7.4.7 Grundsatz der Datensicherheit
7.4.7.1 Vorgabe in der DS-RL und Regelung in der DS-GVO
Art 17 DS-RL regelt die Vorgaben betreffend die Sicherheit der Datenverarbeitung. Da-
nach muss der Verantwortliche durch nationale Regelungen verpflichtet werden, geeignete
technische und organisatorische Maßnahmen zu treffen, um die Zerstörung, den Verlust, die
unberechtigte Änderung und Weitergabe sowie den unberechtigten Zugang und jegliche an-
dere unrechtmäßige Verarbeitung personenbezogener Daten zu verhindern?!! und ein ange-
messenes Schutzniveau zu gewáhrleisten.9'^ Im Falle der Wahl eines Auftragsverarbeiters, dh
einer Person, welche personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet,
trifft obige Pflicht diesen, wobei der Verantwortliche eine Aufsicht über deren Einhaltung
vornehmen muss (Art 17 Abs 2 DS-RL).
In der DS-GVO finden sich die Regelungen betreffend die Datensicherheit sowohl in
Art 5 Abs 1 lit f als auch in den Art 32 ff.?? Im Allgemeinen muss der Verantwortliche die
Gewährleistung einer „angemessenen“ Sicherheit der personenbezogenen Daten sicherstellen;
insb sollen diese vor unbefugter resp unrechtmäßiger Verarbeitung, vor fahrlässiger Zerstö-
rung, Beschädigung oder unbeabsichtigtem Verlust geschützt sein: Durch die Pflicht zur Set-
zung entsprechender Maßnahmen sollen somit gleichzeitig insb Verletzungen der Integrität
814
bzw Unversehrtheit®!* und der Vertraulichkeit der Daten hintangehalten werden. ®!” Gem
Art 32 ff DS-GVO (und auch gem Art 5 Abs 1 lit f DS-GVO) treffen den Verantwortlichen
und — im Gegensatz zur DS-RL — auch den Auftragsverarbeiter?!
zur Erfüllung dieses Gebots
die Pflicht, mittels geeigneter technischer und organisatorischer Maßnahmen ein „dem Risiko
angemessenes* Schutzniveau zu gewáhrleisten.?'" Dabei sind insb der Stand der Technik, die
Umstànde um die Datenverarbeitung (Zwecke, Umfang, Art) und die Schwere des Risikos für
die Rechte und Freiheiten natürlicher Personen, davon in erster Linie die betroffene Person,
811 Vgl Dammann/Simitis, EG-Datenschutz-RL, Art 17, Rz 3.
8L Vgl Dammann/Simitis, EG-Datenschutz-RL, Art 17, Rz 6.
3833 Dabei decken sich die Zwecke dieser jeweiligen Bestimmungen nicht zur Gànze: Wáhrend der Sicherheits-
begriff nach Art 5 Abs 1 lit f D5-GVO in diesem Zusammenhang auf die RechtméaRigkeit der Datenverarbeitung
abzielt, ergibt sich dieser Schutzzweck aus den Art 32 ff DS-GVO nicht; vgl Feiler/Forgó, EU-DSGVO, Art 5,
Rz 11.
814 Vgl Frenzel in Paal/Pauly, Datenschutz-Grundverordnung, Art 5, Rz 47.
815 S auch Feiler/Forgó, EU-DSGVO, Art 32, Rz 6.
816 Vg] auch Feiler/Forgó, EU-DSGVO, Art 32, Rz 3.
877 Vg] Kastelitz in Knyrim, Datenschutz-Grundverordnung, 104.
149
