DSFA:
Ampel für den Datenschutz


[27.1.2022] Die Datenschutz-Folgenabschätzung (DSFA) bereitet vielen Kommunen Kopfzerbrechen. Der Landesbeauftragte für Datenschutz in Bayern hat eine praktikable Methode ausgearbeitet, die auch für nichtbayerische Kommunen hilfreich ist.

DSFA-Bericht zeigt, ob die Datenschutz-Ampel auf Rot steht. Der Landesbeauftragte für Datenschutz in Bayern (BayLfD) liefert auf seiner Website konkrete Hilfestellung bei der Durchführung einer Datenschutz-Folgenabschätzung (DSFA). Zu finden sind zahlreiche Dokumente, die einen Überblick über das Vorgehen bei einer DSFA geben. Außerdem gibt es Musterformulare mit Ausfüllbeispielen.
Das Dokument „Orientierungshilfe“ zeigt anhand eines Prüfschemas, wie Kommunen prüfen können, ob eine DSFA erforderlich ist, und gibt einen Überblick über die Erstellung. Das Dokument „Methodik und Fallstudie“ beschreibt die Ziele des Standard-Datenschutzmodells und zeigt, wie eine Risikoanalyse durchgeführt wird. Hier wird auch erklärt, wie man über die Risikoanalyse zur Gesamtrisikobewertung einer Datenverarbeitung gelangt und welche Mindestpositionen der DSFA-Bericht enthalten muss. Besonders anschaulich: An einem praktischen Beispiel wird eine DSFA im Personalamt der Stadt Fiktivia durchgespielt. Als Praxishilfe werden fünf Module bereitgestellt, die Musterformulare und Ausfüllbeispiele enthalten, sowohl für die Erforderlichkeitsprüfung als auch für den DSFA-Bericht und die Risikoanalyse.
Allerdings ist nicht für jede Datenverarbeitung eine DSFA erforderlich. Ob dies der Fall ist, kann man über das Formular „DSFA-Erforderlichkeitsprüfung“ auf der Website des BayLfD prüfen. Darin wird abgefragt, ob es eine Ausnahme von der Durchführung einer eigenen DSFA gibt, etwa wenn eine solche bereits für einen ähnlichen Verarbeitungsvorgang mit vergleichbaren Risiken vorliegt, oder ob der Verarbeitungsvorgang auf der Blacklist der Aufsichtsbehörde steht.

Analyse der Risikofaktoren

Verneint man diese Punkte, so folgt eine eigene Risikoabschätzung nach den „Leitlinien zur Datenschutz-Folgenabschätzung“ der ­europäischen Artikel-29-Gruppe. Darin wird unter anderem gefragt, ob durch die Datenverarbeitung Personen systematisch überwacht und kontrolliert werden, ob vertrauliche Daten oder Daten schutzbedürftiger Personen verarbeitet werden oder ob es sich um eine innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen handelt. Das ausgefüllte Formular „DSFA-Erforderlichkeitsprüfung“ dient als Nachweis gegenüber einer Aufsichtsbehörde, dass die Notwendigkeit einer Datenschutz-Folgenabschätzung für eine Verarbeitungstätigkeit geprüft wurde.
Ist diese notwendig, muss festgestellt werden, welche Risiken für die Rechte und Freiheiten von Personen durch die Verarbeitungstätigkeit bestehen. Dazu schlägt der BayLfD eine Analyse vor, in der ­Risikoszenarien erarbeitet und Schwach­stellen und Risikoquellen der Verarbeitungstätigkeit betrachtet werden. Geprüft wird, ob die Verarbeitungstätigkeit die Ziele des Standarddatenschutzmodells der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder erfüllt. Das sind zum einen Datensicherheitsziele – Verfügbarkeit, Vertraulichkeit und Datenintegrität – und zum anderen Schutz­bedarfsziele: Datenminimierung, Intervenierbarkeit, Transparenz, Nicht­verkettung, Konzeptionseinhaltung und Richtigkeit. Die Zielerfüllung wird anhand eines Ampelsystems bewertet.
Nach einer ersten Risikobetrachtung sollten Maßnahmen erarbeitet werden, die Risiken minimieren. Danach wird die Verarbeitungstätigkeit ein zweites Mal bewertet. Auch hierbei wird das Ampelsystem verwendet. Die Ergebnisse der zweiten Risikoanalyse fließen als Risikogesamtbewertung in den DSFA-Bericht ein.

Risikogesamtbewertung mit Ampelsystem

Maßnahmen, die den Risiken für die Rechte und Freiheiten von Personen entgegenwirken, lassen sich drei Kategorien zuordnen:
• Maßnahmen, die in der Software voreingestellt sind (Privacy by Default), etwa ein System zur Vergabe eines Passworts oder einer Zwei-Faktor-Authentisierung, zur Einrichtung eines Berechtigungskonzepts oder zur Protokollierung.
• Technische Maßnahmen, die im Rechenzentrum oder den Server-Räumen, in denen die Software betrieben wird, umgesetzt werden müssen (Privacy by Design). Dazu zählen zum Beispiel die regelmäßige Datensicherung, eine unterbrechungsfreie Stromversorgung oder der Einbau einer Firewall.
• Auch die Kommune selbst muss zur Risikominimierung beitragen, indem sie beispielsweise vor Ort dafür sorgt, dass die Mitarbeitenden regelmäßig Schulungen zu Datenschutz und Informationssicherheit erhalten, dass Besuchern keine Einsicht in vertrauliche Daten gewährt wird und Unberechtigte keinen Zutritt zu sicherheitsrelevanten Gebäude­teilen erhalten.
Die Zusammenfassung der Datenschutz-Folgenabschätzung erfolgt im DSFA-Bericht. Darin werden Informationen zur Verarbeitungstätigkeit gegeben und der Kontext sowie die grundlegenden Prinzipien der Datenverarbeitung beschrieben. Schließlich folgt die Risikogesamtbewertung, die aus der Risikoanalyse resultiert. Die Verarbeitungstätigkeit ist datenschutzkonform, wenn die Ampel der Risikogesamtbewertung auf Grün oder Gelb steht. Steht die Ampel dagegen auf Rot, muss der Datenverarbeitungsvorgang noch einmal gründlich überprüft oder der Rat der Aufsichtsbehörde eingeholt werden. Der DSFA-Bericht listet am Ende alle Maßnahmen zur Risiko­minimierung noch einmal auf, die in der Risikoanalyse festgelegt wurden.

Carola Meier ist zertifizierte Datenschutzbeauftragte (TÜV Süd) bei der GKDS Gesellschaft für Kommunalen Datenschutz mbH.

Dokumentationen, Muster und Ausfüllbeispiele zur Datenschutz-­Folgenabschätzung finden Sie hier. (Deep Link)
Dieser Beitrag ist im Titel der Ausgabe Januar 2022 von Kommune21 erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren. (Deep Link)

Stichwörter: IT-Sicherheit, Datenschutz, DSFA, Bayern, BayLfD

Bildquelle: hkama/adobe.stock.com

Druckversion    PDF     Link mailen


Weitere Meldungen und Beiträge aus dem Bereich IT-Sicherheit
Serie Cyber-Sicherheit: Schwachstellen minimieren Bericht
[28.11.2022] Viele Maßnahmen zur Erhöhung der Cyber-Sicherheit sind organisatorischer Natur und oft auch ohne IT-Fachkenntnisse realisierbar. In Teil 2 unserer Serie geben wir sieben Einsteiger-Tipps, die es Angreifern erschweren, Schaden zu verursachen. mehr...
Beliebte Passwörter bieten keinen Schutz.
Bayern: Wichtige Schritte gegen Cybercrime
[14.11.2022] Die Cyberabwehr Bayern, in der die bayerischen Behörden mit Cyber-Sicherheitsaufgaben zusammenarbeiten, hat neue Räume bezogen. Zudem erschien der erste bayernweite Bericht zur Cyber-Sicherheit, der belegt, dass sich Cyber-Angreifer immer weiter professionalisieren. mehr...
Die Cyberabwehr Bayern hat neue Räume bezogen, um ihren Informations- und Koordinierungsaufgaben noch besser nachkommen zu können.
VG Neumarkt: Aktualisiertes IT-Sicherheitssiegel
[9.11.2022] In aktualisierter Version hat die Verwaltungsgemeinschaft Neumarkt das Siegel Kommunale IT-Sicherheit erhalten. Damit bescheinigt ihr das Landesamt für Sicherheit in der Informationstechnik (LSI) einen an die Größe der Organisation angepassten Basisschutz. mehr...
Datenschutzaufsicht Bayern: Viele Anfragen, wenig Mitarbeiter
[4.11.2022] Das BayLDA hat seinen Tätigkeitsbericht 2021 vorgelegt. Neben Fragen des internationalen Datenverkehrs waren Cyber-Angriffe ein Arbeitsschwerpunkt der Behörde, deren Chef einen drastischen Mitarbeitermangel beklagt – und zwar in dem Maß, dass die Rechtssicherheit bald gefährdet sein könnte. mehr...
Thüringen: Berichte zu Datenschutz und Transparenz
[3.11.2022] In Thüringen hat der Datenschutzbeauftragte für das Jahr 2021 die Tätigkeitsberichte zum Datenschutz und zum Transparenzgesetz veröffentlicht. Das 2020 verabschiedete Gesetz zeigt sich im bundesweiten Vergleich nicht in allen Punkten zeitgemäß. mehr...
Suchen...

 Anzeige



Aktuelle Information des Verlags


In Zeiten der Corona-Pandemie werden wir aktuelle Ausgaben von Kommune21 allen Interessierten bis auf weiteres kostenfrei digital zur Verfügung stellen. Weisen Sie bitte auch Ihre Kolleginnen und Kollegen im Homeoffice auf diese Möglichkeit hin.

Wir haben an dieser Stelle eine Bitte an Sie:
Die gegenwärtige Situation macht einmal mehr deutlich, wie wichtig das Thema Digitalisierung auch in Ihrer Verwaltung, Behörde oder Schule ist. Kommune21 berichtet seit 20 Jahren über alle wichtigen Themen der IT-gestützten Verwaltungsmodernisierung und hilft, die Digitalisierung im Public Sector transparent und besser zu gestalten. Bitte prüfen Sie über Ihre Buchhaltung, ob Sie bereits ein reguläres Abonnement von Kommune21 haben. Wenn nicht, dann freuen wir uns, wenn Sie gerade in diesen Zeiten ein Abonnement in Betracht ziehen. Danke!

Kommune21, Ausgabe 11/2022
Kommune21, Ausgabe 10/2022
Kommune21, Ausgabe 09/2022

Aboverwaltung


Abbonement kuendigen

Abbonement kuendigen
Ausgewählte Anbieter aus dem Bereich IT-Sicherheit:
GISA GmbH
06112 Halle (Saale)
GISA GmbH
regio iT GmbH
52070 Aachen
regio iT GmbH
ITEBO GmbH
49074 Osnabrück
ITEBO GmbH
Aktuelle Meldungen