Datenschutz und Informationssicherheit: der Unterschied

Abgrenzung

Der Datenschutz betrachtet die Verarbeitung aus Sicht der betroffenen Person: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Transparenz und Betroffenenrechte. Die Informationssicherheit betrachtet aus Sicht der Institution, welche Informationen welchen Schutzbedarf haben und wie sie gegen Gefährdungen geschützt werden.

Die Schnittmenge: Sicherheit der Verarbeitung

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen. Genannt werden unter anderem:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten,
• die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherzustellen,
• die Fähigkeit, Verfügbarkeit und Zugang bei einem Zwischenfall rasch wiederherzustellen,
• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.

Diese Anforderungen decken sich weitgehend mit dem, was ein ISMS leistet. Auch Art. 5 Abs. 1 lit. f DSGVO nennt Integrität und Vertraulichkeit ausdrücklich als Grundsatz der Verarbeitung.

Ein wichtiger Perspektivwechsel

Bei der Risikobewertung unterscheiden sich die Blickwinkel. Die Informationssicherheit fragt nach dem Schaden für die Institution, der Datenschutz nach dem Risiko für die betroffenen Personen. Ein Datenleck mit Gesundheitsdaten kann für den Betrieb wirtschaftlich verkraftbar sein, für die Betroffenen aber schwerwiegend. Der IT-Grundschutz berücksichtigt das, indem er bei der Schutzbedarfsfeststellung das Schadensszenario «Beeinträchtigung des informationellen Selbstbestimmungsrechts» ausdrücklich vorsieht.

Datenschutz im IT-Grundschutz

Das IT-Grundschutz-Kompendium enthält den Baustein CON.2 Datenschutz. Er stellt die Verbindung zum Standard-Datenschutzmodell (SDM) der Datenschutzkonferenz her, das die Anforderungen der DSGVO in Gewährleistungsziele und Maßnahmen übersetzt. Der Baustein ersetzt keine datenschutzrechtliche Prüfung, sorgt aber dafür, dass Datenschutzanforderungen im Sicherheitskonzept berücksichtigt werden. BSI-Standard 200-2 beschreibt außerdem die Zusammenarbeit zwischen ISB und Datenschutzbeauftragten.

Typische Überschneidungen in der Praxis

• Verzeichnis der Verarbeitungstätigkeiten und Strukturanalyse: Beide beschreiben, welche Daten in welchen Anwendungen und Systemen verarbeitet werden. Eine gemeinsame Pflege spart Aufwand und vermeidet Widersprüche.
• TOM und Sicherheitskonzept: Die technischen und organisatorischen Maßnahmen nach DSGVO lassen sich aus dem Sicherheitskonzept ableiten.
• Auftragsverarbeitung und Dienstleistersteuerung: Verträge nach Art. 28 DSGVO und Sicherheitsanforderungen an Dienstleister gehören zusammen.
• Datenpannen und Sicherheitsvorfälle: Ein Sicherheitsvorfall mit personenbezogenen Daten kann eine Meldepflicht an die Aufsichtsbehörde auslösen. Der Prozess zur Behandlung von Sicherheitsvorfällen sollte diese Prüfung enthalten.
• Löschen: Datenschutz verlangt Löschung, wenn der Zweck entfällt; die Informationssicherheit regelt, wie sicher gelöscht und vernichtet wird (Baustein CON.6).

Wo Konflikte entstehen können

• Protokollierung: Für die Sicherheit sind ausführliche Protokolle hilfreich, für den Datenschutz sind sie personenbezogene Daten, die zweckgebunden und begrenzt gespeichert werden müssen.
• Überwachung von Mitarbeitenden: Sicherheitswerkzeuge wie E-Mail-Filter oder Endpoint-Schutz verarbeiten Beschäftigtendaten; hier sind Zweck und Umfang zu regeln und gegebenenfalls Mitbestimmungsrechte zu beachten.
• Datensicherung: Backups erschweren die Umsetzung von Löschpflichten. Ein Löschkonzept sollte Backups ausdrücklich berücksichtigen.
• Cloud-Dienste: Aus Sicht der Informationssicherheit zählt vor allem, ob der Anbieter Vertraulichkeit und Verfügbarkeit gewährleistet. Der Datenschutz fragt zusätzlich nach Auftragsverarbeitungsvertrag, Speicherort und Übermittlungen in Drittländer. Beide Prüfungen sollten vor der Einführung erfolgen, nicht nacheinander.

Gemeinsame Grundlage schaffen

Für kleine Betriebe lohnt sich ein gemeinsamer Arbeitsstand für beide Themen. Bewährt hat sich eine einzige Übersicht, die je Anwendung oder Datenbestand festhält:

• welche Informationen verarbeitet werden und ob Personenbezug besteht,
• auf welchen Systemen und bei welchen Dienstleistern die Daten liegen,
• welcher Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit besteht,
• welche Rechtsgrundlage und Löschfrist gilt,
• welche Maßnahmen umgesetzt sind.

So beantwortet eine Liste die Fragen der Datenschutzaufsicht, des Cyber-Versicherers und des eigenen Notfallplans zugleich.

Organisation in kleinen Betrieben

Rollen sollten getrennt bleiben, wo Interessenkonflikte drohen. Der Datenschutzbeauftragte kontrolliert die Einhaltung des Datenschutzes und sollte nicht zugleich die Systeme verantworten, die er prüft. Ein regelmäßiger Austausch zwischen beiden Funktionen, etwa vierteljährlich, und eine gemeinsame Dokumentation haben sich bewährt.