Datenschutz-Prüfung von Rechenzentren

Die Auslagerung von Datenbeständen und die Auslagerung von komplexen Datenverarbeitungen (IT-Outsourcing) an externe Rechenzentrumsanbieter haben sich zu einem gängigen Schritt in der Wirtschaft und in der Verwaltung entwickelt. Dabei sind Datenschutz und Datensicherheit für den Auftraggeber die Qualitätsmerkmale und für den Anbieter Wettbewerbsfaktoren. Nun unterliegen Datenschutz, Datensicherheit und ordnungsgemäße Datenverarbeitung gesetzlichen Pflichten, die alle Unternehmen und Verwaltungseinheiten treffen, gleich welcher Größe und Branche. Das bedeutet für den Datenschutzbeauftragten eine große Herausforderung, da das Datenschutzmanagement der Datenauslagerung bzw. externen Datenverarbeitung lückenlos und vollständig abgearbeitet werden muss. Es beginnt mit der Bestimmung des Schutzniveaus der Daten, der Bestimmung der Anforderungskriterien und mit der Freigabe eines ausgewählten Rechen-zentrums. Wenn die Datenauslagerung bzw. die externe Datenverarbeitung begonnen hat, erfolgt die erste Kontrolle als Dokumentensichtung und/oder als Datenschutzaudit im Rechenzentrum vor Ort. Es folgen ausführliche Dokumentationen nicht nur an die verantwortliche Stelle, sondern auch Dokumentationen im Rahmen eines guten Anforderungsmanagements für spätere Kontrollen. Die Prüf- und Kontrollfragen sollen über den gesamten ausgelagerten Bereich sinnvoll und angemessen verteilt sein. Das Anforderungsmanagement mit den Kontrollen soll das anfänglich, vertraglich definierte und vereinbarte Schutzniveau widerspiegeln und zeigen, dass es für die Dauer des IT-Outsourcings aufrechterhalten wird. Die 12 Autoren dieses Leitfadens haben diese Hilfestellung für sich und ihre Kolleginnen und Kollegen in ehrenamtlicher Arbeit als Arbeitskreis „Rechenzentrum“ des GDD-Erfa-Kreises Nord erarbeitet. Es ist die erste Zusammenstel-lung in dieser Qualität mit gut erklärten und tiefgreifenden Fragestellungen in den Checklisten.