5 Teil 5: V-Modell-Referenz Produkte

5.3 Produkte

5.3.7 Anforderungen und Analysen

5.3.7.8 Datenschutzkonzept

Vorgehensbaustein: Sicherheit (AN)

Verantwortlich: Datenschutzbeauftragter (bei Verwendung des Vorgehensbausteins Sicherheit (AN))

Aktivität: Datenschutzkonzept erstellen

Mitwirkend: Informationssicherheitsbeauftragter

Produktattribute: initial

Sinn und Zweck

Das Datenschutzkonzept regelt die Umsetzung der datenschutzrechtlichen Vorgaben für den Umgang mit personenbezogenen Daten.

Das Datenschutzkonzept beinhaltet Aussagen zu:

• Rechtsgrundlagen und ihre Umsetzung
• Zweck der Verarbeitung personenbezogener Daten
• Herkunft der personenbezogenen Daten
• Systemüberblick und Schutzbedar
• Risiken
• Anforderungen und Maßnahmen

Wird erzeugt von

Implementierungs-, Integrations- und Prüfkonzept SW, SW-Architektur (siehe Produktabhängigkeit 4.18)

HW-Architektur, Implementierungs-, Integrations- und Prüfkonzept HW (siehe Produktabhängigkeit 4.7)

Implementierungs-, Integrations- und Prüfkonzept SW, SW-Architektur (siehe Produktabhängigkeit 4.19)

Implementierungs-, Integrations- und Prüfkonzept SW, SW-Architektur (siehe Produktabhängigkeit 4.17)

HW-Architektur, Implementierungs-, Integrations- und Prüfkonzept HW (siehe Produktabhängigkeit 4.8)

HW-Architektur, Implementierungs-, Integrations- und Prüfkonzept HW (siehe Produktabhängigkeit 4.6)

Implementierungs-, Integrations- und Prüfkonzept System, Unterstützungs-Systemarchitektur (siehe Produktabhängigkeit 4.16)

Implementierungs-, Integrations- und Prüfkonzept Unterstützungssystem, Unterstützungs-Systemarchitektur (siehe Produktabhängigkeit 4.24)

Implementierungs-, Integrations- und Prüfkonzept Unterstützungssystem, Unterstützungs-Systemarchitektur (siehe Produktabhängigkeit 4.5)

Implementierungs-, Integrations- und Prüfkonzept Unterstützungssystem, Unterstützungs-Systemarchitektur (siehe Produktabhängigkeit 4.21)

Implementierungs-, Integrations- und Prüfkonzept System, Systemarchitektur (siehe Produktabhängigkeit 4.15)

Implementierungs-, Integrations- und Prüfkonzept System, Systemarchitektur (siehe Produktabhängigkeit 4.23)

Implementierungs-, Integrations- und Prüfkonzept System, Systemarchitektur (siehe Produktabhängigkeit 4.4)

Implementierungs-, Integrations- und Prüfkonzept System, Systemarchitektur (siehe Produktabhängigkeit 4.20)

Gesamtsystemspezifikation (Pflichtenheft) (siehe Produktabhängigkeit 4.25)

Gesamtsystemspezifikation (Pflichtenheft) (siehe Produktabhängigkeit 4.26)

Hängt inhaltlich ab von

Projekthandbuch, Informationssicherheitskonzept, Sicherheitsanalyse (siehe Produktabhängigkeit 5.46)

Projekthandbuch, Gesamtsystemspezifikation (Pflichtenheft), Informationssicherheitskonzept (siehe Produktabhängigkeit 5.47)

5.3.7.8.1 Rechtsgrundlagen und ihre Umsetzung

Im Umgang mit personenbezogenen Daten sind die zu beachtenden datenschutzrechtlichen Bestimmungen und Vorschriften zu nennen.

5.3.7.8.2 Herkunft und Zweck der Verarbeitung personenbezogener Daten

Die Herkunft und der Zweck der Verarbeitung personenbezogener Daten ist darzustellen.

5.3.7.8.3 Systemüberblick und Schutzbedarf

Im Rahmen des Systemüberblickes werden insbesondere die Teile des Systems dargestellt, die personenbezogene Daten verarbeiten. Der erforderliche Schutzbedarf für die personenbezogenen Daten wird festgelegt.

5.3.7.8.4 Risiken

Mögliche Risiken beim Umgang mit personenbezogenen Daten sind zu identifizieren.

5.3.7.8.5 Anforderungen und Maßnahmen

Das Datenschutzkonzept muss alle datenschutzrechtlichen Anforderungen beinhalten, wie rechtliche, technische, organisatorische, personelle und materielle Anforderungen. Des Weiteren müssen die Anforderungen vollständig durch Maßnahmen abgedeckt sein. Folgende Aspekte sind beispielsweise zu behandeln:

• Verwaltung und Handhabung von personenbezogenen Daten auf Datenträgern und Servern, wie Speicherdauer, Aufbewahrung, Kennzeichnung, Wiederverwendung, Vernichtung, Löschung nicht benötigter Programme und Daten.
• Zugangs- / Benutzerkontrolle, Zugriffskontrolle, Weitergabekontrolle, Ein-gabekontrolle, Auftragskontrolle.
• Benachrichtigungspflicht / Konsultation des Datenschutzbeauftragten bei-spielsweise bei unerwartetem Systemverhalten oder ungewöhnlichen Ereignissen, die Auswirkungen auf den Datenverlust oder Verlust des Da-tenschutzes haben.
• Freigabeverfahren, beispielsweise für geänderte / neue Systemteile und die Übermittlung personenbezogener Daten.
• Auftragsdatenverarbeitung, beispielsweise bei Installation, Wartung, Reparatur, Softwarepflege und Datenträgerlöschung/-vernichtung.