TOMs im Notariat: So setzen Sie Datenschutz sicher um

TOMs im Notariat übersetzen die allgemeinen Datenschutzpflichten in konkrete Anforderungen an Technik, Organisation und Personal. Die seit Sommer 2022 vom Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) genehmigten Verhaltensregeln der Bundesnotarkammer bieten dafür einen praxisnahen Rahmen. Sie helfen Ihnen, Schutzmaßnahmen risikogerecht auszuwählen, nachvollziehbar zu dokumentieren und regelmäßig auf ihre Wirksamkeit zu prüfen.

Das Wichtigste in Kürze

• Die Verhaltensregeln konkretisieren die Anforderungen aus Art. 32 DSGVO für die Datenverarbeitung im Notariat.
• Sie unterscheiden zwingende Vorgaben, Soll-Vorschriften mit Abweichungsmöglichkeit und unverbindliche Empfehlungen.
• Verschlüsselung, Zugriffsschutz, sichere Systeme und überprüfbare Datensicherungen bilden zentrale Bestandteile des Schutzkonzepts.
• Die Umsetzung erfordert regelmäßige Kontrollen, aktuelle Dokumentation und qualifizierte Mitarbeitende.

Warum brauchen TOMs im Notariat einen eigenen Rahmen?

Notarinnen und Notare benötigen konkrete Orientierung, weil Art. 32 DSGVO das erforderliche Sicherheitsniveau beschreibt, aber keine vollständige technische Anleitung liefert. Verantwortliche müssen geeignete technische und organisatorische Maßnahmen treffen. Dabei berücksichtigen sie den Stand der Technik, die Implementierungskosten und die Eintrittswahrscheinlichkeit von Risiken.

Diese Abwägung lässt praktische Fragen offen: Welche Verschlüsselung benötigen mobile Datenträger? Wie schützen Sie Server vor unbefugtem Zutritt? Welche Vorkehrungen sichern den Betrieb nach einem technischen Ausfall? Ohne IT-Fachwissen können Verantwortliche die Angemessenheit einzelner Lösungen nur schwer beurteilen.

Die Bundesnotarkammer hat deshalb Verhaltensregeln für die besonderen Abläufe im Notariat erarbeitet. Sie ordnen die Anforderungen in fünf Bereiche: Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Kontrolle. Damit erhalten Sie einen strukturierten Prüfrahmen, statt einzelne Sicherheitsmaßnahmen ohne Gesamtzusammenhang auszuwählen.

Welche Bedeutung haben die Genehmigung und die Regelungsstufen?

Die Genehmigung nach Art. 40 Abs. 5 Satz 2 DSGVO stärkt die Bedeutung der Verhaltensregeln, macht sie aber nicht zu einem Gesetz. Ihre Einhaltung kann die Beurteilung und den Nachweis angemessener Schutzmaßnahmen erheblich erleichtern. Die im Quellbeitrag beschriebene Selbstbindung der Aufsichtsbehörde sollten Sie nicht als pauschale Freistellung von sämtlichen Datenschutzpflichten verstehen. Die Regeln betreffen einen bestimmten Ausschnitt der datenschutzrechtlichen Anforderungen.

Für die Umsetzung müssen Sie außerdem die jeweilige Verbindlichkeit beachten:

• Muss-Vorgaben und Verbote: Innerhalb der Verhaltensregeln ist keine Abweichung vorgesehen.
• Soll-Vorgaben: Ein begründetes Abweichen ist möglich, wenn ein gleichwertiges Schutzniveau gewahrt bleibt.
• Empfehlungen: Sie beschreiben zusätzliche, unverbindliche Möglichkeiten zur Ausgestaltung des Schutzes.

Diese Unterscheidung verhindert zwei Fehler: Empfehlungen dürfen nicht ohne Weiteres als zwingende Pflichten dargestellt werden. Umgekehrt dürfen Sie Soll-Vorgaben nicht wie beliebige Vorschläge behandeln. Halten Sie bei abweichenden Lösungen nachvollziehbar fest, wie Sie das erforderliche Schutzniveau erreichen.

Welche Verschlüsselung verlangen die Verhaltensregeln?

Mobile Speichermedien müssen nach dem Stand der Technik verschlüsselt sein, sobald sie die Geschäftsstelle verlassen. Für stationäre Systeme wie Server und Arbeitsplatzrechner empfehlen die Verhaltensregeln eine Verschlüsselung. Sie unterscheiden damit ausdrücklich zwischen einer zwingenden Anforderung und einer Empfehlung.

Die Website der Notarstelle muss mindestens eine Transportverschlüsselung besitzen. Auf WLAN für Bürotätigkeiten sollen Sie verzichten. Ist dessen Nutzung erforderlich, muss die Verbindung verschlüsselt sein. Prüfen Sie deshalb nicht nur einzelne Geräte, sondern auch die tatsächlich genutzten Übertragungswege.

Verschlüsselung schützt damit unterschiedliche Situationen: den Transport von Daten über Netzwerke und den Umgang mit mobilen Datenträgern. Eine allgemeine Einordnung bietet unser Beitrag zum sicheren Datentransfer nach der DSGVO. Für die konkrete Umsetzung im Notariat bleibt die jeweilige Regelungsstufe entscheidend.

Wie schützen Sie vertrauliche Daten vor unbefugtem Zugriff?

Vertraulichkeit erfordert abgestimmte Zutritts-, Zugangs- und Zugriffskontrollen. Sie müssen sowohl die Räume und Geräte als auch Benutzerkonten und Berechtigungen betrachten. Eine technische Absicherung allein genügt nicht, wenn Unbefugte Bildschirme einsehen oder Datenträger mitnehmen können.

Räume, Bildschirme und Datenträger

Der Serverraum soll nicht für den Publikumsverkehr zugänglich sein. Mobile Speichermedien müssen Sie bei Nichtgebrauch so aufbewahren, dass sie vor Gelegenheitsdiebstahl geschützt sind. Bildschirme müssen gegen unbefugte Einblicke abgesichert werden, beispielsweise durch Blickschutzfolien. Vor der Entsorgung eines Datenträgers sind sämtliche Daten sorgfältig zu löschen.

Passwörter, Konten und Berechtigungen

Für unterschiedliche Anwendungen müssen unterschiedliche Passwörter verwendet werden. Passwörter dürfen nicht weitergegeben werden. Besteht der Verdacht, dass Unbefugte ein Passwort kennen, muss es sofort geändert werden.

Accounts ausgeschiedener Mitarbeitender sind unverzüglich zu deaktivieren. Benutzerrechte richten sich nach dem Minimalprinzip: Beschäftigte erhalten nur die Rechte, die sie für ihre Aufgaben benötigen. Ein Rechte- und Rollenkonzept ist empfehlenswert. Es erleichtert Ihnen, Berechtigungen nachvollziehbar zuzuordnen und bei personellen Veränderungen zu überprüfen.

Welche Maßnahmen sichern die Integrität der Systeme?

Die Integrität verlangt technische Schutzvorkehrungen gegen Schadsoftware und andere Beeinträchtigungen sowie einen sicheren Umgang mit den Systemen. Die Verhaltensregeln sehen dafür eine sachgerecht konfigurierte Firewall, eine Netzwerksegmentierung, beispielsweise mittels VLAN, und aktuellen Virenschutz auf allen relevanten Systemen vor.

E-Mails müssen bereits vor ihrer Zustellung technisch auf Spam und Schadsoftware untersucht werden. Sicherheits-Updates sind regelmäßig durchzuführen. Das betrifft nicht nur Betriebssysteme, sondern auch Browser, Notarsoftware und Router. Private Mitarbeitergeräte dürfen nicht zur Verarbeitung personenbezogener Daten der Beteiligten verwendet werden.

Zusätzlich muss die Notarin beziehungsweise der Notar das Personal im erforderlichen Umfang zu IT-Sicherheit und Datenschutz qualifizieren. Schulungen sollen insbesondere den Umgang mit verdächtigen E-Mail-Anhängen, fremden Speichermedien und Downloads aus dem Internet abdecken. Technische Filter und geschulte Mitarbeitende ergänzen sich dabei.

Wie gewährleisten Sie die Verfügbarkeit Ihrer Daten?

Ein dokumentiertes Backup-Konzept und ein Notfallkonzept bilden die Grundlage für die Verfügbarkeit. Die Verhaltensregeln verlangen eine Datensicherung nach der 3-2-1-Regel:

• Es bestehen drei Kopien der Daten.
• Die Kopien liegen auf mindestens zwei verschiedenen Medien.
• Ein Backupmedium befindet sich an einem externen Standort.

Das Vorhandensein einer Sicherung allein reicht nicht aus. Backups müssen regelmäßig auf Vollständigkeit und Wiederherstellbarkeit geprüft werden. Erst diese Kontrolle zeigt, ob Sie die benötigten Daten im Ernstfall tatsächlich zurückerhalten können.

Ergänzend müssen Sie ein Notfallkonzept erstellen. Es legt klare Zuständigkeiten für einen Zwischenfall fest. Datensicherung und Notfallorganisation erfüllen unterschiedliche Aufgaben: Das Backup sichert die Datenbasis, das Notfallkonzept ordnet die Verantwortung für das weitere Vorgehen.

Wie organisieren Sie die regelmäßige Kontrolle?

Die Einhaltung der Verhaltensregeln muss turnusmäßig kontrolliert werden. Damit konkretisieren die Regeln das in Art. 32 Abs. 1 lit. d) DSGVO vorgesehene Verfahren zur regelmäßigen Überprüfung der Schutzmaßnahmen.

Empfohlen wird eine enge Zusammenarbeit mit Ihrem IT-Dienstleisterunternehmen und Ihrer oder Ihrem Datenschutzbeauftragten. Ein physischer Rundgang durch die Geschäftsstelle soll sämtliche Elemente der Umsetzung erfassen. Dabei lassen sich organisatorische Vorgaben mit den tatsächlichen Arbeitsbedingungen abgleichen.

Zusätzlich sollen ein Netzwerkplan und eine Dokumentation der IT-Infrastruktur vorliegen. Ohne aktuelle Unterlagen können Sie nur schwer beurteilen, welche Systeme vorhanden sind und wo Schutzmaßnahmen greifen. Dokumentation unterstützt deshalb nicht nur den Nachweis, sondern auch die praktische Kontrolle Ihrer Sicherheitsorganisation.

Was das für Ihr Unternehmen bedeutet

Für Notarinnen und Notare in Deutschland bieten die Verhaltensregeln einen konkreten Rahmen, um ihre Pflichten aus Art. 32 DSGVO umzusetzen. Wenn Sie eine Notarstelle organisatorisch begleiten, den Datenschutz betreuen oder IT-Leistungen erbringen, können Sie daraus eine gemeinsame Prüfliste für Zuständigkeiten und Maßnahmen ableiten.

Aus unserer Sicht empfiehlt sich für die nächsten Wochen ein strukturierter Soll-Ist-Abgleich. Erfassen Sie zunächst Systeme, Datenträger und Benutzerkonten. Prüfen Sie anschließend Verschlüsselung, Berechtigungen und Datensicherung. Dokumentieren Sie Abweichungen und klären Sie mit den zuständigen Personen, welche Maßnahmen erforderlich sind. Beziehen Sie auch die Schulung des Personals und die Wiederherstellungsprüfung ein.

Für andere kleine und mittlere Unternehmen in Deutschland und der EU liegt die Chance vor allem in der methodischen Orientierung. Die notariatsspezifischen Vorgaben sind jedoch nicht automatisch deren eigener Pflichtenkatalog. Offen bleibt im Quellbeitrag, welcher personelle und finanzielle Aufwand für unterschiedliche Ausgangslagen entsteht. Nach unserer Einschätzung müssen Sie diesen Aufwand anhand Ihrer vorhandenen Infrastruktur gesondert bewerten.

Beginnen Sie mit einer dokumentierten Bestandsaufnahme und ordnen Sie jede relevante Vorgabe der passenden Regelungsstufe zu. Legen Sie anschließend Verantwortlichkeiten für offene Maßnahmen fest und planen Sie die nächste Überprüfung ein.

(Quelle: https://www.dr-datenschutz.de/toms-im-notariat-pflichten-regeln-und-umsetzung/)

Mehr zum Thema: alle Beiträge in der Rubrik Datenschutz und DSGVO. Fragen zur Umsetzung in Ihrem Unternehmen beantworten wir gern: Nehmen Sie Kontakt auf.

FAQ