Checkliste Technische und organisatorische Maßnahmen (Anlage zu § 9 Satz 1 BDSG)

Die nachfolgende Übersicht beruht auf der Checkliste zur Erfüllung der Aufgaben nach § 9 BDSG und Anlage, die anhand von Prüflisten der Datenschutzaufsichtsbehörden erstellt und angepasst wurde. Als Quellen dienten die Regierung von Mittelfranken, die Bayerische Datenschutz-Aufsichtsbehörde für den nicht-öffentlichen Bereich (Stand: 7/2005) sowie der Hamburgische Datenschutzbeauftragte (Stand: 5/2007). Die Checkliste erschien erstmals 2006 in der Fachzeitschrift Recht der Datenverarbeitung (RDV 2006, 272, 280) und wird regelmäßig im GDD-Jahrbuch veröffentlicht. Ihr Autor, Dr. Münch, stellte sie dem Datenschutz-Wiki dankenswerterweise zur Verfügung. Des Umfangs halber wurden die Übersicht in einzelne Listen aufgeteilt, des weiteren teilweise angepasst bzw. ergänzt. Bei der Verwendung des Prüfkatalogs im Rahmen verschiedener Landesdatenschutzgesetze bitte die evtl. andere Nummerierung beachten.

Zugriffskontrolle (Anlage Nr.3) 
"zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können"

Nr.	Vorgabe	erfüllt	nicht erfüllt	nicht erforderlich	Bemerkungen	
4.1	Ausgestaltung des Berechtigungskonzeptes und der Zugriffsrechte					
4.1.1	Schriftliches Berechtigungskonzept					
4.1.2	Programmtechnisches Berechtigungskonzept					
4.1.3	Rollendefinition					
4.1.4	Differenzierte Berechtigungen (Daten)					
4.1.5	Differenzierte Berechtigungen für Kenntnisnahme, Veränderung, Löschung					
4.1.6	Differenzierte Berechtigungen (Anwendungen)					
4.1.7	Differenzierte Berechtigungen (Betriebssystem)					
4.1.8	Protokollierung					
4.1.8.1	Verfahrensanweisung/Richtlinie					
4.1.8.2	Dateizugriffe					
4.1.8.3	Programmausführung					
4.1.8.4	Shell-Zugriff				Zugriff auf Dateisystemebene	
4.1.8.5	Richtlinienverstoß					
4.1.8.6	Manuelle Protokollauswertung				Wie oft, durch wen?	
4.1.8.7	Automatisierte Protokollauswertung				Wie oft, durch wen?	
4.1.8.8	Aufbewahrung der Protokolle (max.1a)					
4.2	Datenträger (DT)					
4.2.1	Benennung eines Verantwortlichen					
4.2.2	Mobile DT - Art und Anzahl					
4.2.2.1	Festplatten				beweglich, nicht stationär eingebaut	
4.2.2.2	USB-Sticks				Anzahl	
4.2.2.3	SD-Karten				Anzahl	
4.2.2.4	Disketten				Anzahl	
4.2.2.5	Magnetbandkassetten				Anzahl	
4.2.2.6	CD				Anzahl	
4.2.2.7	DVD				Anzahl	
4.2.3	Lagerung nach Dienstschluss					
4.2.3.1	Verfahrensanweisung/Richtlinie					
4.2.3.2	abschließbare Schränke				Sicherheits-, Schutzbedarfsstufe?	
4.2.4	Auslagerung von Sicherungsdatenträgern				Wo?	
4.3	Datenträgerverwaltung					
4.3.1	Nachweis über, Eingang, Ausgang sowie Bestand (Verzeichnisse)					
4.3.2	Datenträgerinventuren					
4.3.3	Festlegungen zur Datenträgerverwendung					
4.3.4	Abgrenzung der Bereiche, in denen sich DT befinden dürfen					
4.3.5	Festlegung der Personen, die DT befugt sind, DT zu entnehmen					
4.3.6	Festlegung der DT-Empfänger					
4.3.7	Quittierverfahren					
4.3.8	Datenträgerbegleitpapiere					
4.3.9	Äußerliche Kennzeichnung der eigenen DT zur Unterscheidung von fremden DT					
4.3.10	Trennung der DT verschiedener Auftraggeber				Mandanten, Verfahren	
4.3.11	Eigener DT-Pool für jeden Kunden				Verfahren	
4.3.12	Verbot des Einsatzes privater DT				Richtlinie, Dienstanweisung	
4.3.13	Protokollierung der DT-Aussonderung					
4.4	Datenträgervernichtung/-entsorgung					
4.4.1	Richtlinien zur Entsorgung/Vernichtung von Fehldrucken und unbrauchbaren bzw. nicht mehr gebrauchten Datenträgern					
4.4.2	Datenschutzgerechte Löschung verwendeter DT vor neuer Verwendung bzw. Weitergabe					
4.4.3	Sichere Zwischenlagerung					
4.4.4	Einsatz von „Reißwolf“/Shredder				Schutzbedarfs-, Sicherheitsstufe	
4.4.5	Einsatz von Datenträgerlöschgeräten oder -Software				Welche? Schutzbedarfs-, Sicherheitsstufe	
4.4.6	Einsatz von Geräten zum Verbrennen/Zerstören				Welche? Schutzbedarfs-, Sicherheitsstufe	
4.4.7	Kontrolle der ordnungsgemäßen Vernichtung					
4.4.8	Einsatz von Entsorgungsunternehmen					
4.4.8.1	Zuverlässiges Entsorgungsunternehmen ausgewählt?				Zertifizierungen? Kontrolle?	
4.4.8.2	Vertragliche Regelung vorhanden				ADV Vereinbarung?	
4.4.8.3	Entsorgungsbescheinigung, Löschprotokoll					
4.5	Regelungen für das Kopieren von DT					
4.5.1	Richtlinie vorhanden					
4.5.2	Sperrung der Laufwerke und Anschlüsse (USB, Diskette, CD/DVD ...)				Für jeden erfassten DT-Typ gesondert zu beachten	
4.5.2.1	Mechanische Verriegelung				Disketten-/CD-Laufwerksschloss u.ä. Laufwerksverriegelung	
4.5.2.2	Systemtechnische Einstellung				Wo? Wie geschützt? Konfiguration durch wen?	
4.5.2.3	Einsatz spezieller Software				Welche? Installation, Konfiguration durch wen?	
4.5.2.4	Weitere Schnittstellen, die Zugriff ermöglichen, gesperrt					
4.5.3	Kopierfunktion grundsätzlich deaktiviert					
4.5.4	Einsatz privilegierter Arbeitsplätze					
4.5.4.1	Wo?				Abteilung, Fachbereich	
4.5.4.2	Zu welchem Zweck?				Verfahren	
4.5.4.3	Wer hat Zugriff?					
4.5.4.4	Netzwerktechnische Anbindung				Stand-alone? Dedizierter Netzwerkbereich? Mit internem Netzwerk verbunden?	
4.5.4.5	Besondere Sicherheitsmaßnahmen				Firewall, spezielle Zugriffs-/Nutzerkonten	
4.6	Taschenverbot bzw. -kontrollen					
4.7	Zugriffsschutz durch Bildschirmschoner					
4.7.1	Automatische Sperre					
4.7.2	Sperre über Funktionstasten					
4.7.3	Ausschließlich passwortgestützte Aufhebung					
4.8	Regelungen und Kontrolle von externer Wartung und Fernwartung					
4.9	Parasitäre Abstrahlung				elektromagnetische Abstrahlungen, Schallausbreitungen u.ä.	
4.9.1	Messungen durchgeführt					
4.9.2	Gegenmaßnahmen eingerichtet