Dieses Dokument legt Anforderungen fest und bietet eine Leitlinie für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Managementsystems für Informationen zum Datenschutz , englisch: Privacy Information Management System (PIMS) in Form einer Erweiterung der DIN EN ISO/IEC 27001 und DIN EN ISO/IEC 27002 für das Datenschutzmanagement im Kontext der Organisation.

Dieses Dokument legt die PIMS-bezogenen Anforderungen fest und bietet eine Leitlinie für verantwortliche Stellen und Auftragsverarbeiter, die für die Verarbeitung von personenbezogenen Daten verantwortlich und rechenschaftspflichtig sind. Dieses Dokument ist auf alle Arten und Größen von Organisationen, einschließlich öffentlicher und privater Unternehmen, öffentlicher Stellen und gemeinnütziger Organisationen, anwendbar, die verantwortliche Stellen und/oder Auftragsverarbeiter im Rahmen eines ISMS sind.

Inhalt

Europäisches Vorwort
Vorwort
Einleitung

1 Anwendungsbereich

2 Normative Verweisungen

3 Begriffe

• gemeinsame verantwortliche Stelle
• Managementsystem für Datenschutzinformationen ; en: privacy information management system (PIMS)

Vermerk: vgl. DIN EN ISO/IEC 27018, DIN EN ISO/IEC 29100

4 Allgemeines

4.1 Aufbau dieses Dokuments
4.2 Anwendung der Anforderungen von ISO/IEC 27001:2013
4.3 Anwendung der Leitlinien von ISO/IEC 27002:2013
4.4 Kunde

5 PIMS-spezifische Anforderungen in Bezug auf ISO/IEC 27001

5.1 Allgemeines

5.2 Kontext der Organisation

5.2.1 Verstehen der Organisation und ihres Kontextes
5.2.2 Verstehen der Erfordernisse und Erwartungen der interessierten Parteien
5.2.3 Festlegung des Anwendungsbereichs des Informationssicherheitsmanagementsystems
5.2.4 Managementsystem für Informationssicherheit

5.3 Führung

5.3.1 Führung und Verpflichtung
5.3.2 Politik
5.3.3 Organisatorische Rollen, Verantwortlichkeiten und Befugnisse

5.4 Planung

5.4.1 Aktionen zum Umgang mit Risiken und Chancen
5.4.2 Informationssicherheitsziele und Planung zu deren Erreichung

5.5 Unterstützung

5.5.1 Ressourcen
5.5.2 Kompetenz
5.5.3 Bewusstsein
5.5.4 Kommunikation
5.5.5 Dokumentierte Information

5.6 Betrieb

5.6.1 Betriebliche Planung und Steuerung
5.6.2 Beurteilung von Informationssicherheitsrisiken
5.6.3 Informationssicherheitsrisikobehandlung

5.7 Bewertung der Leistung

5.7.1 Überwachung, Messung, Analyse und Bewertung
5.7.2 Internes Audit
5.7.3 Managementbewertung

5.8 Verbesserung

5.8.1 Nichtkonformität und Korrekturmaßnahmen
5.8.2 Fortlaufende Verbesserung

6 PIMS-spezifische Leitlinien in Bezug auf ISO/IEC 27002

6.1 Allgemeines

6.2 Informationssicherheitsrichtlinien

6.2.1 Vorgaben der Leitung für Informationssicherheit

6.3 Organisation der Informationssicherheit

6.3.1 Interne Organisation
6.3.2 Mobilgeräte und Telearbeit

6.4 Personalsicherheit

6.4.1 Vor Beginn eines Anstellungsverhältnisses
6.4.2 Während des Anstellungsverhältnisses
6.4.3 Beendigung und Änderung des Anstellungsverhältnisses

6.5 Verwaltung der Werte

6.5.1 Verantwortlichkeit für Werte
6.5.2 Informationsklassifizierung
6.5.3 Handhabung von Datenträgern

6.6 Zugangssteuerung

6.6.1 Geschäftsanforderungen an die Zugangsteuerung
6.6.2 Benutzerzugangsverwaltung
6.6.3 Benutzerverantwortlichkeiten
6.6.4 Zugangssteuerung für Systeme und Anwendungen

6.7 Kryptographie

6.7.1 Kryptographische Maßnahmen

6.8 Physische und umgebungsbezogene Sicherheit

6.8.1 Sicherheitsbereiche
6.8.2 Geräte und Betriebsmittel

6.9 Betriebssicherheit

6.9.1 Betriebsabläufe und -verantwortlichkeiten
6.9.2 Schutz vor Schadsoftware
6.9.3 Datensicherung
6.9.4 Protokollierung und Überwachung
6.9.5 Steuerung von Software im Betrieb
6.9.6 Handhabung technischer Schwachstellen
6.9.7 Überlegungen für Audits von Informationssystemen

6.10 Kommunikationssicherheit

6.10.1 Netzwerksicherheitsmanagement
6.10.2 Informationsübertragung

6.11 Anschaffung, Entwicklung und Instandhaltung von Systemen

6.11.1 Sicherheitsanforderungen an Informationssysteme
6.11.2 Sicherheit in Entwicklungs- und Unterstützungsprozessen
6.11.3 Testdaten

6.12 Lieferantenbeziehungen

6.12.1 Informationssicherheit in Lieferantenbeziehungen
6.12.2 Steuerung der Dienstleistungserbringung von Lieferanten

6.13 Handhabung von Informationssicherheitsvorfällen

6.13.1 Handhabung von Informationssicherheitsvorfällen und -verbesserungen

6.14 Informationssicherheitsaspekte beim Business Continuity Management

6.14.1 Aufrechterhalten der Informationssicherheit
6.14.2 Redundanzen

6.15 Einhaltung

6.15.1 Einhaltung gesetzlicher und vertraglicher Anforderungen
6.15.2 Überprüfungen der Informationssicherheit

7 Zusätzliche Leitlinie für verantwortliche Stellen nach ISO/IEC 27002

7.1 Allgemeines

7.2 Bedingungen für die Erhebung und Verarbeitung

7.2.1 Identifizieren und Dokumentieren des Zwecks
7.2.2 Identifizieren der rechtmäßigen Grundlage
7.2.3 Bestimmen, wann und wie die Einwilligung einzuholen ist
7.2.4 Einholung und Aufzeichnung der Einwilligung
7.2.5 Datenschutz-Folgenabschätzung
7.2.6 Verträge mit Auftragsverarbeitern
7.2.7 Gemeinsame verantwortliche Stelle
7.2.8 Aufzeichnungen im Zusammenhang mit der Verarbeitung von personenbezogenen Daten

7.3 Verpflichtungen gegenüber betroffenen Personen

7.3.1 Bestimmung und Erfüllung von Verpflichtungen gegenüber betroffenen Personen
7.3.2 Bestimmen von Informationen für betroffene Personen
7.3.3 Bereitstellen von Informationen für betroffene Personen
7.3.4 Bereitstellung eines Mechanismus zur Änderung oder zum Widerruf der Einwilligung
7.3.5 Bereitstellung eines Mechanismus zur Ablehnung der Verarbeitung personenbezogener Daten
7.3.6 Zugriff, Korrektur und/oder Löschung
7.3.7 Verpflichtungen von verantwortlichen Stellen, Dritte zu informieren
7.3.8 Bereitstellung einer Kopie der verarbeiteten personenbezogenen Daten
7.3.9 Handhabung von Anfragen
7.3.10 Automatisierte Entscheidungsfindung

7.4 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

7.4.1 Beschränkte Erhebung
7.4.2 Beschränkte Verarbeitung
7.4.3 Genauigkeit und Qualität
7.4.4 Ziele der Sparsamkeit personenbezogener Daten
7.4.5 Entpersonalisierung personenbezogener Daten und Löschung am Ende der Verarbeitung
7.4.6 Temporäre Dateien
7.4.7 Aufbewahrung
7.4.8 Entsorgung
7.4.9 Maßnahmen zur Übertragung personenbezogener Daten

7.5 Weitergabe, Übertragung und Offenlegung von personenbezogenen Daten

7.5.1 Ermittlung der Grundlage für die Übertragung von personenbezogenen Daten zwischen Rechtssystemen
7.5.2 Länder und internationale Organisationen, an die personenbezogene Daten übertragen werden können
7.5.3 Aufzeichnungen über die Übertragung von personenbezogenen Daten
7.5.4 Aufzeichnungen der Offenlegung von personenbezogenen Daten für Dritte

8 Zusätzliche Leitlinie für Auftragsverarbeiter nach ISO/IEC 27002

8.1 Allgemeines

8.2 Bedingungen für die Erhebung und Verarbeitung

8.2.1 Kundenvereinbarung
8.2.2 Ziele der Organisation
8.2.3 Verwendung für Marketing und Werbung
8.2.4 Verstoßende Anweisung
8.2.5 Kundenverpflichtungen
8.2.6 Aufzeichnungen im Zusammenhang mit der Verarbeitung von personenbezogenen Daten

8.3 Verpflichtungen gegenüber betroffenen Personen

8.3.1 Verpflichtungen gegenüber betroffenen Personen

8.4 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

8.4.1 Temporäre Dateien
8.4.2 Rückgabe, Übertragung oder Entsorgung von personenbezogenen Daten
8.4.3 Maßnahmen zur Übertragung personenbezogener Daten

8.5 Weitergabe, Übertragung und Offenlegung von personenbezogenen Daten

8.5.1 Grundlage für die Übertragung von personenbezogenen Daten zwischen Rechtssystemen
8.5.2 Länder und internationale Organisationen, an die personenbezogene Daten übertragen werden können
8.5.3 Aufzeichnungen der Offenlegung von personenbezogenen Daten für Dritte
8.5.4 Benachrichtigung über Anträge auf Offenlegung von personenbezogenen Daten
8.5.5 Rechtsverbindliche Offenlegung von personenbezogenen Daten
8.5.6 Offenlegung von Unterauftragnehmern, die zur Verarbeitung von personenbezogenen Daten eingesetzt werden
8.5.7 Einschaltung eines Unterauftragnehmers mit der Verarbeitung von personenbezogenen Daten
8.5.8 Wechsel des Unterauftragnehmers zur Verarbeitung von personenbezogenen Daten

Anhang A (normativ) PIMS-spezifische Referenzmaßnahmenziele und -Maßnahmen (verantwortliche Stelle)

Anhang B (normativ) PIMS-spezifische Referenzmaßnahmenziele und -Maßnahmen (Auftragsverarbeiter)

Anhang C (informativ) Zuordnung zu DIN EN ISO/IEC 29100

Anhang D (informativ) Zuordnung zur Datenschutz-Grundverordnung

Anhang E (informativ) Zuordnung zu DIN EN ISO/IEC 27018 und DIN EN ISO/IEC 29151

Anhang F (informativ) Anwendung von ISO/IEC 27701 auf ISO/IEC 27001 und ISO/IEC 27002

F.1 Anwendung dieses Dokuments
F.2 Beispiel für die Präzisierung von Sicherheitsnormen

Literaturhinweise