Das Verhältnis Datenschutzbeauftragte(r) und Administrator
Zwischen Fachkunde und Zuverlässigkeit
Geht es um die Frage, wer den Job der oder des Datenschutzbeauftragten übernimmt, kommen oft die IT-Administratoren ins Spiel.
Auf den ersten Blick eine gute Idee. Denn Administratoren haben in den zentralen IT-Fragen zweifellos die nötige Fachkunde. Und zwar in einem Umfang und einer Tiefe, wie sie die meisten DSBs aus zeitlichen Gründen nicht haben.
Die scheinbar gute Idee übersieht jedoch, dass die Zuverlässigkeit eine wichtige Voraussetzung ist, um zum Datenschutzbeauftragten benannt zu werden.
Nun geht es nicht darum, einem IT-Administrator generell die Zuverlässigkeit abzusprechen. Doch das rechtliche Verständnis von „Zuverlässigkeit“ bringt mit sich, dass manche Funktionen nicht mit den Aufgaben eines Datenschutzbeauftragten zu vereinen sind (Interessenkollision).
Das gilt in erster Linie für Funktionen, die einer besonderen Datenschutz-Kontrolle unterliegen. Und dazu gehören die IT-Administratoren.
Zusammenarbeit Datenschutzbeauftragter – Administrator trotz Kontrolle
Ein Administrator lässt sich also im Normalfall nicht zum Datenschutzbeauftragten benennen. Aber die IT-Administration ist eine wichtige Anlaufstelle für Sie als DSB.
Bei vielen technischen Prüfungen brauchen Sie die internen IT-Experten, um Sie zu unterstützen.
Damit ist nicht gemeint, dass Sie die technischen Prüfungen den Administratoren komplett überlassen. Begleiten Sie vielmehr diese Prüfungen aus Datenschutzsicht.
Dafür gibt es mehrere Gründe:
- Zum einen haben IT-Experten in erster Linie die IT-fachliche Sicht oder die Sicht der IT-Sicherheit. Erfahrungsgemäß kommen bei reinen IT-Prüfungen die Aspekte des Datenschutzes wie Datenminimierung und Zweckbindung zu kurz.
- Zum anderen gelten viele technische Prüfungen den sogenannten privilegierten Zugängen und Zugriffen auf Daten. Und damit der Arbeit der Administratoren.
Datenverarbeitung der Administratoren überwachen
Zu einem datenschutzgerechten IT-Betrieb gehört, dass kein Beschäftigter die Administrations-Funktionen missbrauchen kann.
Das erfordert neben anderen diese Maßnahmen:
- Administrations-Zugänge benötigen eine strenge Zugriffskontrolle. Sie muss die üblichen Anforderungen an eine starke Zugangskontrolle und eine lückenlose Protokollierung erfüllen.
- Eine Anmeldung als Administrator darf nur von wenigen ausgewählten Arbeitsplätzen aus möglich sein.
- Zudem muss ein Verantwortlicher festlegen, unter welchen Umständen Administratoren auf personenbezogene Datenbestände zugreifen dürfen (Stichwort Vier-Augen-Prinzip).
- Weiterhin ist es wichtig, private Daten und betriebliche Daten separat verschlüsselt vorzuhalten. Dann kann kein Administrator auf die privaten Daten des Nutzers zugreifen.
Gibt es ein gemeinsames Konto „Admin“ für alle Administratoren, lassen sich die Datenzugriffe keinem einzelnen Administrator zuordnen
In einem solchen Fall fordern die Aufsichtsbehörden für den Datenschutz: Über eine Protokollierung muss feststellbar sein, wer zu welchem Zeitpunkt das gemeinsame Administrations-Konto genutzt und welche Programme bzw. Tätigkeiten ausgeführt hat.
Nur so lassen sich die administrativen Tätigkeiten im Nachgang dem personalisierten Benutzerkonto des Administrators zuordnen.
Kooperation braucht ein festes Fundament
Schaffen Sie zunächst ein besseres Verständnis für den Datenschutz. Das ist Voraussetzung, um mit den IT-Administratoren gut zusammenarbeiten, obwohl Sie die Netzwerk-, System-, Datenbank- und Anwendungs-Verwalter kontrollieren müssen.
Nur wer versteht, warum Datenschutz wichtig ist und warum Sie die Administratoren kontrollieren, ist zu einer engen Zusammenarbeit bereit.
Halten Sie eine Datenschutz-Unterweisung für IT-Administratoren und gehen Sie beispielsweise besonders auf die Zweckbindung ein.
Denn es muss jedem Administrator klar sein, dass er Protokolle zur IT- und Betriebs-Sicherheit nicht zu anderen Zwecken, etwa für eine heimliche Verhaltens- und Leistungskontrolle, missbrauchen darf.
Nutzen Sie am besten die Arbeitshilfe Information für Administratoren für Ihr Gespräch.
