Datenschutz und Protokolldaten

An vielen Stellen schreibt die DSGVO eine Protokollierung vor. Protokolldaten sind ein wichtiger Bestandteil technisch-organisatorischer Maßnahmen (Art. 32 DSGVO). Zu beachten ist dabei aber, dass Protokolldaten selbst personenbezogenen Daten und damit datenschutzrechtlich zu schützen sind.

Zweck von Protokolldaten

Die Aufzeichnung von Protokolldaten findet statt, um nachvollziehen zu können, wer wann zu etwas Zugriff hatte, zu dem der Zugriff reglementiert werden muss. Das kann der Zugriff zu Gefahrenstoffen genauso wie zu einem elektronischen System mit sensiblen Daten oder Schlicht der Zugang zu einem Gebäude mit einem Transponder für Mitarbeiter sein.

Kommt es dann zu Ungereimtheiten, kann schnell geklärt werden, wer zuletzt Zugriff hatte. Im Datenschutz geht es dann besonders darum, unberechtigte Zugriffe oder Schwachstellen auszumachen.

Im Rahmen von Art. 32 I DSGVO stellen die Protokolldaten technisch-organisatorische Maßnahmen zur Sicherheit der Verarbeitung dar. Kommt es zu einer Datenpanne physischer oder technischer Art, kann ermittelt werden, wer zuletzt Zugriff hatte. Dieser ist oft der Schlüssel zur Wiederherstellung des Zugangs zu den personenbezogenen Daten, zB wenn es sich um ein Versehen eines Mitarbeiters handelt.

Protokolldaten als personenbezogenen Daten

Daraus, dass Protokolldaten abbilden, wer wann auf was Zugriff hatte, ergibt sich aber auch, dass Protokolldaten selbst personenbezogene Daten sind. Damit unterliegen auch sie dem Schutz der DSGVO.

Erhebung

Wenn es darum geht, wie Protokolldaten erhoben werden, trifft § 76 I BDSG Regelungen. Demnach müssen in automatisierten Verarbeitungssystemen die Verarbeitungsvorgänge Erhebung, Veränderung, Abfrage, Offenlegung einschließlich Übermittlung, Kombination und Löschung protokolliert werden. Für die Erhebung der Protokolldaten, die die in § 76 I BDSG aufgeführten Daten enthalten, braucht es aber wiederum eine Rechtsgrundlage zB aus der DSGVO.

Löschung

Diese sind Daten am Ende des auf deren Generierung folgenden Jahres zu löschen (§ 76 IV BDSG). Nach dem Grundsatz der Zweckbindung erfolgt eine Löschung auch schon früher, wenn der Verarbeitungszweck entfällt.

Grundsätze für die Verarbeitung personenbezogener Daten

Alle weiteren Grundsätze der DSGVO zur Verarbeitung personenbezogener Daten (Art. 5 DSGVO) gelten natürlich auch für Protokolldaten. So dürfen nur diese Daten erhoben werden, die auch erforderlich sind (Datensparsamkeit). Außerdem sind Protokolldaten stets vor Verlust, Zerstörung, Manipulation und unberechtigtem Zugriff zu schützen (Integrität und Vertraulichkeit).