Risikobewertung und technische und organisatorische Maßnahmen: Anforderungen nach dem Urteil des LG Mannheim
Im März 2024 fällte das Landgericht Mannheim (Az. 1 O 99/23) ein wegweisendes Urteil im Bereich Datenschutz, das die Bedeutung von Risikobewertungen für die Angemessenheit technischer und organisatorischer Maßnahmen (TOM) nach der DSGVO hervorhebt. Insbesondere stellte das Gericht klar, dass Unternehmen nicht allein durch das Implementieren von TOM ihrer Pflicht nachkommen. Vielmehr ist es entscheidend, dass diese Maßnahmen auf einer fundierten Risikobewertung basieren, die die Eintrittswahrscheinlichkeit und die Schwere potenzieller Datenschutzvorfälle systematisch erfasst.
Kernaussagen des Urteils
Das Gericht entschied, dass technische und organisatorische Maßnahmen (TOM) nur dann als angemessen gelten können, wenn sie auf einer gründlichen Analyse der Datenschutzrisiken basieren. Diese Risikobewertung muss sowohl die Wahrscheinlichkeit eines Vorfalls als auch dessen potenzielle Auswirkungen auf die betroffenen Personen berücksichtigen.
Unternehmen, die personenbezogene Daten verarbeiten, müssen daher sicherstellen, dass sie nicht nur Maßnahmen wie Zugangskontrollen, Datenverschlüsselung und Backups implementieren, sondern diese auch an den spezifischen Risiken ihrer Datenverarbeitungsprozesse ausrichten. Ohne eine solche Risikobewertung könne nicht garantiert werden, dass die Maßnahmen den Anforderungen des Art. 32 DSGVO entsprechen.
Technische und organisatorische Maßnahmen (TOM) und ihre Bedeutung im Datenschutz
Technische und organisatorische Maßnahmen sind ein zentraler Bestandteil des Datenschutzmanagements. Die DSGVO verpflichtet Unternehmen in Art. 32 dazu, angemessene Sicherheitsvorkehrungen zu treffen, um die Vertraulichkeit, Integrität und Verfügbarkeit von personenbezogenen Daten zu gewährleisten. Doch was bedeutet das konkret?
TOM umfassen eine Vielzahl von Maßnahmen, die sowohl auf technischer als auch auf organisatorischer Ebene dafür sorgen, dass Daten geschützt sind. Dazu gehören:
- Zutrittskontrolle: Schutz der physischen Räumlichkeiten, in denen Daten verarbeitet oder gespeichert werden, z. B. durch Sicherheitspersonal oder Zugangskontrollsysteme.
- Zugangskontrolle: Sicherstellen, dass nur autorisierte Personen auf Systeme und Daten zugreifen können, beispielsweise durch Passwortschutz oder Zwei-Faktor-Authentifizierung.
- Zugriffskontrolle: Beschränkung der Berechtigungen innerhalb von IT-Systemen, um sicherzustellen, dass nur notwendige Zugriffe möglich sind.
- Weitergabekontrolle: Schutz bei der Übertragung personenbezogener Daten, z. B. durch Verschlüsselung.
- Verfügbarkeitskontrolle: Maßnahmen zur Sicherstellung, dass Daten auch bei technischen Problemen verfügbar bleiben, etwa durch Backup-Strategien.
Warum ist die Risikobewertung so wichtig?
Die DSGVO verfolgt einen risikobasierten Ansatz. Das bedeutet, dass die Maßnahmen, die ein Unternehmen ergreifen muss, immer von der spezifischen Bedrohungslage abhängen. Ein Unternehmen, das besonders sensible Daten verarbeitet, wie Gesundheitsdaten, muss strengere Sicherheitsvorkehrungen treffen als ein Unternehmen, das nur allgemeine Kontaktinformationen speichert.
Eine Risikobewertunghilft dabei, genau diese Bedrohungen zu identifizieren und einzuschätzen, wie wahrscheinlich ein Vorfall ist und wie schwer die Folgen für die betroffenen Personen sein könnten. Auf Basis dieser Bewertung können Unternehmen dann gezielt Maßnahmen auswählen, die den jeweiligen Risiken angemessen begegnen.
TOM und Risikobewertung – der Schlüssel zum Datenschutz
Das Urteil des LG Mannheim verdeutlicht, dass technische und organisatorische Maßnahmen nur dann wirksam sind, wenn sie auf einer fundierten Risikobewertung basieren. Unternehmen sollten sicherstellen, dass sie diesen Prozess als festen Bestandteil ihres Datenschutzmanagements implementieren, um sowohl den gesetzlichen Anforderungen der DSGVO gerecht zu werden als auch die Daten ihrer Kunden und Mitarbeiter effektiv zu schützen.
Durch die regelmäßige Überprüfung und Anpassung der TOM im Lichte aktueller Risiken können Datenschutzverstöße und potenziell hohe Bußgelder vermieden werden.