DatenschutzDSGVO-Konformität erreichen
Datenschutz muss Teil der Arbeitsorganisation in Verwaltungen werden. Das hat der erste Teil dieses Beitrags gezeigt. Im Folgenden werden nun Schritte aufgezeigt, die zur Herstellung der DSGVO-Konformität einer Verwaltung beitragen. Sie sollten unter Berücksichtigung der Integration in die Arbeitsorganisation durchgeführt werden. Sowohl die Schrittfolge als auch die einzelnen zu prüfenden Sachverhalte innerhalb der Schritte sind in Bausteine zerlegt, sodass Individualisierung und Standardisierung gleichermaßen erreicht wird.
Zunächst muss unbedingt organisationsweit ermittelt werden, bei welchen Geschäftsprozessen – seien es Fach- oder Querschnittsprozesse – in welcher Art personenbezogene Daten verarbeitet werden. Dazu müssen der Datenschutzbeauftragte (DSB), IT-Experten, die Fachebene und gegebenenfalls weitere Beauftragte intensiv kommunizieren. Diese kollaborativen Prozesse sind methodisch zu unterstützen.
Für alle verständlich
Die Datenschutzthematik muss für alle Bereiche einer Organisation vereinfacht, verständlich und nachvollziehbar gestaltet werden. Hierfür lassen sich entsprechende Bausteine definieren. Das können etwa der Zweck der Datenerhebung, die Verarbeitungsart der Daten oder der Zugang zu Daten sein. Abgeleitet werden sie aus den fachlichen Anforderungen der DSGVO und folgen einer vordefinierten Systematik. Die Bausteine sind so aufgebaut, dass nur das erhoben werden kann, was tatsächlich relevant und erforderlich ist. Mittels einfacher haptischer Karten und einer entsprechenden Moderation können auch Nichtexperten durch den DSGVO-Prüfprozess geleitet werden. Dabei werden die Datenschutzanalysen entlang von Fachprozessen vollzogen, um so eine enge Rückkopplung zur Arbeitsebene herzustellen und diese im Weiteren mit IT-Fragen zu verknüpfen. Durch dieses Vorgehen findet bereits bei der Datenerhebung eine fachübergreifende Zusammenarbeit und ein entsprechender Austausch der jeweiligen Experten (IT, Recht, Organisation, Management) statt. Es handelt sich also nicht mehr nur um eine bloße Informationssammlung. Es werden bereits Umsetzungs- und Gestaltungsfragen thematisiert.
Intuitives Lernen und Risikobewertung
Aus der Lernforschung ist bekannt, dass es trotz oder gerade wegen der zunehmenden Digitalisierung wichtig für das menschliche Verstehen ist, physisch greifbare Bestandteile zu haben. Komplexe Sachverhalte erscheinen den Mitarbeitenden dann nicht mehr abstrakt, sondern verständlich, nachvollziehbar und letztlich anfassbar. Durch die Haptik wird ein intuitives Lernen ermöglicht. So wird im hohen Maße eine Beteiligung/Mitwirkung erreicht, was die Akzeptanz für das Thema Datenschutz sowie die Akzeptanz in der späteren Umsetzung deutlich erhöht. Lernen und Arbeiten gehen zunehmend ineinander über und lassen sich in einer solchen Methodenwelt nicht mehr trennen. Digitalisierung kann dabei das kollaborative Arbeiten auf Entfernung unterstützen. Automatisierungspotenzial besteht dahingehend, dass die erhobenen Daten automatisch grafisch aufbereitet und auf Vollständigkeit sowie Plausibilität geprüft werden, um Erhebungslücken aufzuzeigen.
Ein nächster wichtiger Schritt ist die Risikobewertung. Es muss eingeschätzt werden, welches Risiko für Schutzverletzungen bei der Verarbeitung personenbezogener Daten besteht. Hier können grundsätzlich Algorithmen – auch analog umgesetzt – unterstützen, indem beispielsweise auf Basis eines organisationseigenen Kriteriensets Empfehlungen zur Interpretation der erhobenen Informationen und bei der Zuordnung zu Risikoklassen gegeben werden. Weiterhin lassen sich Folgen von Entscheidungsalternativen aufzeigen. Eine Datenschutzfolgenabschätzung könnte zum Beispiel nötig sein, wenn eine bestimmte Risikoklasse gewählt wurde. Als Grundlage für solche Empfehlungen können generische Kriterien genutzt werden, die unter anderem auf den Empfehlungen des Standarddatenschutzmodells (SDM V2.0) der DSK basieren. Insgesamt lässt die DSGVO an dieser Stelle aber sehr viel Interpretationsspielraum, sodass die Letztentscheidung bei den jeweiligen Verantwortungsträgern liegen muss.
Technische und organisatorische Schutzmaßnahmen
Sind die Risiken definiert, sind geeignete technische und organisatorische Schutzmaßnahmen (TOM) zu bestimmen. Die Entscheidung darüber, welche Maßnahmen geeignet sind, setzt vertiefte Organisations- und IT-Kenntnisse im Zusammenspiel voraus. Empfohlen wird der Einbezug von IT- oder IT-Sicherheitsexperten. Sie wissen, welche TOM sich für welche Datenschutzsituation eignen. Vorgeschlagen wird, die Maßnahmen auf der Basis des organisationseigenen Katalogs zu diskutieren, um Synergien bei der Umsetzung erzielen zu können und damit Ressourcen zu sparen. Eine weitere Basis könnte der generische Katalog des Standarddatenschutzmodells der DSK sein. In dieser Diskussion entscheiden alle Beteiligten gemeinsam, welche Maßnahmen als obligatorisch für die DSGVO-Konformität empfohlen werden und welche als fakultativ.
Wurde entschieden, welche TOM erforderlich sind, muss überprüft und abgeglichen werden, welche TOM noch umzusetzen und welche bereits umgesetzt sind oder welcher Umsetzungsgrad bereits erreicht ist. Auf Basis dieser Angaben kann ein Soll-Ist-Abgleich erfolgen, um den Konformitätsgrad zu ermitteln. Auf Basis individuell festgelegter Kriterien kann eine Priorisierung der Umsetzung in Bezug auf fehlende Schutzmaßnahmen erfolgen, um den Konformitätsgrad möglichst schnell zu erhöhen. Dies ist eine strategisch angeleitete Vorgehensweise, bei der Datenschutz nicht nach dem Gießkannenprinzip praktiziert wird, sondern gezielt Ressourcen eingesetzt werden, wo es tatsächlich notwendig ist.
Automatische Dokumentation
Die Tätigkeit des DSB ist sehr stark geprägt von der Erstellung von Nachweisen für die Konformität, wie sie nach der DSGVO gefordert sind (Verarbeitungsverzeichnis). Hierbei sollte ihn möglichst ein IT-Tool unterstützen. So ein Tool erstellt auf Basis der qualitativ hochwertigen Daten automatisch die geforderten Berichte in gebotener Qualität. Um den Aufwand für den DSB und Verantwortliche so gering wie möglich zu halten, müssen die Dokumente adressatengerecht, also beispielsweise für Aufsichtsbehörden oder für Betroffene passend gestaltet sein. Für den DSB hat das vorher beschriebene Vorgehen den Vorteil, dass er nicht aufwendig und separat ein Verarbeitungsverzeichnis erstellen muss. Vielmehr ergibt sich durch die prozessnahen Erhebungen datenschutzrelevanter Aspekte nebenbei das von der DSGVO geforderte Verzeichnis aller Verarbeitungstätigkeiten inklusive entsprechender Prozessdarstellungen, Risikobewertungen und Dokumentation der technisch-organisatorischen Maßnahmen. Damit reduziert sich der Aufwand für Datenschutzbeauftragte erheblich. Führungskräfte und Behördenleitung, die Datenschutzverantwortliche nach der DSGVO sind, erhalten somit auf einfache Weise eine Dokumentation und bekommen die Komplexität und Vielfältigkeit des Themas besser in den Griff.
Mit PRIMO transparent und nachvollziehbar
Letztendlich funktioniert die DSGVO als Compliance-Anforderung nur dann, wenn sich Organisationsroutinen und -kulturen ändern und Anforderungen in der Breite der Organisation als Routine mit dauerhaften Verhaltensänderungen niederschlagen. Vernünftig gestaltete und akzeptierte Methoden können wesentlich dabei helfen, sich in neue Routinen hineinzubewegen. Fachübergreifende Kooperation wird gefördert, sodass Raum für Lernprozesse entsteht. Dafür muss die Komplexität des Themas Datenschutz durch intelligente Tools reduziert werden, um die Anwendung von Datenschutz für die Organisation handhabbar zu gestalten. Das im Artikel beschriebene Vorgehen ermöglicht genau das. Um die praktische Umsetzung zu erleichtern, hat das SHI Stein-Hardenberg Institut, in Zusammenarbeit mit eGovCD – einem SpinOff des Fraunhofer-Instituts für Offene Kommunikationssysteme FOKUS – dieses methodisch strukturierte und modulare Vorgehen in das Tool PRIMO gegossen. Durch eine datenschutzsensible Prozessgestaltung werden Mitarbeitende dort abgeholt, wo personenbezogene Daten in den Arbeitsprozessen verarbeitet werden. Für jeden Prozess wird gemeinsam ein einheitliches Verständnis geschaffen, sodass Datenschutz nicht getrennt von anderen Bereichen betrachtet oder an Experten wegdelegiert wird. Das hat den großen Vorteil, dass das Thema aus der juristischen Fachecke herausgeholt und die Komplexität reduziert wird, sodass im Ergebnis eine datenschutzkonforme Prozessgestaltung stattfindet. Im Rahmen agiler Vorgehensweisen lässt sich das methodische Vorgehen hervorragend einsetzen, ohne dabei allzu tiefes Datenschutzwissen haben zu müssen. Damit ist PRIMO sowohl ein Tool zur Umsetzung von Datenschutzanforderungen als auch ein Sensibilisierungswerkzeug, das das Lernen in der Organisation untereinander unterstützt.
Saarland: Mehr Input zur Digitalpolitik
[05.11.2024] Das Saarland tritt dem GovTech Campus Deutschland bei, um die Digitalisierung der Verwaltung voranzutreiben. Durch die Mitgliedschaft will das Land von dem Innovationsnetzwerk profitieren und aktiv an Digitalpolitik und gemeinsamen Projekten mitwirken. mehr...
Normenkontrollräte: Ambitioniert zum Bürokratieabbau
[05.11.2024] Im Rahmen eines Treffens in Stuttgart haben Normenkontrollräte und Clearingstellen eine Erklärung verabschiedet, die eine Reduzierung der Bürokratiekosten um 25 Prozent innerhalb von vier Jahren anstrebt. mehr...
Databund: Datenschutzrisiken im MDWG
[05.11.2024] Der Databund hat zu zwei Gesetzesentwürfen des Bundes Stellung genommen, welche die kommunale Verwaltung betreffen. Im MDWG-Entwurf sieht er Verbesserungen für die Migrationsverwaltung, mahnt jedoch Datenschutzrisiken an. Beim eIDAS-Gesetz begrüßt der Verband die Stärkung der Bundesnetzagentur. mehr...
Niedersachsen: NIS2-Richtlinie umgesetzt
[04.11.2024] Niedersachsen setzt als eines der ersten Bundesländer die NIS2-Richtlinie der EU zur Cybersicherheit in der Verwaltung um. Die neue Verwaltungsvorschrift, die Benennung einer zuständigen Behörde für Cybersicherheit und die Einrichtung eines Notfallteams sollen die IT-Sicherheit in besonders kritischen Bereichen stärken. mehr...
Niedersachsen: Beteiligung am ZenDiS
[04.11.2024] Niedersachsen will sich am Zentrum für Digitale Souveränität (ZenDiS) beteiligen, um die Abhängigkeit der Landesverwaltung von marktbestimmenden Softwareherstellern zu reduzieren. Das Land könnte so auch von überregionalen Erfahrungen und Projekten profitieren. Dies steht im Einklang mit der Digitalstrategie des Landes. mehr...
BMDV/BREKO: Digital only braucht Glasfaser
[24.10.2024] Die Bundesregierung berichtet über Fortschritte ihrer Digitalstrategie. Der Glasfaserverband BREKO warnt trotz erreichter Erfolge bei 5G und Glasfaser vor Verzögerungen beim Ausbau. Ohne klare politische Weichenstellungen, insbesondere zur Abschaltung des Kupfernetzes, könnte das Ziel einer flächendeckenden Glasfaserversorgung bis 2030 verfehlt werden. mehr...
Digital-Gipfel 2024: Fokus auf KI und digitaler Souveränität
[23.10.2024] Im Fokus des Digital-Gipfels der Bundesregierung standen die Stärkung der digitalen Souveränität und der Einsatz von Künstlicher Intelligenz. Die Bundesregierung betonte die Bedeutung einer intensiven Datennutzung und der KI-Förderung, um Deutschland im internationalen Wettbewerb zu stärken. mehr...
Digitalisierung: Dresdner Forderungen 2.0
[22.10.2024] Die Fachgruppe Verwaltungsinformatik der Gesellschaft für Informatik hat 20 Thesen zum digitalen Wandel formuliert. Die Forderungen zielen darauf ab, die Verwaltung effizienter, zukunftssicherer und bürgerfreundlicher zu machen. mehr...
Digitalministerkonferenz: Erfolgreiches zweites Treffen
[21.10.2024] Die Digitalisierung in Deutschland zügiger vorantreiben und digitale Transformation zum Wohle der Bürgerinnen und Bürger gestalten: Mit dieser Zielstellung haben sich die Digitalverantwortlichen der Länder zur zweiten Digitalministerkonferenz in Berlin getroffen. Wichtige Themen waren Datenschutz und Datennutzung, die Verwaltungscloud-Strategie und die Nutzung von KI. mehr...
Nationaler Normenkontrollrat: Gesetzgebung digitalisieren
[18.10.2024] Die E-Gesetzgebung ist der zentrale Baustein, um Gesetzgebungsverfahren künftig vollständig digital und medienbruchfrei zu gestalten. Das Bundeskabinett hat hierfür nun wichtige Leitlinien beschlossen. Der Nationale Normenkontrollrat (NKR) begrüßt dies – sieht es aber lediglich als ersten Schritt. mehr...
Niedersachsen: Warum die Verwaltungsdigitalisierung stockt
[18.10.2024] Uneinheitliche Steuerungs- und Entscheidungsstrukturen sorgen dafür, dass die Verwaltungsdigitalisierung in Niedersachsen immer noch stockt. Zu diesem Schluss kommt der niedersächsische Landesrechnungshof in einem aktuellen Positionspapier. Insbesondere die dezentrale Verteilung der IT-Budgets wird bemängelt. mehr...
DigitalPakt Schule: Fortsetzung ja – nur wann?
[16.10.2024] Der DigitalPakt Schule, dessen Antragsfrist im Mai 2024 endete, will den Weg zum Lernen und Lehren in einer sich stetig verändernden digitalen Realität ebnen. 97 Prozent der Mittel aus dem Basis-DigitalPakt wurden bislang bewilligt. Die Bundesbildungsministerin spricht sich für eine Fortsetzung der Bundesförderung aus, verweist aber auch auf die Notwendigkeit, Landesmittel einzusetzen. mehr...
Bürokratieabbau: Bundesregierung beschließt Entlastungsverordnung
[11.10.2024] Die Bundesregierung hat die Bürokratieentlastungsverordnung beschlossen, die zur Entlastung der Wirtschaft um 420 Millionen Euro pro Jahr beitragen soll. Neben dem Abbau von Anzeige- und Mitteilungspflichten sind auch Maßnahmen zur Förderung der Digitalisierung vorgesehen. Die Verordnung muss nun vom Bundesrat genehmigt werden. mehr...
eGovernment Monitor 2024: Digitale Nutzungslücke
[08.10.2024] Die Digitalisierung der Verwaltung hat das Potenzial, das Vertrauen der Bevölkerung in den Staat zu stärken. Dennoch bevorzugen viele noch den analogen Weg. Laut der Studie eGovernment Monitor 2024 erwarten die Bürgerinnen und Bürger einfache und zugängliche Onlinedienste – diese werden aber noch zu selten genutzt. mehr...
Nationaler Normenkontrollrat: Jahresbericht 2024
[02.10.2024] Der Nationale Normenkontrollrat (NKR) hat seinen Jahresbericht zum Bürokratieabbau und zur besseren Rechtsetzung sowie zur Verwaltungsdigitalisierung vorgelegt. Insbesondere für die Wirtschaft sinken die Erfüllungsaufwände, für die Verwaltung steigen sie. Dennoch ist die Gesamtbilanz positiv. mehr...