DatenschutzDSGVO-Konformität erreichen
Datenschutz muss Teil der Arbeitsorganisation in Verwaltungen werden. Das hat der erste Teil dieses Beitrags gezeigt. Im Folgenden werden nun Schritte aufgezeigt, die zur Herstellung der DSGVO-Konformität einer Verwaltung beitragen. Sie sollten unter Berücksichtigung der Integration in die Arbeitsorganisation durchgeführt werden. Sowohl die Schrittfolge als auch die einzelnen zu prüfenden Sachverhalte innerhalb der Schritte sind in Bausteine zerlegt, sodass Individualisierung und Standardisierung gleichermaßen erreicht wird.
Zunächst muss unbedingt organisationsweit ermittelt werden, bei welchen Geschäftsprozessen – seien es Fach- oder Querschnittsprozesse – in welcher Art personenbezogene Daten verarbeitet werden. Dazu müssen der Datenschutzbeauftragte (DSB), IT-Experten, die Fachebene und gegebenenfalls weitere Beauftragte intensiv kommunizieren. Diese kollaborativen Prozesse sind methodisch zu unterstützen.
Für alle verständlich
Die Datenschutzthematik muss für alle Bereiche einer Organisation vereinfacht, verständlich und nachvollziehbar gestaltet werden. Hierfür lassen sich entsprechende Bausteine definieren. Das können etwa der Zweck der Datenerhebung, die Verarbeitungsart der Daten oder der Zugang zu Daten sein. Abgeleitet werden sie aus den fachlichen Anforderungen der DSGVO und folgen einer vordefinierten Systematik. Die Bausteine sind so aufgebaut, dass nur das erhoben werden kann, was tatsächlich relevant und erforderlich ist. Mittels einfacher haptischer Karten und einer entsprechenden Moderation können auch Nichtexperten durch den DSGVO-Prüfprozess geleitet werden. Dabei werden die Datenschutzanalysen entlang von Fachprozessen vollzogen, um so eine enge Rückkopplung zur Arbeitsebene herzustellen und diese im Weiteren mit IT-Fragen zu verknüpfen. Durch dieses Vorgehen findet bereits bei der Datenerhebung eine fachübergreifende Zusammenarbeit und ein entsprechender Austausch der jeweiligen Experten (IT, Recht, Organisation, Management) statt. Es handelt sich also nicht mehr nur um eine bloße Informationssammlung. Es werden bereits Umsetzungs- und Gestaltungsfragen thematisiert.
Intuitives Lernen und Risikobewertung
Aus der Lernforschung ist bekannt, dass es trotz oder gerade wegen der zunehmenden Digitalisierung wichtig für das menschliche Verstehen ist, physisch greifbare Bestandteile zu haben. Komplexe Sachverhalte erscheinen den Mitarbeitenden dann nicht mehr abstrakt, sondern verständlich, nachvollziehbar und letztlich anfassbar. Durch die Haptik wird ein intuitives Lernen ermöglicht. So wird im hohen Maße eine Beteiligung/Mitwirkung erreicht, was die Akzeptanz für das Thema Datenschutz sowie die Akzeptanz in der späteren Umsetzung deutlich erhöht. Lernen und Arbeiten gehen zunehmend ineinander über und lassen sich in einer solchen Methodenwelt nicht mehr trennen. Digitalisierung kann dabei das kollaborative Arbeiten auf Entfernung unterstützen. Automatisierungspotenzial besteht dahingehend, dass die erhobenen Daten automatisch grafisch aufbereitet und auf Vollständigkeit sowie Plausibilität geprüft werden, um Erhebungslücken aufzuzeigen.
Ein nächster wichtiger Schritt ist die Risikobewertung. Es muss eingeschätzt werden, welches Risiko für Schutzverletzungen bei der Verarbeitung personenbezogener Daten besteht. Hier können grundsätzlich Algorithmen – auch analog umgesetzt – unterstützen, indem beispielsweise auf Basis eines organisationseigenen Kriteriensets Empfehlungen zur Interpretation der erhobenen Informationen und bei der Zuordnung zu Risikoklassen gegeben werden. Weiterhin lassen sich Folgen von Entscheidungsalternativen aufzeigen. Eine Datenschutzfolgenabschätzung könnte zum Beispiel nötig sein, wenn eine bestimmte Risikoklasse gewählt wurde. Als Grundlage für solche Empfehlungen können generische Kriterien genutzt werden, die unter anderem auf den Empfehlungen des Standarddatenschutzmodells (SDM V2.0) der DSK basieren. Insgesamt lässt die DSGVO an dieser Stelle aber sehr viel Interpretationsspielraum, sodass die Letztentscheidung bei den jeweiligen Verantwortungsträgern liegen muss.
Technische und organisatorische Schutzmaßnahmen
Sind die Risiken definiert, sind geeignete technische und organisatorische Schutzmaßnahmen (TOM) zu bestimmen. Die Entscheidung darüber, welche Maßnahmen geeignet sind, setzt vertiefte Organisations- und IT-Kenntnisse im Zusammenspiel voraus. Empfohlen wird der Einbezug von IT- oder IT-Sicherheitsexperten. Sie wissen, welche TOM sich für welche Datenschutzsituation eignen. Vorgeschlagen wird, die Maßnahmen auf der Basis des organisationseigenen Katalogs zu diskutieren, um Synergien bei der Umsetzung erzielen zu können und damit Ressourcen zu sparen. Eine weitere Basis könnte der generische Katalog des Standarddatenschutzmodells der DSK sein. In dieser Diskussion entscheiden alle Beteiligten gemeinsam, welche Maßnahmen als obligatorisch für die DSGVO-Konformität empfohlen werden und welche als fakultativ.
Wurde entschieden, welche TOM erforderlich sind, muss überprüft und abgeglichen werden, welche TOM noch umzusetzen und welche bereits umgesetzt sind oder welcher Umsetzungsgrad bereits erreicht ist. Auf Basis dieser Angaben kann ein Soll-Ist-Abgleich erfolgen, um den Konformitätsgrad zu ermitteln. Auf Basis individuell festgelegter Kriterien kann eine Priorisierung der Umsetzung in Bezug auf fehlende Schutzmaßnahmen erfolgen, um den Konformitätsgrad möglichst schnell zu erhöhen. Dies ist eine strategisch angeleitete Vorgehensweise, bei der Datenschutz nicht nach dem Gießkannenprinzip praktiziert wird, sondern gezielt Ressourcen eingesetzt werden, wo es tatsächlich notwendig ist.
Automatische Dokumentation
Die Tätigkeit des DSB ist sehr stark geprägt von der Erstellung von Nachweisen für die Konformität, wie sie nach der DSGVO gefordert sind (Verarbeitungsverzeichnis). Hierbei sollte ihn möglichst ein IT-Tool unterstützen. So ein Tool erstellt auf Basis der qualitativ hochwertigen Daten automatisch die geforderten Berichte in gebotener Qualität. Um den Aufwand für den DSB und Verantwortliche so gering wie möglich zu halten, müssen die Dokumente adressatengerecht, also beispielsweise für Aufsichtsbehörden oder für Betroffene passend gestaltet sein. Für den DSB hat das vorher beschriebene Vorgehen den Vorteil, dass er nicht aufwendig und separat ein Verarbeitungsverzeichnis erstellen muss. Vielmehr ergibt sich durch die prozessnahen Erhebungen datenschutzrelevanter Aspekte nebenbei das von der DSGVO geforderte Verzeichnis aller Verarbeitungstätigkeiten inklusive entsprechender Prozessdarstellungen, Risikobewertungen und Dokumentation der technisch-organisatorischen Maßnahmen. Damit reduziert sich der Aufwand für Datenschutzbeauftragte erheblich. Führungskräfte und Behördenleitung, die Datenschutzverantwortliche nach der DSGVO sind, erhalten somit auf einfache Weise eine Dokumentation und bekommen die Komplexität und Vielfältigkeit des Themas besser in den Griff.
Mit PRIMO transparent und nachvollziehbar
Letztendlich funktioniert die DSGVO als Compliance-Anforderung nur dann, wenn sich Organisationsroutinen und -kulturen ändern und Anforderungen in der Breite der Organisation als Routine mit dauerhaften Verhaltensänderungen niederschlagen. Vernünftig gestaltete und akzeptierte Methoden können wesentlich dabei helfen, sich in neue Routinen hineinzubewegen. Fachübergreifende Kooperation wird gefördert, sodass Raum für Lernprozesse entsteht. Dafür muss die Komplexität des Themas Datenschutz durch intelligente Tools reduziert werden, um die Anwendung von Datenschutz für die Organisation handhabbar zu gestalten. Das im Artikel beschriebene Vorgehen ermöglicht genau das. Um die praktische Umsetzung zu erleichtern, hat das SHI Stein-Hardenberg Institut, in Zusammenarbeit mit eGovCD – einem SpinOff des Fraunhofer-Instituts für Offene Kommunikationssysteme FOKUS – dieses methodisch strukturierte und modulare Vorgehen in das Tool PRIMO gegossen. Durch eine datenschutzsensible Prozessgestaltung werden Mitarbeitende dort abgeholt, wo personenbezogene Daten in den Arbeitsprozessen verarbeitet werden. Für jeden Prozess wird gemeinsam ein einheitliches Verständnis geschaffen, sodass Datenschutz nicht getrennt von anderen Bereichen betrachtet oder an Experten wegdelegiert wird. Das hat den großen Vorteil, dass das Thema aus der juristischen Fachecke herausgeholt und die Komplexität reduziert wird, sodass im Ergebnis eine datenschutzkonforme Prozessgestaltung stattfindet. Im Rahmen agiler Vorgehensweisen lässt sich das methodische Vorgehen hervorragend einsetzen, ohne dabei allzu tiefes Datenschutzwissen haben zu müssen. Damit ist PRIMO sowohl ein Tool zur Umsetzung von Datenschutzanforderungen als auch ein Sensibilisierungswerkzeug, das das Lernen in der Organisation untereinander unterstützt.
Berlin: Verwaltungsdigitalisierung für die Wirtschaft
[03.12.2024] Berlin will die Digitalisierung der Verwaltung gezielt auf die Bedürfnisse der Wirtschaft ausrichten. Mit dem Aktionskonzept 2024-2026 sollen digitale Behördendienste ausgebaut, Unternehmen durch DIWI entlastet und die Stadt als Innovationsstandort gestärkt werden. mehr...
NKR: Erstes Bund-Länder-Treffen zum Digitalcheck
[02.12.2024] Der Digitalcheck stößt zunehmend auch auf Interesse in den Bundesländern. Beim ersten Bund-Länder-Treffen in Berlin diskutierten die Teilnehmenden über rechtliche Verankerung, Anwendungsbereiche und weitere Pläne zur Umsetzung. mehr...
BMDV: Deutschland und Israel starten Digitaldialog
[29.11.2024] Deutschland und Israel verstärken die digitale Zusammenarbeit: Bundesdigitalminister Wissing und Botschafter Prosor haben eine Absichtserklärung unterzeichnet, um den Austausch in Bereichen wie KI, Quantencomputing und Start-up-Kooperationen zu intensivieren. mehr...
Schleswig-Holstein: Open-Source-Strategie veröffentlicht
[26.11.2024] Schleswig-Holstein hat seine Open-Innovation- und Open-Source-Strategie vorgestellt. Geplant sind unter anderem konkrete Schritte hin zum digital souveränen IT-Arbeitsplatz der Landesverwaltung und die Beteiligung an der Deutschen Verwaltungscloud. mehr...
Bayern: Neue Digitalisierungsinitiativen
[26.11.2024] Der bayerische Digitalminister Fabian Mehring stellte in München neue Initiativen zur Digitalisierung der Verwaltung vor. Außerdem forderte er ein eigenes Digitalministerium auf Bundesebene, um zentrale Vorhaben gezielt umzusetzen. mehr...
Berlin: Eckpunkte für Digitalcheck
[21.11.2024] Die Eckpunkte für die Einführung eines Digitalchecks hat der Berliner Senat beschlossen. Der Geschäftsbereich der Chief Digital Officer soll jetzt ein Konzept inklusive eines vorgeschalteten Pilotvorhabens erarbeiten. mehr...
IT-Planungsrat: Der OZG-Rahmenarchitektur einen Schritt näher
[20.11.2024] In seiner Herbstsitzung hat der IT-Planungsrat das in einem breit angelegten und von einem Konsultationsprozess begleitete Vorhaben iterativ erarbeitete Zielbild der OZG-Rahmenarchitektur beschlossen. mehr...
IT-Planungsrat: Erster Teil der föderalen Digitalstrategie beschlossen
[18.11.2024] Der IT-Planungsrat hat auf seiner 45. Sitzung unter Leitung von Bundes-CIO Markus Richter die Dachstrategie der Föderalen Digitalstrategie für die Verwaltung verabschiedet. Zudem wurde ein Vertragsentwurf für das Nationale Once-Only-Technical-System (NOOTS) beschlossen. mehr...
Bitkom: Forderung nach Umsetzung von Digitalprojekten
[15.11.2024] Der Digitalverband Bitkom hat jetzt die Bundesregierung aufgefordert, vor den Neuwahlen im Februar möglichst viele digitalpolitische Projekte abzuschließen. Bisher sind lediglich 32 Prozent der geplanten Vorhaben realisiert. mehr...
Baden-Württemberg: Änderung der Gemeindeordnung verabschiedet
[08.11.2024] Der Landtag von Baden-Württemberg hat jetzt eine Änderung der Gemeindeordnung verabschiedet, die Kommunen in administrativen Abläufen entlasten und die finanzielle Berichterstattung vereinfachen soll. mehr...
Cybersicherheit: Stellungnahmen zum NIS2-Umsetzungsgesetz
[07.11.2024] Der Bundestagsausschuss für Inneres und Heimat hat sich mit dem Gesetzentwurf der Bundesregierung zur Umsetzung der NIS2-Richtlinie befasst. Vielen Experten geht der Entwurf nicht weit genug. mehr...
Saarland: Mehr Input zur Digitalpolitik
[05.11.2024] Das Saarland tritt dem GovTech Campus Deutschland bei, um die Digitalisierung der Verwaltung voranzutreiben. Durch die Mitgliedschaft will das Land von dem Innovationsnetzwerk profitieren und aktiv an Digitalpolitik und gemeinsamen Projekten mitwirken. mehr...
Normenkontrollräte: Ambitioniert zum Bürokratieabbau
[05.11.2024] Im Rahmen eines Treffens in Stuttgart haben Normenkontrollräte und Clearingstellen eine Erklärung verabschiedet, die eine Reduzierung der Bürokratiekosten um 25 Prozent innerhalb von vier Jahren anstrebt. mehr...
Databund: Datenschutzrisiken im MDWG
[05.11.2024] Der Databund hat zu zwei Gesetzesentwürfen des Bundes Stellung genommen, welche die kommunale Verwaltung betreffen. Im MDWG-Entwurf sieht er Verbesserungen für die Migrationsverwaltung, mahnt jedoch Datenschutzrisiken an. Beim eIDAS-Gesetz begrüßt der Verband die Stärkung der Bundesnetzagentur. mehr...
Niedersachsen: NIS2-Richtlinie umgesetzt
[04.11.2024] Niedersachsen setzt als eines der ersten Bundesländer die NIS2-Richtlinie der EU zur Cybersicherheit in der Verwaltung um. Die neue Verwaltungsvorschrift, die Benennung einer zuständigen Behörde für Cybersicherheit und die Einrichtung eines Notfallteams sollen die IT-Sicherheit in besonders kritischen Bereichen stärken. mehr...