Die Bundesnotarkammer hat Verhaltensregeln zu technischen und organisatorischen Maßnahmen (TOMs) im Notariat erarbeitet, die seit Sommer 2022 vom Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) genehmigt sind. Dieser Beitrag zeigt, welche konkreten Anforderungen die Verhaltensregeln an die TOMs im Notariat stellen und warum sie für Notarinnen und Notare eine wertvolle Orientierung in Datenschutzfragen bieten.
Warum braucht das Notariat eigene Verhaltensregeln zu TOMs?
Art. 32 DSGVO verpflichtet jeden Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei sind der Stand der Technik, die Implementierungskosten und die Eintrittswahrscheinlichkeit von Risiken zu berücksichtigen. Der Gesetzgeber belässt es jedoch bei allgemeinen Abwägungskriterien.
Gerade für Notarinnen und Notare, die keine IT-Fachleute sind, ergibt sich daraus eine erhebliche Unsicherheit bei der Umsetzung. Welche Verschlüsselung ist ausreichend? Wie muss der Serverraum gesichert sein? Genügt eine einfache Firewall? Die Verhaltensregeln der Bundesnotarkammer schließen diese Lücke, indem sie konkrete, praxistaugliche Vorgaben formulieren.
Die Genehmigung durch den BfDI nach Art. 40 Abs. 5 S. 2 DSGVO verleiht den Regeln zusätzliches Gewicht: Zwar haben sie keinen normativen Charakter, doch ist von einer erheblichen Beweiserleichterung zugunsten der Person auszugehen, die sie einhält. Zudem bindet sich die Aufsichtsbehörde durch die Genehmigung selbst: Eine Verarbeitung, die im Einklang mit den genehmigten Verhaltensregeln steht, kann nicht beanstandet werden. Vertiefende Informationen über die sog. Verhaltensregeln finden Sie in diesem Beitrag.
Welche konkreten TOMs gelten im Notariat?
Die Verhaltensregeln orientieren sich an der Struktur des Art. 32 Abs. 1 DSGVO und gliedern sich in fünf Bereiche: Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Kontrolle. Sie unterscheiden dabei drei Regelungsebenen:
- Verbindliche Regelungen ohne Abweichungsmöglichkeit („muss“ / „darf nicht“)
- Verbindliche Regelungen mit Abweichungsmöglichkeit („soll“ / „soll nicht“)
- Unverbindliche Empfehlungen („empfehlenswert“)
Im Bereich der Verschlüsselung gilt etwa: Mobile Speichermedien, die die Geschäftsstelle verlassen, müssen nach dem Stand der Technik verschlüsselt sein. Für stationäre Systeme wie Server und Arbeitsplatzrechner wird dies empfohlen. Die Website der Notarstelle muss mindestens über eine Transportverschlüsselung verfügen. Auf WLAN für Bürotätigkeiten soll verzichtet werden; ist die Nutzung erforderlich, muss es verschlüsselt sein.
Besonders detailliert sind die Vorgaben zur Vertraulichkeit. Sie umfassen Zutritts-, Zugangs- und Zugriffskontrolle. Einige zentrale Anforderungen im Überblick:
- Der Serverraum soll nicht für den Publikumsverkehr zugänglich sein
- Mobile Speichermedien müssen bei Nichtgebrauch vor Gelegenheitsdiebstahl geschützt aufbewahrt werden
- Für unterschiedliche Anwendungen müssen unterschiedliche Passwörter verwendet werden
- Passwörter dürfen nicht weitergegeben und müssen bei Verdacht auf unbefugte Kenntnisnahme sofort geändert werden
- Accounts ausgeschiedener Mitarbeitender sind unverzüglich zu deaktivieren
- Benutzerrechte folgen dem Minimalprinzip; ein Rechte- und Rollenkonzept ist empfehlenswert
- Bildschirme müssen vor neugierigen Blicken geschützt werden, etwa durch Blickschutzfolien
- Vor der Entsorgung eines Datenträgers müssen alle Daten sorgfältig gelöscht werden
Wie sind Integrität und Verfügbarkeit sicherzustellen?
Im Bereich der Integrität verlangen die Verhaltensregeln eine sachgerecht konfigurierte Firewall, eine Netzwerksegmentierung (z. B. mittels VLAN) und ein aktuelles Virenschutzprogramm auf allen relevanten Systemen. E-Mails müssen bereits vor der Zustellung mittels technischer Vorkehrungen auf Spam und Schadsoftware untersucht werden. Sicherheits-Updates für Betriebssysteme, Browser, Notarsoftware und Router sind regelmäßig durchzuführen. Private Mitarbeitergeräte dürfen nicht zur Verarbeitung personenbezogener Daten der Beteiligten verwendet werden.
Besonderes Augenmerk liegt auf der Sensibilisierung der Mitarbeitenden: Die Notarin bzw. der Notar muss das Personal im erforderlichen Umfang zu IT-Sicherheit und Datenschutz qualifizieren. Dazu gehört die Schulung im Umgang mit verdächtigen E-Mail-Anhängen, fremden Speichermedien und dem Download von Dateien aus dem Internet.
Für die Verfügbarkeit schreiben die Regeln ein dokumentiertes Backup-Konzept nach der 3-2-1-Regel vor: drei Kopien der Daten auf mindestens zwei verschiedenen Medien, wobei sich ein Backupmedium an einem externen Standort befinden muss. Backups sind regelmäßig auf Vollständigkeit und Wiederherstellbarkeit zu prüfen. Ergänzend ist ein Notfallkonzept zu erstellen, das klare Zuständigkeiten für den Zwischenfall definiert.
Welche Rolle spielt die turnusmäßige Kontrolle der TOMs im Notariat?
Die Verhaltensregeln erschöpfen sich nicht in der einmaligen Umsetzung. Art. 32 Abs. 1 lit. d) DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung. Konkret bedeutet das:
Die Einhaltung der Verhaltensregeln muss turnusmäßig kontrolliert werden. Empfohlen wird eine enge Zusammenarbeit mit dem IT-Dienstleisterunternehmen und der oder dem Datenschutzbeauftragten. Ein physischer Rundgang durch die Geschäftsstelle soll sämtliche Elemente überprüfen. Ergänzend sollen ein Netzwerkplan und eine Dokumentation der IT-Infrastruktur vorgehalten werden.
Gerade dieser letzte Punkt wird in der Praxis häufig unterschätzt. Ohne eine aktuelle Dokumentation fehlt die Grundlage für eine wirksame Kontrolle. Wer seine IT-Landschaft nicht kennt, kann deren Sicherheit nicht bewerten.
Verhaltensregeln schaffen Orientierung und Sicherheit
Die genehmigten Verhaltensregeln zu TOMs im Notariat bieten Notarinnen und Notaren einen strukturierten, praxisnahen Rahmen für die Umsetzung der Anforderungen aus Art. 32 DSGVO. Sie schaffen Rechtssicherheit, weil ihre Einhaltung zu einer erhebliche Beweiserleichterung führt und eine Selbstbindung der Aufsichtsbehörde begründet. Gleichzeitig gewährleisten sie den Bürgerinnen und Bürgern ein verbindliches, einheitliches und hohes Sicherheitsniveau bei der Verarbeitung ihrer Daten.
Die drei Regelungsebenen ermöglichen dabei eine differenzierte Anwendung: Strenge Pflichten bestehen dort, wo der Schutz zwingend erforderlich ist; Soll-Vorschriften erlauben ein begründetes Abweichen, sofern das Schutzniveau gleichwertig gewahrt bleibt. Wer die Verhaltensregeln kennt und systematisch umsetzt, ist für Geschäftsprüfungen gut aufgestellt und reduziert das Risiko datenschutzrechtlicher Beanstandungen erheblich. In Abgrenzung zu den Anforderungen im Notariat erläutert dieser Fachbeitrag die Anforderungen im Allgemeinen.
