Die Protokollierung der Nutzung von IT-Systemen ist keine Seltenheit mehr. Fast jedes IT-gestützte System zeichnet Unmengen von Daten permanent auf und speichert diese in Protokollen, dabei ist das Mitzeichnen nicht unbedingt rechtswidrig bzw. sogar Pflicht. Eine Pflicht zur Protokollierung ergibt sich nämlich nicht nur aus Datenschutzsicht, sondern auch aus Sicht der IT-Sicherheit. In der Regel werden hierbei die Protokolldaten bzw. Protokolldateien dazu genutzt, um Fehler in Systemen oder unerlaubte Aktivitäten feststellen zu können. Daher sollte insbesondere bei der Beschaffung von neuer Software darauf geachtet werden, dass diese Funktionalität vorhanden ist. Es sollten jedoch einige Aspekte, um insbesondere eine datenschutzgerechte Gestaltung zu gewährleisten, beachtet werden.

Protokolldateien, Logdaten oder Logfiles

Wenn man von Protokollierung spricht, werden häufig die Begriffe „Protokolldateien“, „Logdaten“ oder sogenannte „Logfiles“ genannt. Alle Begriffe beschreiben letztendlich das Gleiche: das Speichern von Aktivitäten bei der Nutzung von IT-Systemen. Dabei wird insbesondere erfasst, wer, wann, was an einem System unternommen bzw. vorgenommen hat. Bei den Aktivitäten handelt es sich beispielsweise um das Lesen, Ändern, Kopieren oder Löschen von Dateien. Dies wird im Zuge der Protokollierung weiterhin mit Informationen verknüpft, zu welchem Zeitpunkt und von welchem Nutzer die Aktivität ausgeführt wurde. In diesem Zusammenhang kann zwischen 3 Protokollarten unterschieden werden:

  1. Aktivitäten der Nutzer,
  2. Aktivitäten der IT-Systeme/der Maschinen z.B. zur Systemüberwachung oder
  3. Aktivitäten des System-Administrators z.B. bei Installation, Wartung und Änderung von Hard- und Software.

Die Protokollierung der Aktivitäten des Nutzers dürfte grundsätzlich der Verfahrensüberwachung dienen, wobei die Protokollierung der Maschinen sowie der Administratoren insbesondere der Systemüberwachung verhilft. Ziel der Aufzeichnungen ist es prüfen zu können, wer, wann, welche Dateien in welcher Form bearbeitet hat. Inhaltlich bestehen grundsätzlich die Anforderungen, dass anhand der Protokollierung Systemfehler, Manipulationen oder unbefugte Aktivitäten erkennbar sein sollen, dabei sollen laut § 76 BDSG – sowohl vom Verantwortliche als auch vom Auftragsverarbeiter – in automatisierten Verarbeitungssystemen mindestens folgende Verarbeitungsvorgänge protokolliert werden:

  • Erhebung,
  • Veränderung,
  • Abfrage,
  • Offenlegung einschließlich Übermittlung,
  • Kombination und
  • Löschung.

Die Protokollierung der oben aufgeführten Verarbeitungsvorgänge dürfte in der Regel genügen, um die Rechtmäßigkeit der Verarbeitung auch hinsichtlich anderer Verarbeitungsvorgänge prüfen zu können. Eine gesonderte Protokollierung der Speicherung dürfte zum Beispiel nicht erforderlich sein, weil sich der Umstand der Speicherung i. d. R. ergeben dürfte, wenn bekannt ist, welche Daten erhoben wurden und ob sie wieder gelöscht wurden.

Die Protokollierung dient jedoch nicht nur dem Datenschutz, sondern sollte auch seinen Anforderungen entsprechen. Es sollte hierbei unter anderem der Grundsatz der Datensparsamkeit beachtet werden und nur Daten aufgezeichnet werden, welche zur Erfüllung des Protokollierungszwecks erforderlich sind. Die Protokolldatei sollte insbesondere folgende Angaben enthalten:

  • Wer (für die Authentifizierung),
  • Wann (Uhrzeit / Zeitstempel),
  • Welche Aktivität (Eingabe und Modifikation),
  • an welchen Daten.

Neben dem Grundsatz der Datensparsamkeit reihen sich weitere Anforderungen des Datenschutzes ein, welche dringend beachtet werden sollten.

Datenschutzkonforme Protokollierung

Für die Protokollierung ist es zunächst egal, ob Zugriffe auf Dateien oder Server aufgezeichnet werden oder etwa Internet-Aktivitäten von Webseiten-Besuchern. Es sollten stets folgende Datenschutzgrundsätze beachtet werden, wenn Sie in Ihrem Unternehmen Protokolldaten erheben:

  • Zweckbindung: Bevor Protokolldaten aufgezeichnet werden, muss festgelegt werden, zu welchem Zweck die Protokollierung erfolgen soll. Gemäß § 76 Abs. 3 und 4 BDSG dürfen die Protokolle jedoch ausschließlich für die Überprüfung der Rechtmäßigkeit der Datenverarbeitung durch die Datenschutzbeauftragte oder den Datenschutzbeauftragten, die Bundesbeauftragte oder den Bundesbeauftragten und die betroffene Person sowie für die Eigenüberwachung, für die Gewährleistung der Integrität und Sicherheit der personenbezogenen Daten und für Strafverfahren verwendet werden. Art und Umfang der verfahrensorientierten Protokollierung der Benutzeraktivitäten dürften sich insbesondere auch aus bereichsspezifischen Regelungen ergeben, wie z. B. Melde- oder Polizeigesetzen.
  • Datensparsamkeit: Es dürfen nur solche personenbezogenen Daten erfasst und aufgezeichnet werden, welche für den Zweck erforderlich sind. (Grundsätzlich gilt hier: Je weniger, desto besser!)
  • Löschfristen: Protokolldaten sollten in regelmäßigen Abständen auch wieder gelöscht werden. Nach § 76 Abs. 4 BDSG sollte nach Zweckerfüllung, spätestens am Ende des auf deren Generierung folgenden Jahres eine Löschung der Daten erfolgen. Eine Aufzeichnung auf Vorrat ist unzulässig!
  • Manipulationssicher: Protokolldaten sollten nicht nachträglich willkürlich veränderbar sein, sodass eine entsprechende Beweislast gewährleistet werden kann.
  • Anonymisierung: Sofern umfangreiche Datensammlungen bei der Protokollierung betroffen sind, sollte eine Anonymisierung bzw. Pseudonymisierung der Daten erfolgen.

Zur Schaffung von klaren Regelungen wäre somit die Bearbeitung eines Protokollierungskonzeptes anzuraten, in dem unter anderem auch geregelt wird, wer Zugriff auf Protokolldaten erhält und wann eine Auswertung dieser Daten erfolgen darf. Die Anforderungen des Datenschutzes sollte der Datenschutzbeauftragte, im Zuge seiner Prüfung im Unternehmen, immer im Auge behalten. Datenschutz sollte hier nicht als beschwerliche Aufgabe angesehen werden, sondern vielmehr als Vorteil für Unternehmen die Unternehmensdaten effektiv zu schützen, um insbesondere langfristig auf dem Markt erfolgreich zu bleiben. Der Datenschutz legt damit vielmehr den Grundstein für den Schutz – auch von Unternehmensdaten – vor beispielsweise dem unbefugten Zugriff fest. Binden Sie daher Ihren Datenschutzbeauftragten unbedingt in den Prozess der Protokollierung oder in die Planung neuer Protokollierungssoftware mit ein!

Ähnliche Beiträge