkte neu zertifiziert:

• „Dokumentenprüfer ALDO-L“, Hardware Release 01/Software 0023: Alters­verifikation mittels Personalausweisen und Führerscheinen,
• Magellan/da Vinci (Version 6): Schulverwaltungssoftware und Stundenplan-, Kursplan-, Vertretungsplansoftware,
• Scola Schulverwaltung (Version 2009, multiuser-server-edition): Schulver­waltungssoftware zur Verwaltung der Daten von Schülern, Lehrern und sonsti­gen zur Verwaltung und zum Betrieb einer Schule erforderlichen Personen,
• mobiler Schredder (Stand Juli 2009): Akten- und Datenträgervernichtung im Rahmen einer Auftragsdatenverarbeitung durch die Firma Rhenus Data Office GmbH,
• TGPopen (Version 1.0): IT-Produkt für Vermarkter und Betreiber von Teleme­diendiensten zur Steuerung von zielgruppenspezifischen Inhalten, wie z. B. Werbeeinblendungen,
• Durchzugsleser DC3 und DC Mini, Multiakzeptor MA3 und Führerscheinleser LC3 (Stand November 2009): automatische Lesegeräte zur Altersverifikation mittels Personalausweis, Reisepass und EU-Führerschein.

Im Rezertifizierungsverfahren wurden folgende Produkte in einem vereinfach­ten Verfahren (27. TB, Tz. 9.1.4) erneut überprüft und zertifiziert:

• TeamDrive (Version 2.1 für Windows): Kollaborationstool für den Zugriff mehrerer Benutzer auf einen verschlüsselten Datenbestand zur gemeinsamen Bearbeitung von Dokumenten,
• SpeechMagic (Version 1.0): Verarbeitung und Verwaltung von digitalen ärztli­chen Diktaten,
• Dataport Firewall Altenholz (Stand: 14.10.2008): Schutz der Ressourcen im Netzwerk von Dataport gegen unberechtigte Zugriffe aus dem Internet durch Einschränken der Verbindungen von und zum Internet auf zulässige Dienste,
• Altersverifikation (Stand: 25. Juni 2009): Altersüberprüfung durch Einlesen des Personalausweises oder des Führerscheins,
• „DIBIKO mit Fotokabine VC 100“ und „DIBIKO Small Business“ (Stand: Juli 2009): digitale Bildintegration für Kommunen mit und ohne Fotokabine,
• edictive Targeting Networking (PTN) (Version 2.0): Generierung von statis­tischen Annahmen aus Nutzungsinformationen von Nutzern von Webdiensten.
  

www.datenschutzzentrum.de/guetesiegel/infos_hersteller.htm

 

9.3.2      Sachverständige

Weitere Sachverständige und Prüfstellen konnten für das Gütesiegelverfah­ren anerkannt werden.

Beim Gütesiegelverfahren erfolgt die Begutachtung der zu zertifizierenden Produkte durch beim ULD anerkannte Datenschutzsachverständige. Deren Akkre­ditierung kann je nach Qualifikation entweder für den Bereich Recht oder Tech­nik oder für beides beantragt werden. Möglich ist auch die Anerkennung einer ganzen Prüfstelle. Voraussetzungen für die Akkreditierung sind stets die Zuverläs­sigkeit, die Unabhängigkeit und der Nachweis der erforderlichen spezifischen Fachkunde im Datenschutzbereich.

Hinzugekommen als Sachverständige sind 2009:

• Sachverständige Dipl.-Ing. (FH) Silke Jacob (Technik),
• Sachverständiger Dr. Ing. Klaus-Dieter Frankenstein (Technik).

Inzwischen sind beim ULD 33 Einzelsachverständige registriert. 14 Sachverstän­dige sind für den Bereich Recht und 13 für den Bereich Technik anerkannt. Sechs Sachverständige haben die Anerkennung für beide Bereiche. Hinzu kommen noch neun Prüfstellen, von denen zwei für Recht, drei für Technik und vier für beides bei uns eingetragen sind.

Die Sachverständigen sind verpflichtet, im Abstand von jeweils drei Jahren nach dem Datum der Anerkennung Nachweise über die Wahrnehmung von Fortbildun­gen und zum Erfahrungsaustausch beizubringen. Zahlreiche Sachverständige sind bereits seit mehr als drei Jahren anerkannt und haben die entsprechenden Nach­weise vorgelegt.

Im September 2009 fand der jährliche Gutachterworkshop in Kiel statt. Von dieser Möglichkeit des Erfahrungsaustausches machten 19 Sachverständige Gebrauch. Diskutiert wurden aktuelle Erfahrungen mit Neu- und Rezertifizierun­gen, die Änderungen der Datenschutzverordnung, die erforderliche Prüftiefe wie auch Fragen des Marketings des Gütesiegels. Ein Schwerpunkt war die Zusam­menarbeit mit dem europäischen Gütesiegel EuroPriSe (Tz. 9.3.3).

Ende 2009 kam es im Zuge der EG-Dienstleistungsrichtlinie zu einer Änderung der Datenschutzauditverordnung. Damit kann nunmehr das Anerkennungsver­fahren über eine einheitliche Stelle abgewickelt werden. Außerdem wurde die Anerkennung von Sachverständigen auf Bundesebene oder aus anderen Bundes­ländern aufgenommen.

www.datenschutzzentrum.de/guetesiegel/akkreditierung.htm

 

9.3.3      Zusammenarbeit mit EuroPriSe

Die Vergleichbarkeit der Verfahren von EuroPriSe und dem Datenschutz-Gütesiegel Schleswig-Holstein ermöglicht es den Herstellern von IT-Produk­ten, kostengünstig beide Siegel zu erlangen.

Sowohl EuroPriSe (Tz. 9.4) als auch das ULD-Gütesiegel basieren auf einem qualitätsgesicherten Verfahren. Anerkannte Gutachter analysieren ein IT-Pro­dukt auf Konformität mit Datenschutzrecht und Datenschutztechnik. Das ULD als Zertifizierungsstelle überprüft die Gutachten und verleiht die Siegel. Auch die Kriterienkataloge der beiden Siegel sind in weiten Teilen vergleichbar. Unter­schiede gibt es hinsichtlich dessen, dass bei EuroPriSe besondere europäische Vorgaben und beim ULD-Gütesiegel spezielle deutsche bzw. schleswig-holsteini­sche Gesetze relevant sind.

Die Verfahren für das ULD-Gütesiegel und für EuroPriSe können verbunden werden. So ist es möglich, ein einziges Gutachten entweder auf Deutsch oder Englisch einzureichen, das beide Kriterienkataloge abdeckt. Hierdurch können sowohl die Gutachterkosten als auch die Kosten für uns als Zertifizierungsstelle verringert werden. Voraussetzung ist, dass die Gutachter sowohl für das Gütesie­gel des ULD als auch für EuroPriSe anerkannt sind. Derzeit erfüllen 20 Sach­verständige diese Voraussetzung.

Auch außerhalb der gemeinsamen Verfahren erfolgt ein stetiger Austausch über Auslegungen von Kriterien zwischen EuroPriSe und dem ULD-Gütesiegel. So wird sichergestellt, dass es nicht zu Wertungswidersprüchen zwischen den Siegeln kommt. Gemeinsame Workshops werben auch bei Gutachtern dafür, die Vorteile der einzelnen Zertifizierungen zu nutzen.

Weitere Informationen für Hersteller finden sich im Internet unter:

www.datenschutzzentrum.de/guetesiegel/         |         www.european-privacy-seal.eu/

 

9.4         EuroPriSe

Das von der Europäischen Union geförderte Projekt des europäischen Daten­schutz-Gütesiegels – European Privacy Seal (EuroPriSe) – ist seit März 2009 im Wirkbetrieb.

EuroPriSe als Projekt ist erfolgreich abgeschlossen (Tz. 8.9). Im Wirkbetrieb ist es uns weiterhin möglich, IT-Produkte und IT-basierte Dienstleistungen aus aller Welt auf ihre Vereinbarkeit mit den europäischen Datenschutzregelungen zu prüfen und datenschutzfreundliche Angebote für unsere Bürgerinnen und Bürger sichtbar zu machen. Die Erfahrungen aus der Pilotphase gaben wertvolle Hinweise für den Markteinsatz und die Wirtschaftlichkeitsplanungen, was ein Ziel des Marktvalidierungsprojektes war. Das Verfahren wurde für den Markteinsatz ergänzt (Tz. 9.4.2), das Gebührenmodell, Vertragsmuster für Zertifizierungen und Gutachterzulassung wurden überarbeitet. Der Übergang wird zudem durch die Änderung vom Projektlogo zum Markenlogo deutlich.

Die hohe Nachfrage nach EuroPriSe-Zertifizierungen durch Unternehmen aus ganz Europa, den USA und Südamerika bestätigt die Anerkennung unserer Datenschutzgrundsätze über die Landesgrenze hinaus. Europäische Datenschutz­standards, bescheinigt durch eine deutsche Zertifizierungsstelle, sind ein interna­tionales Qualitätsmerkmal und Wettbewerbsfaktor in der globalen Informations­gesellschaft. Das Beispiel der Internetsuchmaschine Ixquick (31. TB, Tz. 9.4.4) hat gezeigt, dass die Zertifizierung den internationalen Markt nachhaltig beein­flussen kann und Wettbewerber wie auch Regulationsbehörden auf die daten­schutzfreundlichen Lösungen als State-of-the-Art-Standard reagieren.

 

9.4.1      Zertifizierungskriterien

Das EuroPriSe-Siegel bescheinigt die Vereinbarkeit eines IT-Produkts oder einer IT-basierten Dienstleistung mit den Bestimmungen des EU-Daten­schutzrechts. Die im Rahmen einer Zertifizierung zu prüfenden Kriterien sind aus den einschlägigen EU-Richtlinien abgeleitet und in einem Anforde­rungskatalog aufgelistet.

Der Katalog benennt neben den Kriterien die Rechtsnormen, aus denen diese jeweils abgeleitet sind, und listet die Fragen auf, die im Hinblick auf ein Kriterium regelmäßig von Relevanz sind. Er setzt sich aus vier thematischen Komplexen zusammen (31. TB, Tz. 9.4.1):

1. Komplex: grundsätzliche Fragestellungen,
2. Komplex: Rechtmäßigkeit der Datenverarbeitung,
3. Komplex: technische und organisatorische Maßnahmen der Datensicherheit,
4. Komplex: Betroffenenrechte.

Der in englischer Sprache verfasste Anforderungskatalog liegt gegenwärtig in der Version 1.0 vor und kann im Internet abgerufen werden unter:

www.european-privacy-seal.eu/criteria/

Eine aktualisierte Version des Katalogs wird nach Einarbeitung des Telekom-Reformpakets der EU veröffentlicht werden.

 

9.4.2      Zertifizierungsverfahren

Das qualitätsgesicherte Verfahren ist mit einem „Monitoring“ und einem „Update Check“ um zwei neue Instrumente ergänzt worden. Beide können nach erfolgreicher Erstzertifizierung relevant werden.

Das EuroPriSe-Zertifizierungsverfahren besteht aus zwei Hauptbestandteilen (31. TB, Tz. 9.4.2): Zunächst wird das IT-Produkt oder die IT-basierte Dienstleis­tung von akkreditierten Sachverständigen evaluiert. In einem zweiten Schritt überprüft eine unabhängige Zertifizierungsstelle das von den Sachverständigen eingereichte Gutachten auf Vollständigkeit, Nachvollziehbarkeit und Daten­schutzkonformität. Sind alle Zertifizierungskriterien erfüllt, verleiht die Zertifizie­rungsstelle das EuroPriSe-Zertifikat. Dieses ist zwei Jahre lang gültig. Nach Ablauf dieser Zeitspanne oder bei wesentlichen Änderungen kann ein vereinfach­tes Rezertifizierungsverfahren durchgeführt werden.

IT-basierte Dienstleistungen und insbesondere webbasierte Dienste werden oft in kurzen zeitlichen Intervallen geändert, ohne dass dies für die Nutzer transparent ist. Deshalb ist bei EuroPriSe das „Monitoring“ eingeführt worden: Wurde ein IT-basierter Dienst zertifiziert, so muss er während der zweijährigen Gültigkeits­dauer des Siegels von den in das Verfahren involvierten Gutachtern auf seine fortwährende Vereinbarkeit mit den Zertifizierungskriterien überprüft werden. Aufgabe der Gutachter ist es zu verfolgen, ob datenschutzrelevante Änderungen an dem jeweiligen Dienst vorgenommen werden, und – falls ja – zu prüfen, ob der Dienst trotz der Änderungen noch alle anwendbaren EuroPriSe-Kriterien erfüllt. Die Anbieter von IT-basierten Dienstleistungen sind verpflichtet, acht Monate nach der Zertifizierung einen Monitoring Report bei der Zertifizierungsstelle einzureichen, der alle relevanten Änderungen und deren Bewertung beinhaltet. Ein weiterer Bericht ist nach 16 Monaten vorzulegen. Das Monitoring ersetzt nicht das erfolgreiche Durchlaufen eines Rezertifizierungsverfahrens.

Hersteller bzw. Anbieter können sich nach erfolgter Zertifizierung freiwillig dafür entscheiden, ihr Produkt bzw. ihre Dienstleistung von akkreditierten EuroPriSe-Gutachtern in regelmäßigen Abständen daraufhin überprüfen zu lassen, ob es nach wie vor allen relevanten Zertifizierungskriterien genügt. Werden solche „Update Checks“ durchgeführt, ersetzen diese sowohl das für IT-basierte Dienstleistungen obligatorische Monitoring als auch die Durchführung eines vereinfachten Rezerti­fizierungsverfahrens. Im Anschluss an die Zertifizierung sind alle sechs Monate von den Gutachtern angefertigte sogenannte Update Check Reports bei der Zerti­fizierungsstelle einzureichen. Bescheinigen die Gutachter dem IT-Produkt bzw. der -Dienstleistung fortdauernde Compliance mit den EuroPriSe-Zertifizierungs­kriterien und hat die Zertifizierungsstelle insoweit keine Einwände, so stellt sie nach Überprüfung des letzten einzureichenden Reports nach zwei Jahren eine Rezertifizierungsurkunde aus. Die Gültigkeit des EuroPriSe-Zertifikats verlängert sich dann um weitere zwei Jahre.

 

9.4.3      Zulassung von Gutachtern

Als EuroPriSe-Gutachter werden nur Datenschutzexperten tätig, die das strenge EuroPriSe-Akkreditierungsverfahren erfolgreich durchlaufen haben. Bis zum Ende des Jahres 2009 sind mehr als 80 Sachverständige aus 13 Staa­ten zugelassen worden.

Die Evaluierung der zu zertifizierenden IT-Produkte und -Dienstleistungen wird bei EuroPriSe durch akkreditierte Gutachter vorgenommen. Die Akkreditierung kann für den Bereich Recht und den Bereich Technik erfolgen, bei entsprechender Fachkunde ist eine Doppelzulassung möglich.

Datenschutzexperten müssen für ihre Akkreditierung nicht nur ihre Fachkunde und Zuverlässigkeit nachweisen, sondern auch an einem Ausbildungsworkshop teilnehmen und ein Trainingsgutachten anfertigen, das den hohen EuroPriSe-Anforderungen entspricht. Im Jahr 2009 wurden zwei kostenpflichtige Ausbil­dungsworkshops in Kiel durchgeführt. Ingesamt wurden bislang vier Workshops veranstaltet, an denen mehr als 150 Datenschutzexperten aus 13 Staaten teil­genommen haben.
2009 wurden 17 neue EuroPriSe-Gutachter akkreditiert. Insgesamt sind damit zum Ende des Jahres 81 Datenschutzexperten als Gutachter zugelassen. 36 Sach­verständige sind für den Bereich Recht und 35 für den Bereich Technik akkredi­tiert, zehn Sachverständige sind für beide Bereiche anerkannt. Die Gutachter können für ihre Tätigkeit als Sachverständige mit dem EuroPriSe-Expertenlogo werben.

 

                   

 

Die akkreditierten Gutachter verteilen sich auf die folgenden EU-Mitgliedstaaten: Deutschland (33), Finnland (1), Frankreich (3), Großbritannien (1), Kroatien (2), Niederlande (2), Österreich (6), Schweden (3), Slowakei (1), Spanien (27). Zudem ist auch in Argentinien und den USA jeweils ein Datenschutzexperte als EuroPriSe-Gutachter zugelassen worden. Eine Liste der zugelassenen EuroPriSe-Gutachter ist abrufbar unter:

www.european-privacy-seal.eu/experts/register-experts/

Die Akkreditierung eines Gutachters ist drei Jahre lang gültig. Sie verlängert sich um weitere zwei Jahre, wenn der Gutachter aktiv an einem EuroPriSe-Verfahren mitwirkt oder an einschlägigen Fortbildungsveranstaltungen, z. B. an vom ULD angebotenen Workshops, teilnimmt.

 

9.4.4      Abgeschlossene und laufende EuroPriSe -Verfahren

Bis zum Abschluss der EuroPriSe-Pilotphase im Februar 2009 konnten sechs Gütesiegel an IT-Produkte bzw. IT-basierte Dienstleistungen verliehen werden. Im weiteren Verlauf des Jahres wurden sechs Erstzertifizierungen und eine Rezertifizierung erfolgreich abgeschlossen.

Das Interesse der Hersteller von IT-Produkten und der Anbieter von IT-basierten Dienstleistungen an einer EuroPriSe-Zertifizierung ist hoch. 2009 konnten insge­samt sechs Produkte bzw. Dienstleistungen mit einem EuroPriSe-Zertifikat ausge­zeichnet werden. Der Metasuchmaschine Ixquick gelang als erstem IT-basierten Dienst die erfolgreiche Rezertifizierung. Ende des Jahres 2009 gab es insgesamt mehr als 25 laufende EuroPriSe-Zertifizierungsverfahren.

Im Jahr 2009 wurden folgende IT-Produkte und -Dienstleistungen neu zertifi­ziert:

• KiwiVision Privacy Protector (Version 1.0): Das Softwaremodul „Privacy Protector“ ist Teil von KiwiVision, einer Lösung für Videoüberwachung, die in jedes bestehende Videoüberwachungssystem integriert werden kann. Das Modul ermöglicht die Verschleierung von Videoklardaten in Echtzeit. Bewegte Personen oder personenbeziehbare Objekte (z. B. Kfz-Kennzeichen) können in digitalen Videobildern unkenntlich gemacht werden. Das restliche Videobild bleibt unverändert. Mit dem Modul können Videoüberwachungsanlagen so eingesetzt werden, dass sie weniger intensiv in das Recht auf informationelle Selbstbestimmung der überwachten Personen eingreifen.
• Predictive Targeting Networking (Version 2.0): PTN ist ein Verfahren zur gezielten Ansprache von Internetnutzern im Bereich der Online-Werbung („predictive behavioral targeting“). Die Ansprache der Nutzer erfolgt auf der Grundlage ihres Surfverhaltens, welches mit Umfragedaten einer kleinen Zahl zufällig ausgewählter Nutzer kombiniert und mithilfe mathematischer Algo­rithmen ausgewertet wird. Hierbei werden weder anbieterübergreifende Profile von Nutzern erstellt noch sensitive Daten im Sinne des Datenschutzrechts verwendet. Nutzer können den Einsatz des PTN-2.0-Verfahrens durch Verwen­dung eines sogenannten Block-Cookies unterbinden („Opt-Out“).
• ICAM Legal Aid Solution (Stand: Juli 2009): Die Anwaltskammer von Madrid (Ilustre Colegio de Abogados de Madrid – ICAM) hat den gesetzlichen Auftrag, an der Ernennung von Pflichtanwälten mitzuwirken, die bedürftige Personen vor Gericht vertreten. ICAM hat eine Softwarelösung zur Bearbeitung entsprechender Verfahren entwickelt und implementiert. Diese ermöglicht die Bearbeitung von Anträgen bedürftiger Personen, zudem können Anwälte über ein Webinterface ausstehende Gebühren für ihre Tätigkeit als Pflichtanwalt einsehen.
• Iberemec CRM (Stand: September 2009): Das spanische Unternehmen Iberemec, S.A. bietet seinen Kunden kostenlos und auf freiwilliger Basis die Nutzung eines internen Bereiches auf der Unternehmenswebsite http://www.iberemec.es an. Registrierte Kunden können u. a. online aktuelle Konditionen und Preise abfragen, Bestellungen vornehmen und Rechnungen einsehen. Dieser Service dient der Verbesserung der Kommunikation zwischen Iberemec und seinen Kunden (Customer Relationship Management – CRM).
• telemed.net (Version 2.7): Telemed.net ist eine Kommunikationslösung, die eine Echtzeitkommunikation zwischen Ärzten im Wege eines sogenannten Instant Messaging über das Internet ermöglicht. Zweck des Produktes ist es, Ärzten eine vor der Kenntnisnahme Dritter geschützte Direktkommunikation in Echtzeit über das Internet zu ermöglichen und darüber hinaus Gesundheitsdaten von Patienten zur Übernahme in ein Arztinformationssystem (AIS) zu über­mitteln.
• eBGempresa (Version 2009.09.28.10.10): eBGempresa ist ein Online-Banking-Dienst, den die spanische Bank „Banco Guipuzcoano“ ihren Geschäftskunden (Unternehmen, Selbstständigen und Freiberuflern) anbietet. Kunden können sich nach Abschluss eines Online-Banking-Vertrags unter https://www.ebgempresa.com einloggen und neben Standardfunktionen wie Kontostandsabfrage oder Vornahme einer Überweisung weitere unternehmens­spezifische Funktionalitäten nutzen.

Im Rezertifizierungsverfahren wurde die Wortsuche der Metasuchmaschine Ixquick (Stand: Januar 2009, http://www.ixquick.com) in einem vereinfachten Verfahren erneut überprüft und zertifiziert: Das Angebot leitet Suchanfragen von Internetnutzern an diverse Suchmaschinen weiter, kombiniert die von diesen erhaltenen Ergebnisse und stellt sie bereit. Bemerkenswert ist eine weitere Daten­schutzverbesserung seit der Erstzertifizierung: Wurden damals die IP-Adressen der Nutzer für einen Zeitraum von 48 Stunden in Logfiles gespeichert, so werden sie heute gar nicht mehr über das Ende der Verbindung hinaus vorgehalten.

Die öffentlichen Kurzgutachten zu allen verliehenen EuroPriSe-Gütesiegeln (inklusive der Rezertifizierungen) sind in englischer Sprache abrufbar unter:

www.european-privacy-seal.eu/awarded-seals/

 

9.4.5      Zusammenarbeit mit nationalen Datenschutz-Gütesiegeln

Synergien zwischen den Verfahren für das europäische und das schleswig-holstei­nische Datenschutz-Gütesiegel ermöglichen den Antragstellern eine Überprüfung der Vereinbarkeit sowohl mit europäischem als auch mit dem nationalen und lokalen Datenschutzrecht in einem Gutachten (Tz. 9.3.3). Inhaltsgleiche Prüf­punkte werden nur einmal bearbeitet. Dadurch können für Antragsteller und Zerti­fizierungsbehörde Kosten gesenkt werden.

Das europäische Datenschutz-Gütesiegel ist von Anfang an als Basis für eine „Baukasten-Zertifizierung“ konzipiert worden. Die Überprüfung eines Produk­tes oder einer Dienstleistung auf der Grundlage der harmonisierenden EU-Rege­lungen sichert weitgehend die Vereinbarkeit mit nationalem Datenschutzrecht, das insbesondere in sektorspezifischen Bereichen (z. B. Schulrecht, Medizinrecht) ergänzende Regelungen vorsehen kann. Eine auf EuroPriSe aufbauende Zertifi­zierung nach dem schleswig-holsteinischen Gütesiegel als sogenanntes Add-on kann dadurch ohne großen Mehraufwand realisiert werden. Da Gütesiegel und EuroPriSe „Pate“ für andere nationale Zertifizierungssysteme, z. B. in Frank­reich, stehen, erwarten wir weitere Synergien.

 

9.4.6      Zusammenarbeit mit anderen Datenschutzbehörden

Auch nach Abschluss der Projektphase wurden der Kontakt und die Zusam­menarbeit mit anderen Datenschutzbehörden weitergeführt.

Die Kolleginnen und Kollegen in Europa wurden auf der Europäischen Konferenz der Datenschutzbeauftragten über die Erfahrungen und den Stand von EuroPriSe unterrichtet. Auf Wunsch wurde am Tag vor der 31. Internationalen Daten­schutzkonferenz in Madrid im Regierungssitz der Regionen, in der Real Casa de Correos, ein Workshop für Datenschutzbehörden mithilfe unseres Partners, der Datenschutzbehörde von Madrid (APDCM), ausgerichtet. Ziel des Workshops war eine vertiefte Information und Diskussion über zukünftige Kooperationen.

Der Kontakt mit der französischen Datenschutzbehörde CNIL wurde fort­gesetzt. In einem Rapport des französischen Senats vom Juni 2009 zum Daten­schutz (La vie privée à l'heure des mémoires numériques), der als wichtigste legislative Initiative in Frankreich seit der Implementation der EU-Datenschutz­richtlinie im Jahre 2004 bezeichnet wird, wird die Schaffung eines Datenschutz-Gütesiegels in Anlehnung an EuroPriSe empfohlen. Das Gesetzgebungsverfahren, das der CNIL die Durchführung von Zertifizierungsverfahren ermöglicht, wird voraussichtlich 2010 abgeschlossen sein.

Im Rahmen der Anhörung der Europäischen Kommission zur Überarbeitung des Rechtsrahmens des Grundrechts auf Datenschutz haben wir eine Stellungnahme zur Kooperation und Institutionalisierung von Datenschutzzertifizierungen mit dem Ziel abgegeben, weiter gehende Kooperationen zu ermöglichen.

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel