Auf Mastodon teilen

Antrag nach dem IFG/UIG/VIG Sehr geehrte Damen und Herren, bitte senden Sie mir Folgendes zu:

Sehr << Antragsteller:in >> ich komme zurück auf Ihre Anfrage hinsichtlich der Sicherheitsaspekte beim Qutsourcing von internen Dienstleistungen bei Mobilfunkanbietern. Vorab möchte ich Ihnen mitteilen, dass Sie versichert sein können, dass die Bundesnetzagentur dieses Thema sehr ernst nimmt und im Rahmen ihrer gesetzlichen Möglichkeiten auf die Einhaltung der Sicherheitsanforderungen hinwirkt. Zu Ihren Fragen kann ich Ihnen Folgendes mitteilen: 1. Betreiber von öffentlichen Telekommunikationsdiensten und Erbringer von öffentlichen Telekommunikationsdiensten unterliegen dem rechtlichen Sicherheitsregime des Telekommunikationsgesetzes (TKG), dort insbesondere der §§ 164 ff. TKG. Diese Vorschriften schränken die pflichtigen Unternehmen grundsätzlich nicht in der Inanspruchnahme von Dritten ein - die sich ggf. auch physisch in Drittstaaten aufhalten können. Primär öffentlich-rechtlich verantwortlich bleiben jedoch die bereits eingangs genannten Adressaten. In Erfüllung von Sicherheitsvorschriften haben diese Unternehmen daher geeignete und angemessene technische Vorkehrungen und sonstige Maßnahmen zum Schutz von Fernmeldegeheimnis, dem Datenschutz und der Funktionsfähigkeit der Dienste und des Netzes vorzuhalten. Die Schutzmaßnahmen haben sich aufenthaltsunabhängig auch auf etwaige Dritte zu erstrecken, sofern diese zum Betrieb des Netzes oder zur Erbringung der Dienste Inanspruch genommen werden. Das Gesetz sieht hier ausdrücklich auch Störungen durch äußere Angriffe und Einwirkung vor, vgl. insgesamt § 165 TKG. In diesem Zusammenhang haben die verpflichteten Telekommunikationsunternehmen in präventiver Hinsicht sicherheitskonzeptionelle Überlegungen anzustellen, für die das Gesetz besondere Strukturvorgaben vorsieht. Zu beachten sind hierbei die Anforderungen des Kataloges von Sicherheitsanforderungen, den die Bundesnetzagentur zusammen mit den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit erstellt. Der Katalog von Sicherheitsanforderungen wird kontinuierlich dem Stand der Technik und der Sicherheitslage angepasst. Der derzeitige Sicherheitskatalog ist unter www.bundesnetzagentur.de <http://www.bundesnetzagentur.de> abrufbar. Die erstellten Sicherheitskonzepte der verpflichteten Unternehmen sind der Bundesnetzagentur vorzulegen und werden hier inhaltlich und im Hinblick auf ihre tatsächliche Umsetzung geprüft. Stellt die Bundesnetzagentur Sicherheitsmängel fest, so kann sie verwaltungsrechtliche Anordnungen treffen, zur Durchsetzung Zwangsgelder von bis zu 1 Mio. Euro erlassen und in letzter Konsequenz auch den Dienst- oder Netzbetrieb untersagen. Der Bundesnetzagentur ist es jedoch aus naheliegenden Gründen nicht gestattet, den Inhalt einzelner Sicherheitskonzepte an Dritte weiterzugeben. Betreiber von öffentlicher Telekommunikationsnetzen mit erhöhtem Gefährdungspotenzial haben teilweise weiterführende Sicherheitsvorschriften zu beachten. Ua müssen sie sich turnusmäßig einer unabhängigen Prüfung unterziehen. 2. Die Umsetzung von Maßnahmen zur Überwachung der Telekommunikation gelten als besonders sensibel. Sie unterliegen daher besonders strengen Sicherheitsvorgaben. Sie ergeben sich im Einzelnen aus den §§ 170 ff. TKG i.V.m. der TKÜV. Insbesondere ergeben sich hier ausdrückliche Einschränkungen bei der Inanspruchnahme von Dritten und deren Aufenthalt: Die mit der Umsetzung von Überwachungsmaßnahmen betrauten Personen und die damit zusammenhängenden Tätigkeiten dürfen nur in Räumlichkeiten beim Verpflichteten oder dessen Erfüllungsgehilfen ausgeführt werden. Zudem gilt, dass die zu treffenden Vorkehrungen zur technischen und organisatorischen Umsetzung von Anordnungen, insbesondere die technischen Einrichtungen zur Steuerung der Überwachungsfunktionen und des Übergabepunktes einschließlich der zwischen diesen befindlichen Übertragungsstrecken, nach dem Stand der Technik gegen unbefugte Inanspruchnahme zu schützen sind. Die technischen Einrichtungen zur Steuerung der Überwachungsfunktionen und des Übergabepunktes sind in diesem Zusammenhang ausschließlich im Inland zu betreiben, vgl. §§ 8, 4 TKÜV. 3. In datenschutzrechtlicher Hinsicht ist jedes verantwortliche Unternehmen aufgerufen, seine Datenübermittlungen in Drittländer und die hierfür genutzte Grundlage an Kapitel V der DSGVO auszurichten (vgl. auch Schrems II – Urteil des EuGH (Urteil v. 16. Juli 2020, C-311/1). Rechtsfragen zur Auslegung der Datenschutz-Grundverordnung (DSGVO) bzw. des Bundesdatenschutzgesetzes (BDSG) möchten Sie bitte an den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit richten. Mit freundlichen Grüßen