50 BlnDSG Anforderungen an die Sicherheit der Datenverarbeitung — Requirements for the security of data processing

German Original (Official) Version

§ 50 BlnDSG Anforderungen an die Sicherheit der Datenverarbeitung

1. Der Verantwortliche und der Auftragsverarbeiter haben unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und der Schwere der mit der Verarbeitung verbundenen Gefahren für die Rechtsgüter der betroffenen Personen die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten.
2. ¹Die in Absatz 1 genannten Maßnahmen können unter anderem die Pseudonymisierung und Verschlüsselung personenbezogener Daten umfassen, soweit solche Mittel in Anbetracht der Verarbeitungszwecke möglich sind. ²Die Maßnahmen nach Absatz 1 sollen dazu führen, dass
   1. die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sichergestellt werden und
   2. die Verfügbarkeit der personenbezogenen Daten und der Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden können.
3. ¹Im Fall einer automatisierten Verarbeitung haben der Verantwortliche und der Auftragsverarbeiter nach einer Risikobewertung Maßnahmen zu ergreifen, die Folgendes bezwecken:
   1. Verwehrung des Zugangs zu Verarbeitungsanlagen, mit denen die Verarbeitung durchgeführt wird, für Unbefugte (Zugangskontrolle),
   2. Verhinderung des unbefugten Lesens, Kopierens, Veränderns, Löschens oder Entfernens von Datenträgern (Datenträgerkontrolle),
   3. Verhinderung der unbefugten Eingabe von personenbezogenen Daten sowie der unbefugten Kenntnisnahme, Veränderung und Löschung von gespeicherten personenbezogenen Daten (Speicherkontrolle),
   4. Verhinderung der Nutzung automatisierter Verarbeitungssysteme mit Hilfe von Einrichtungen zur Datenübertragung durch Unbefugte (Benutzerkontrolle),
   5. Gewährleistung, dass die zur Benutzung eines automatisierten Verarbeitungssystems Berechtigten ausschließlich zu den von ihrer Zugangsberechtigung umfassten personenbezogenen Daten Zugang haben (Zugriffskontrolle),
   6. Gewährleistung, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten mit Hilfe von Einrichtungen zur Datenübertragung übermittelt oder zur Verfügung gestellt wurden oder werden können (Übertragungskontrolle),
   7. Gewährleistung, dass nachträglich überprüft und festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit und von wem in automatisierte Verarbeitungssysteme eingegeben oder verändert worden sind (Eingabekontrolle),
   8. Gewährleistung, dass bei der Übermittlung personenbezogener Daten sowie beim Transport von Datenträgern die Vertraulichkeit und Integrität der Daten geschützt werden (Transportkontrolle),
   9. Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können (Wiederherstellbarkeit),
   10. Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden (Zuverlässigkeit),
   11. Gewährleistung, dass gespeicherte personenbezogene Daten nicht durch Fehlfunktionen des Systems beschädigt werden können (Datenintegrität),
   12. Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),
   13. Gewährleistung, dass personenbezogene Daten gegen Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),
   14. Gewährleistung, dass zu unterschiedlichen Zwecken erhobene personenbezogene Daten getrennt verarbeitet werden können (Trennbarkeit).
   ²Eine geeignete Maßnahme, die zur Verwirklichung der Zwecke nach Satz 1 Nummer 2 bis 5 und 8 beiträgt, besteht in der Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.
4. ¹Vor einer Entscheidung über den Einsatz oder eine wesentliche Änderung einer automatisierten Verarbeitung personenbezogener Daten sind die zu treffenden technischen und organisatorischen Maßnahmen auf der Grundlage einer Risikoanalyse zu ermitteln und in einem Datenschutzkonzept zu dokumentieren. ²Entsprechend der technischen Entwicklung und bei Änderungen der mit den Verarbeitungsvorgängen verbundenen Risiken ist die Ermittlung der Maßnahmen in angemessenen Abständen zu wiederholen.
5. ¹Werden Systeme und Dienste, die für automatisierte Verarbeitungen genutzt werden, gewartet, so ist durch geeignete technische und organisatorische Maßnahmen sicherzustellen, dass nur auf die für die Wartung unbedingt erforderlichen personenbezogenen Daten zugegriffen werden kann. ²Diese Maßnahmen müssen insbesondere Folgendes gewährleisten:
   1. die Wartung darf nur durch autorisiertes Personal erfolgen,jeder Wartungsvorgang darf nur mit Wissen und Wollen der speichernden Stelle erfolgen,die unbefugte Entfernung oder Übertragung personenbezogener Daten im Rahmen der Wartung ist zu verhindern,es ist sicherzustellen, dass alle Wartungsvorgänge kontrolliert und nach der Durchführung nachvollzogen werden können.
   ³Soweit eine Wartung durch Auftragsverarbeiter erfolgt, muss der Vertrag oder das Rechtsinstrument nach § 48 Absatz 5 Regelungen enthalten, die sicherstellen, dass der Auftragsverarbeiter keine personenbezogenen Daten, die ihm zur Kenntnis gelangen, an andere Stellen übermittelt. ⁴Die Durchführung von Wartungsarbeiten mit der Möglichkeit der Kenntniserlangung personenbezogener Daten durch Stellen außerhalb des Geltungsbereichs der Richtlinie (EU) 2016/680 ist nur zulässig, wenn sie erforderlich sind und bei einer Übermittlung die Voraussetzungen des § 64 oder 65 vorliegen.

English Machine Translated Version

Section 50 Requirements for the security of data processing

1. The controller and the processor shall implement appropriate technical and organisational measures to ensure a level of protection appropriate to the risk represented by the processing of personal data, in particular with regard to the processing of special categories of personal data, taking into account the state of the art, the cost of implementation, the nature, scope, context and purposes of the processing, as well as the likelihood and severity of the risks represented by the processing for the legal interests of the data subjects.
2. ¹The measures referred to in paragraph 1 may include, inter alia, pseudonymisation and encryption of personal data where such means are possible in view of the purposes of the processing. ²The measures referred to in paragraph 1 shall result in
   1. the confidentiality, integrity, availability and resilience of the systems and services related to the processing are ensured on an ongoing basis; and
   2. the availability of and access to personal data can be quickly restored in the event of a physical or technical incident.
3. ¹In the case of automated processing, the controller and processor shall, following a risk assessment, implement measures aimed at:
   1. Denying unauthorised persons access to processing equipment with which the processing is carried out (access control),
   2. Prevention of unauthorised reading, copying, modification, deletion or removal of data carriers (data carrier control),
   3. Prevention of unauthorised entry of personal data as well as unauthorised knowledge, modification and deletion of stored personal data (storage control),
   4. Preventing the use of automated processing systems with the aid of data transmission equipment by unauthorised persons (user control),
   5. Ensuring that those authorised to use an automated processing system have access only to the personal data covered by their access authorisation (access control),
   6. Ensure that it is possible to verify and establish to which bodies personal data have been or may be transmitted or made available by means of data transmission equipment (transmission control),
   7. Ensuring that it is possible to check and establish retrospectively which personal data have been entered or modified in automated processing systems, at what time and by whom (input control),
   8. Ensure that the confidentiality and integrity of data is protected during the transmission of personal data as well as during the transport of data carriers (transport control),
   9. Ensuring that deployed systems can be restored in the event of a malfunction (recoverability),
   10. Ensure that all functions of the system are available and that any malfunctions that occur are reported (reliability),
   11. Ensure that stored personal data cannot be damaged by system malfunctions (data integrity),
   12. Ensuring that personal data processed on behalf of the client can only be processed in accordance with the client’s instructions (order control),
   13. Ensure that personal data is protected against destruction or loss (availability control),
   14. Ensure that personal data collected for different purposes can be processed separately (separability).

²A suitable measure that contributes to the realisation of the purposes according to sentence 1 numbers 2 to 5 and 8 consists in the use of state-of-the-art encryption methods.

4. ¹Prior to a decision on the use or a substantial change of automated processing of personal data, the technical and organisational measures to be taken shall be determined on the basis of a risk analysis and documented in a data protection concept. ²The determination of the measures shall be repeated at appropriate intervals in accordance with technical developments and in the event of changes in the risks associated with the processing operations.
5. ¹Where systems and services used for automated processing are maintained, appropriate technical and organisational measures shall be taken to ensure that only personal data strictly necessary for the maintenance can be accessed. ²These measures shall in particular ensure the following:
   1. maintenance may only be carried out by authorised personnel,
   2. any maintenance operation may only be carried out with the knowledge and will of the storing entity,
   3. the unauthorised removal or transfer of personal data during maintenance shall be prevented,
   4. it must be ensured that all maintenance operations can be checked and traced after they have been carried out.

³Insofar as maintenance is carried out by processors, the contract or the legal instrument pursuant to Section 48(5) must contain provisions ensuring that the processor does not transfer any personal data that come to its knowledge to other entities. ⁴The performance of maintenance work with the possibility of personal data coming to the knowledge of bodies outside the scope of Directive (EU) 2016/680 is only permissible if it is necessary and, in the case of a transfer, the requirements of section 64 or 65 are met.