Auftragsverarbeitung. Das ewige Ärgernis

Ich unterbreche die Datenschutz für SORMAS-X Blogreihe für eine kurze Wutrede in Sachen Auftragsverarbeitung nach Art. 28 DSGVO.

Dieses Jahr feiert die DSGVO ihren 5. Geburtstag - zählt man die seit 2016 laufende Umsetzungsfrist dazu, sind es sogar schon 7 Jahre ... 7 Jahre, in denen es sich eigentlich herumgesprochen haben sollte, wie man eine Auftragsverarbeitung (Art. 28 DSGVO) vernünftig gestaltet. Mit vernünftig meine ich: Man entwirft einen Vertrag (AV-Vertrag), der die gegenseitigen Rechte und Pflichten klar und deutlich beschreibt. Allem voran die technischen und organisatorischen Sicherheitsmaßnahmen des Auftragnehmers.

Sehr oft prüfe ich im Auftrag meiner Mandanten solche AV-Verträge, die diese wiederum von ihren Dienstleistern erhalten. Zum Beispiel, weil meine Mandanten eine neue Software einführen wollen, die von einem Dienstleister als Software as a Service betrieben wird.

Absichtserklärungen und Prosa

Statt vernünftig geregelter Beschreibungen lese ich im Abschnitt technische und organisatorische Sicherheitsmaßnahmen statt vollständiger, präziser Beschreibungen aber wieder und wieder Prosa, Absichtserklärungen, Zitate des Gesetzestextes und eine Fülle an Allgemeinplätzen.

Beispiele aus der jüngsten Zeit

Wir führen regelmäßig Penetrationstests durch. Definiere regelmäßig. Regelmäßig jährlich oder alle drei Jahre oder alle zehn? Das Ergebnis dieser Tests und die Schlussfolgerungen würden uns auch interessieren, wenn wir eine SaaS Lösung beauftragen, die von überall aus dem Internet erreichbar ist.

Grundsätzlich werden alle Daten redundant gespeichert (mindestens über ausfallsichere RAID Systeme Level 5 und 6). Schön. Ich wüsste aber gerne, wie immer gesichert wird. Wer garantiert mir, dass nicht mein Mandant als Auftraggeber vielleicht die Ausnahme vom Grundsatz ist? Ich wüsste auch gerne in welchen Abständen die Sicherungen angelegt werden.

Es finden regelmäßig Tests zur Rücksicherung von Back-Up Daten statt, durch redundante Speicherung an verschiedenen Standorten wird versucht, Ausfallzeiten zu minimieren. Es wird versucht? Und was ist, wenn der Versuch nicht klappt? Wir wüssten gerne, mit welchen Maßnahmen Ausfallzeiten minimiert werden. Und auch hier: definiere regelmäßig!

Berücksichtigung der Grundsätze des Datenschutzes durch Technik und der datenschutzfreundlichen Grundeinstellungen (Privacy by Design, Privacy by Default) im Datenschutzkonzept. Ein solcher Satz nützt genau gar nichts. In ein Konzept kann ich schreiben, was immer ich will. Es ist ein Konzept, ein Plan. In einem Vertrag geht es aber um die Maßnahmen, die etabliert sind, und die Beschreibung ihrer Umsetzung.

Sichere Aufbewahrung von Datenträgern. Das ist keine Beschreibung der Umsetzung, das ist die Anforderung. Beschreibe sicher! In der Anfangszeit von PrivCom Datenschutz im Jahr 2002/2003 haben wir die Daten unseres Servers auf CDs gesichert. Die lagen im selben Büroraum wie der Server. Sicher, da kam außer den damals zwei Mitarbeitern von PrivCom niemand rein. Solange sicher, bis eines Tages das Büro nebenan abbrannte und unseres nur mit Glück keinen Schaden nahm.

Ärger von allen Seiten

Leute, ich habe es so satt. Jeder kleine Autounfall wird besser dokumentiert als technisch-organisatorische Sicherheitsmaßnahmen im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO.

Für uns kommt der Ärger dabei von allen Seiten. Einerseits sind mitunter unsere Mandanten genervt, wenn sie Aufwand mit formalen Dingen haben, wenn sie doch nur eine neue Software nutzen wollen. Verständlich, aber leider nicht zu ändern. Das Argument: „Das ist doch so ein großer Anbieter, der wird doch keine Sicherheitsrisiken haben“, zählt nicht. Ein Blick in die Liste der Datenschutzvorfälle der letzten 12 Monate genügt um festzustellen, dass alles angegriffen wird, was sich im Netz bewegt. Groß oder klein.

Von Seiten der Dienstleister hören wir „was sind Sie denn so pingelig, nach solchen Details fragt sonst niemand“, wenn wir Nachbesserungen in den AV-Verträgen verlangen.

Warum fragt eigentlich niemand?

Auch ich bin verwundert, warum außer mir offenbar niemand fragt. Liebe Kolleginnen und Kollegen Datenschutzbeauftragte, was tut ihr den ganzen Tag? Der Softwareanbieter, aus dessen AV-Vertragsmuster die meisten der oben zitierten Beispiele stammen, sagte mir, er habe im letzten Jahr 37 Verträge abgeschlossen, u.a. mit großen Krankenhäusern und anderen medizinischen Einrichtungen. Keiner habe den Text beanstandet. Keine Geschäftsführung, kein Datenschutzbeauftragter, niemand.

Nicht beschrieben, nicht existent

Ja – ich bin pingelig. Verflixt noch mal! Alle Unklarheiten und Auslassungen in der Beschreibung der Sicherheitsmaßnahmen im AV-Vertrag gehen zu Lasten meines Mandaten, des Auftraggebers! Im Streitfall existiert im Zweifel nicht, was nicht beschrieben ist. Dafür haftet dann der Auftraggeber – und der kann den Schaden bei mir geltend machen, wenn ich unzureichende Vertragsklauseln durchwinke, nur weil niemand Mühe haben will. Auch Auftragnehmer haben die Vorgaben des Art. 32 DSGVO zu erfüllen! Warum ist es nicht möglich, diese dann einmal sorgfältig und ausführlich zu beschreiben?

Der Poet

Mein Kollege hat in seinem früheren Leben (wie er es nennt) Software entwickelt. Als er irgendwann feststellte, dass in seiner Firma niemand mehr mit der Dokumentation der Software hinterherkam, hat er dafür jemanden beauftragt. Das war ein ehemaliger Deutschlehrer, genannt der Poet. Dieser tat nichts anderes, als die Software zu dokumentieren.

Wenn Sie es nicht schaffen, Ihre technischen und organisatorischen Sicherheitsmaßnahmen zu beschreiben, lassen Sie mich das machen. Es tut nicht weh und kostet nicht viel. Der Poet in mir müsste sich nicht länger ärgern, Sie hätten Ihre Haftungsrisiken minimiert. Eine klassische Win-Win-Situation.

SORMAS-X Datenschutz: Einzelne Themen (3)

Wie in den vorangegangenen Beiträgen bereits erwähnt, besteht die Datenschutz-Dokumentation aus über 50 einzelnen Dokumenten. Nachfolgend stellen wir die Wichtigsten kurz vor. Dies ist die letzte Folge zum Thema Datenfelder und Zwecke. Heute geht es um das Löschkonzept für die SORMAS-X Software.

Löschkonzept

Zu Beginn des SORMAS@DEMIS Projektes konnten Daten aus der Software nur manuell gelöscht werden. Unklar war zunächst auch, ob sie tatsächlich gelöscht wurden, oder ob sie nur aus dem Sichtfeld der Anwenderin in einen verborgenen Teil der Datenbank verschoben wurden. So oder so war klar, dass dies nicht so bleiben konnte. Wir brauchten eine Idee für die Umsetzung des automatisierten Löschens von Daten aus der SORMAS-X Software.

Wir setzen für unsere Auftraggeber schon länger eine Vorlage für ein Löschkonzept ein, die mein technischer Sachverständiger entwickelt hat. Sie basiert auf der Grundlage der DIN 66398 "Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten". Die Vorlage ermöglicht eine Schritt-für-Schritt Erstellung eines Löschkonzepts.

Eine Vorlage für die Gesundheitsämter

Wir passten diese Vorlage an die SORMAS-X Anforderungen an und füllten sie mit Vorschlägen zu Löschfristen. Die Löschfristen sollten, so der Plan, den Gesundheitsämtern als Leitlinie für die Entwicklung und Ergänzung eigener Löschfristen dienen. Die endgültige Festlegung der Löschfristen stand anfangs noch unter dem Vorbehalt der Abstimmung mit den Landesdatenschutzbeauftragten. Die Löschfristen zu definieren war nicht ganz einfach, aber verglichen mit der anschließenden Entwicklung eines Plans für die tatsächliche Umsetzung dieser Anforderungen in der Software war dieser Teil ein kleiner Spaziergang. Die Datenbank-Logik der SORMAS-X Software arbeitet nicht personenzentriert, sondern ereignisbasiert. Würde man für das Löschen bei den Informationen über die Person ansetzen, liefe man Gefahr Informationen entweder zu kurz oder viel zu lange aufzubewahren.

Die Softwareentwickler sahen uns ratlos an, als wir ihnen die datenschutzrechtlichen Anforderungen vorstellten. „Was glaubt ihr, wie das gehen soll? Wie sollen wir das denn machen?“ Ich war versucht zu antworten, dass sie das doch wissen müssten? Seid ihr die Programmierer oder wir? Damit wären wir aber keinen Millimeter weiter gewesen. Entweder, wir würden mit ihnen einen Weg finden, oder wir würden keine Umsetzung unseres Konzepts bekommen.

Vorteil Schwarmintelligenz

An dieser Stelle zeigte sich wieder einmal der Vorteil der „Schwarmintelligenz“, die im SORMAS Datenschutzteam zusammengefunden hatte. Zwei der technischen Sachverständigen aus dem Team überführten in teils langwierigen Verhandlungen mit den Entwicklern unser formal-theoretisches Konzept in die Beschreibung der praktischen Umsetzung. Sie wählten einen innovativen Ansatz. Die Aufbewahrungsfristen sollen nicht „übergreifend“ an den (Personen-) Datensatz gebunden sein, sondern an jedes einzelne Datenfeld.

Feldweises Löschen

Auf diese Weise ist es möglich, dass jeder Datensatz automatisiert feldweise „von hinten nach vorne“ gelöscht werden kann, beginnend mit dem Feld mit der kürzesten Aufbewahrungsfrist. Erst, wenn auch das letzte Feld mit der längsten Aufbewahrungsfrist gelöscht ist, wird der Datensatz einer Person gelöscht. Die Aufbewahrungsfristen werden dementsprechend für jedes einzelne Datenfeld hinterlegt. Auf diese Weise wird jede Information automatisch zu exakt dem Zeitpunkt gelöscht, zu dem die Löschung rechtlich vorgegeben ist. Die Löschfristen werden direkt in der Software hinterlegt. Sie können von den Stellen, die SORMAS-X einsetzen, ergänzt und verändert werden.

Umsetzung folgt

Wie bei anderen Themen auch, verhinderte die Fülle der Aufgaben und die Knappheit der Zeit die tatsächliche Umsetzung des Plans, aber aufgeschoben ist nicht aufgehoben. Netzlink hat es sich zur Aufgabe gemacht, die Implementierung des automatisierten Löschens in der SORMAS-X Software gleich im ersten Quartal 2023 auf den Weg zu bringen.

SORMAS-X Datenschutz: Einzelne Themen (2)

Wie in den vorangegangenen Beiträgen bereits erwähnt, besteht die Datenschutz-Dokumentation aus über 50 einzelnen Dokumenten. Nachfolgend werden die wichtigsten kurz vorgestellt. Nach der Datenschutz-Folgenabschätzung geht es hier um Datenfelder und Zwecke in der SORMAS-X Software.

Datenfelder und Zwecke

Ich erinnere den Anfang und den Grund nicht mehr genau, aber jedenfalls erhielten wir von der Projektleitung eine Excel-Tabelle mit allen Datenfeldern, die in der SORMAS-X Software enthalten waren. Zu diesem Zeitpunkt waren es rund 500 Datenfelder, später wuchs die Zahl auf fast 800.

Fast 800 Datenfelder

Die Tabelle war unübersichtlich und mit Anmerkungen versehen, deren Sinn sich uns in Teilen nicht erschloss. Wir bauten die Tabelle so um, dass wir sie nutzen konnten. Wir fügten Rechtsgrundlagen, Zwecke und später auch Löschfristen ein. Die Idee war, auf diese Weise eine umfassende Übersicht und Überprüfbarkeit der Zulässigkeit der Datenerhebung mittels der SORMAS-X Software zu erhalten.

Ich habe diese Datenfeldertabelle mehr als einmal verflucht. So sehr ich von dem Sinn und Nutzen überzeugt war, so schwierig war die praktische Handhabung.

Dadurch, dass nicht nur das Datenschutzteam damit arbeitete, sondern auch die Projektleitung und die Programmierer Rückmeldung und Informationen einfügen mussten, war die Tabelle bald ein Fall von „viele Köche können schnell den Brei verderben“. Wir hätten sie in eine Datenbank überführen müssen, aber das war aus verschiedenen Gründen nicht möglich. Als weitere Herausforderung erwies sich die Tatsache, dass mitunter nicht sicher war, ob das, was in der Tabelle abgebildet, auch wirklich in der Software vorhanden war. Der Prozess des Hinzufügens und der Herausnahme von Feldern lief ja parallel weiter.

Die Datenfeldertabelle diente als Grundlage für die Diskussion mit den Landesdatenschutzbeauftragten über die Zulässigkeit des Betriebs der Software aus datenschutzrechtlicher Sicht. Und sie diente als interne Kontrolle der Rechtmäßigkeit der Datenverarbeitung (Art. 5 DSGVO).

Rechtsgrundlagen bis zum letzten Halbsatz zitiert

„Wir fügten Rechtsgrundlagen ein“, schreibt sich jetzt im Nachhinein einfach hin, aber es war eine wahre Sisyphusarbeit. Auf Wunsch der Landesdatenschutzbeauftragte zitierten wir nicht nur die Vorschriften des IfSG bis in den letzten Halbsatz, sondern auch die Landesdatenschutzgesetze und die Gesetze über den öffentlichen Gesundheitsdienst (so vorhanden). Rückblickend betrachtet meine ich, dieses Vorgehen war im Prinzip gut, hätte aber besser koordiniert umgesetzt und technisch abgebildet werden müssen.

Es sind noch Fragen offen

Ebenfalls rückblickend stelle ich fest, dass uns einige Fragen der Zulässigkeit der Datenerhebung von der Agenda gefallen sind. So haben wir beispielsweise die Frage der Zulässigkeit des Erfragens von Symptomen von Fallpersonen und Kontaktpersonen über ein sog. online Symptomtagebuch überhaupt nicht thematisiert. (Auch die Aufsichtsbehörden fragten nicht danach). Wie problematisch das sein konnte, zeigte eine Beanstandung des bayerischen Landesdatenschutzbeauftragten gegen Ende des Projekts. Die Einzelheiten werden noch Gegenstand eines weiteren Blogartikels.

Stand jetzt muss auch dieses Dokument grundlegend überarbeitet werden, um für den Datenschutz in der SORMAS-X Software eine belastbare Grundlage zu sein. Dies schon deshalb, weil sich derzeit am Übergang von der Pandemie zur endemischen Phase viele rechtliche Grundlagen erneut verändert werden.

SORMAS-X Datenschutz: Einzelne Themen (1)

Wie in den vorangegangenen Beiträgen bereits erwähnt, besteht die Datenschutz-Dokumentation aus über 50 einzelnen Dokumenten. Nachfolgend werden die wichtigsten kurz vorgestellt.

Datenschutz-Folgenabschätzung (DSFA)

Eigentlich hatten es sich die Gesetzgebenden in Europa gut überlegt.

„Hat eine Form der Verarbeitung … voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch“. (Art. 35 Abs. 1 DSGVO).

Das heißt, bevor eine Stelle mit einem möglicherweise riskanten Verfahren hantiert, soll sie die Risiken prüfen und minimieren.

„Der Verantwortliche“ soll, so die Vorschrift weiter, „bei der Durchführung einer Datenschutz-Folgenabschätzung den Rat des Datenschutzbeauftragten einholen“. (Art. 35 Abs. 2 DSGVO).

Die Datenschutzaufsichtsbehörden hatten schon zu einem sehr frühen Zeitpunkt die Erstellung einer solchen Datenschutz-Folgenabschätzung (DSFA) für die SORMAS-X Software gefordert. (Zu Recht. Was sonst, wenn nicht die millionenfache Verarbeitung von Gesundheitsdaten sollte ein risikoreiches Verfahren sein).

Art. 35 DSGVO

Nun waren wir als Datenschutzteam des SORMAS@DEMIS Projektes nicht „der Verantwortliche“ (Art. 4 Nr. 7 DSGVO) für die Software, aber wir waren noch die Fachkundigsten von allen beteiligten Stellen. Allerdings fehlten uns zu diesem frühen Zeitpunkt – Herbst 2020 – grundlegende Informationen, die eine wirklich fundierte Erstellung einer DSFA möglich gemacht hätten. Dies lag wiederum darin begründet, dass die Software in der Anpassung und Weiterentwicklung befindlich war. Wir konnten daher nicht eine DSFA erstellen, die den von Art. 35 DSGVO vorgesehenen Ablauf einhält: eine Vorab-Beschreibung der Funktionalitäten der Software, Beschreibung der Zwecke, Rechtsgrundlagen und technischen und organisatorischen Sicherheitsmaßnahmen, Beschreibung der Risiken, Bewertung der Risiken.

Somit entstand eine DSFA, die eher ein fundierter Entwurf einer DSFA war, der im Verlauf des weiteren Verfahrens zu ergänzen war.

Von Seiten der Landesdatenschutzbeauftragten brachte uns das viel Kritik ein, aber was sollten wir tun. Immerhin hatten wir mit dem Entwurf der DSFA eine geschlossene Beschreibung aller möglichen Risiken, an der wir uns im Verlauf bei der weiteren Definition der Sicherheitsanforderungen orientieren konnten.

Da einige Vorhaben der Weiterentwicklung der Software innerhalb der Projektlaufzeit nicht zu Ende gebracht werden konnten, blieb der Entwurf der DSFA ein Entwurf.

Stand jetzt, Anfang 2023, nehmen wir die Arbeiten für die Erstellung einer vollständigen DSFA für die SORMAS-X Software wieder auf. Sie soll dann auch den Gesundheitsämtern, die SORMAS-X weiterhin einsetzen, zur Verfügung gestellt werden.

Im nächsten Artikel geht es weiter mit einzelnen Themen und hier geht es zum Anfang der Serie.

SORMAS-X Datenschutz: Die Dokumentation

Die SORMAS-X Datenschutz-Dokumentation besteht aus über 50 Dokumenten, die alle Datenschutz/Informationssicherheit Themen abdecken, die aus rechtlicher und technischer Sicht zu regeln waren. Diese Themen reichten von einer Datenschutz-Folgenabschätzung, einem umfassenden Sicherheitskonzept über eine Tabelle mit allen Datenfeldern, die in der Software vorhanden sind, bis zu einer Darstellung des Datenmodells und der Anforderungen an die sichere Gestaltung von Schnittstellen.

Unser Ziel war es dabei von Anfang an, die Dokumentation auch für die Gesundheitsämter nutzbar zu machen, die die SORMAS-X Software einsetzen.

Viele der Dokumente sind daher so gestaltet, dass sie von den Gesundheitsämtern als Vorlage genutzt und mit eigenen Inhalten ergänzt werden können, so zum Beispiel die Datenschutz-Folgenabschätzung und das Verzeichnis Verarbeitungstätigkeiten. Dies war insbesondere vor dem Hintergrund bestehender länderspezifischer Vorgaben in den einzelnen Bundesländern erforderlich.

Privacy by Design umsetzen

Ein weiteres Ziel, das wir im Verlauf der Arbeiten entwickelt haben, war die möglichst weitgehende Berücksichtigung und Umsetzung des Grundsatzes von Privacy by Design in der Software.

Aus unserer Sicht hat sich nicht nur dafür, aber generell ein dreistufiges Vorgehen als das Beste erwiesen. Pro Thema haben wir zunächst ein formales Konzept erstellt, das die formalen datenschutzrechtlichen Anforderungen (beispielsweise an das automatisierte Löschen von personenbezogenen Daten) beschreibt. Daneben haben wir dann ein technisches Umsetzungskonzept entwickelt, das die technischen Möglichkeiten der Umsetzung beschreibt, wie sie im formalen Konzept definiert sind. Um im obigen Beispiel des automatisierten Löschens von personenbezogenen Daten zu bleiben heißt das: im technischen Umsetzungskonzept ist beschrieben, wie das automatisierte Löschen von Daten aus der Software konzipiert und ermöglicht werden soll und kann. Als dritter Schritt war geplant, die Beschreibung der technischen Umsetzung zu dokumentieren, um den Nachweis führen zu können, dass die in den Konzepten niedergelegten Anforderungen eingehalten sind. Dieser dritte Schritt ist in Bezug auf einige Themen der SORMAS Software bis Projektende noch offengeblieben, was den begrenzten zeitlichen, personellen und auch finanziellen Ressourcen des Projektes geschuldet ist.

Im Ergebnis ist SORMAS-X am Ende des Projekts die Software, die von allen IfSG-Fachanwendungen am sorgfältigsten und gründlichsten im Hinblick auf Datenschutzfragen geprüft und dokumentiert ist.

Sie kann damit Vorbild für alle anderen IfSG-Fachanwendungen sein. Dies gilt unabhängig von der Tatsache, dass es weiterhin Bedarf für die Weiterentwicklung gibt. Der ist identifiziert, benannt und die nötigen Arbeiten für die Umsetzung von weiteren Privacy by Design Merkmalen durch Netzlink haben bereits begonnen.

Ausblick

In den nächsten Artikeln werden einzelne Dokumente zu Datenschutz- und Sicherheitsthemen, die im Verlauf des Projektes besonders wichtig waren, etwas weiter im Detail erläutert.

Den ersten Artikel aus der Reihe "SORMAS-X Datenschutz" finden Sie hier.

Sie brauchen Unterstützung bei der Umsetzung von Datenschutz im Gesundheitswesen? Sprechen Sie uns gerne an und wir finden in einem kostenlosen Erstgespräch heraus, was wir für Sie tun können.

SORMAS@DEMIS. Datenschutz

SORMAS@DEMIS. Das Projekt

Die letzten zweieinhalb Jahre meiner Beratungstätigkeit waren von meiner Arbeit im SORMAS@DEMIS Projekt geprägt. Ich habe das Datenschutzteam geleitet, das im Rahmen des Projektes bei meinem langjährigen Kooperationspartner, der Firma Netzlink, angesiedelt war. Zusammen mit dem Team habe ich die Dokumentation zu Datenschutz und Informationssicherheit für die SORMAS-X Software entwickelt. Das Datenschutzteam SORMAS@DEMIS bestand aus insgesamt acht erfahrenen Sachverständigen mit juristischem und technischem Wissen.

Das Projekt endete mit dem Jahr 2022 und ich habe mich entschlossen, hier in einer Reihe von mehreren Artikeln von dieser Arbeit zu berichten. Das Projekt ist beendet, aber die Arbeiten zur Verbesserung des Datenschutzes und der Sicherheit an der SORMAS-X Software gehen weiter. Netzlink betreibt auch in Zukunft die Software als Dienstleister für zahlreiche Gesundheitsämter bundesweit und europaweit, und das Datenschutzteam führt seine Arbeit unter veränderten Vorzeichen fort.

Zu Beginn der COVID-19 Pandemie Anfang des Jahres 2020 wurde sehr schnell klar, dass Deutschland über keine digitale Ausstattung verfügte, die die Gesundheitsämter bei der Kontrolle der Infektionen hätte unterstützen können. Eine Zuordnung von infizierten Personen zu Kontaktpersonen war nicht möglich und damit auch nicht die Auswertung von Infektionsketten. Auch konnten mit den bestehenden Instrumenten die Infektionszahlen nur mit tagelanger Verzögerung an das Robert-Koch-Institut gemeldet werden, um nur zwei Beispiele zu nennen.

SORMAS@DEMIS: Der Beginn

Vor diesem Hintergrund setzte das Bundesgesundheitsministerium ein Forschungsprojekt mit dem Ziel auf, die SORMAS-Software für alle Gesundheitsämter in Deutschland anwendbar zu machen. SORMAS ist die Abkürzung für

„Surveillance Outbreak Response Management and Analysis System“

und der Name beschreibt die Funktion. Das „X“ steht für Exchange und bezeichnet die Möglichkeit des automatisierten Datenaustausches zwischen den Stellen, die die Software einsetzen. Die Software ist ursprünglich ein Open Source Projekt des Helmholtz Instituts in Braunschweig. Sie war bereits seit vielen Jahren in Westafrika als Teil der Bekämpfung von Epidemien erfolgreich im Einsatz und sollte nunmehr für Deutschland weiterentwickelt und an die hiesigen Prozesse des öffentlichen Gesundheitsdienstes angepasst werden. Dabei stand zunächst die Verbesserung des Managements von Kontaktpersonen im Vordergrund, sowie die Möglichkeit des automatisierten Datenaustausches zwischen den einzelnen Gesundheitsämtern. Im weiteren Verlauf des Projektes ging die Entwicklung jedoch immer weiter in Richtung einer IfSG-Fachanwendung, die aber auf die für die Covid-Pandemie erforderlichen Abläufe beschränkt blieb.

SORMAS-X Datenschutz: Die Herausforderung

Als ich im Herbst 2020 die Leitung des Datenschutzteams übernahm, befand sich die Software einerseits in der Weiterentwicklung und Anpassung an deutsche Erfordernisse, gleichzeitig aber war sie in zahlreichen Gesundheitsämtern bundesweit schon im laufenden Betrieb eingesetzt. Wir hatten daher keine Zeit, erst Konzepte zu erstellen, die im zweiten Schritt umgesetzt würden.

Die Definition der Anforderungen, die Ausarbeitung der Konzepte, die Umsetzung im laufenden Betrieb, die Änderungen aufgrund von Datenschutz- oder Sicherheitsanforderungen … alles das erfolgte in weiten Teilen parallel.

Es bestand eine Datenschutz-Dokumentation, die aber aus Sicht des Dienstleisters Netzlink im Rahmen der Auftragsverarbeitung für die Gesundheitsämter geschrieben war. Es galt, diese in eine Dokumentation zu erweitern, die die Software als Ganzes und alle beteiligten Stellen in den Blick nahm. Konkrete Vorgaben von Seiten der Urheber des Projekts gab es nicht, außer, dass das ganze Vorhaben „datenschutzkonform“ sein sollte.

Wir trafen auf massiven zeitlichen Druck, der sich Anfang 2021 noch verstärkte, als die Konferenz der Kanzlerin und der Ministerpräsidentinnen und -präsidenten der Länder beschloss, dass SORMAS-X bis Ende Februar 2021 in allen Gesundheitsämtern bundesweit laufen sollte. Die Informationsflüsse zwischen uns Datenschutzverantwortlichen und den übrigen Projektbeteiligten mussten innerhalb des Projekts erst organisiert werden. Hinzu kam die weitverbreitete „ja, aber“ Haltung gegenüber den Anforderungen an Datenschutz und Informationssicherheit.

Ja, Datenschutz ist wichtig. Aber müsst ihr uns wirklich damit Arbeit machen?

Das gegenseitige Verständnis und die Informationsflüsse wurden im weiteren Verlauf des Projekts immer besser, der zeitliche Druck blieb. Parallel dazu wurden wir immer mehr zu einer Art allgemeinem Datenschutzkummerkasten. Wenn bei einer der projektbeteiligten Stellen etwas schief lief oder schief zu laufen drohte, wurde nicht der/die Datenschutzbeauftragte der jeweiligen Stelle gefragt, sondern wir. Ebenso landeten alle Anfragen aus Gesundheitsämtern zu Datenschutzthemen bei uns.

Alles in allem kam die Arbeit in diesem Projekt meiner Liebe für die Ordnung komplexer Probleme entgegen, und auch wenn ich manchmal der Verzweiflung nahe war, konnten wir viel gestalten. Wie bereits erwähnt, nutzen wir heute die Erfahrungen aus dem Projekt weiter. Zusammen mit Netzlink in Braunschweig und Vossel Solutions in Soest unterstützen wir nicht nur die Weiterentwicklung von SORMAS, sondern bieten auch speziell auf den öffentlichen Gesundheitsdienst und den privaten Gesundheitssektor zugeschnittene Beratungsangebote an.

Fortsetzung folg: Im nächsten Artikel beschreibe ich die Einzelheiten der Datenschutz-Dokumentation für SORMAS-X.

Mein Buch über Datenschutz und Informationssicherheit

„Schreib‘ ein Buch!“, sagten die Frauen aus dem Marketing mir damals, als ich anfing Beraterin zu sein. „Ein Buch ist die beste Eigenwerbung für Kleinselbstständige!“. Schön wär’s, dachte ich. Ich hatte zwei noch sehr kleine Kinder, für die ich alleine verantwortlich war, und hielt die PrivCom Datenschutz mit viel Mühe gerade so am Laufen. Etwas später musste ich dann das (schnelle) Wachstum der Firma organisieren, was sich auch als keine ganz leichte Aufgabe herausstellte. Zusammen mit der Sorgearbeit zu Hause gab es für alles Drumherum nach wie vor wenig bis keinen Platz. Ein Buch über Datenschutz zu schreiben war ein guter Gedanken in ganz weiter Ferne.

Hinzu kam, dass ich lange nur wusste, was ich nicht schreiben wollte. Ich wollte nicht der großen Anzahl von „Wie organisieren Sie Datenschutz im Unternehmen“ Ratgebern einen weiteren hinzufügen.

Nun aber, fast 18 Jahre nach dem ersten Gedanken an ein Buch, ist es jetzt soweit. Das Manuskript ist so gut wie fertig und das Buch wird 2023 erscheinen. „So kompliziert ist das ja gar nicht – Geschichten und nützliches Wissen über Datenschutz“ lautet der vorläufige Titel.

Datenschutz und Informationssicherheit

Ich möchte Leserinnen und Leser erreichen, die sich für Datenschutz, Informationssicherheit und Digitalisierung interessieren (müssen), sich aber mit den Details nicht auskennen und einen verständlichen und unterhaltsamen Überblick über die Materie erhalten wollen. Das Buch ist für diejenigen, die kein Fachbuch im herkömmlichen Sinn lesen, sondern einen ungewohnten Blick auf diese ungeliebten Themen erhalten wollen. Eingeflossen sind gut 20 Jahre Erfahrung aus der Beratung zu Datenschutz und Informationssicherheit und mein Anspruch, diese als „trocken“ oder „extrem kompliziert“ angesehene Materie leicht und in Geschichten verpackt darzustellen. In meinem Alltag als Beraterin gelingt mir das aller Regel - ob es mir auch mit dem Buch gelungen ist, müssen dann diejenigen beurteilen, die es lesen. Ich bin gespannt. Vorbestellungen nehme ich gerne jetzt schon hier entgegen.

Hinweisgeberschutzgesetz verabschiedet

Wir haben in den letzten Wochen und Monaten ein neues Geschäftsmodell entwickelt. Die Frau meines Kollegen nennt es unsere „Petzer-Hotline“, aber, mit Verlaub, das trifft es nicht ganz. Die formale Bezeichnung ist „Meldestelle nach Hinweisgeberschutzgesetz“. Die Pflicht zur Einrichtung einer solchen findet sich in dem Hinweisgeberschutzgesetz (HinSchG), das vor ein paar Tagen vom Bundestag verabschiedet wurde. Das Gesetz dient der lange überfälligen Umsetzung der "EU-Whistleblower-Richtlinie" in deutsches Recht. Die Zustimmung des Bundesrats steht derzeit noch aus, aber trotzdem ging die Verabschiedung nun viel schneller als allgemein erwartet.

Worum geht es genau?

Es hat sich die Erkenntnis durchgesetzt, dass „Petzen“ in Unternehmen und Behörden ein erwünschter Vorgang sein kann, wenn er interne Missstände in den Blick rückt, die vorher nicht bekannt waren – oder die vielleicht bekannt waren, aber unter den sprichwörtlichen Teppich gekehrt werden sollten. Diejenigen, die in Unternehmen und Behörden Fehlentwicklungen, Gesetzesverstöße, Risiken und auch Straftaten melden, sollen mit dem HinSchG besser geschützt werden, beispielsweise vor Kündigungen oder Abmahnungen, die auf die Meldung eines Vorfalls zurückzuführen sind. Besser geschützt werden sollen aber auch die, die von den hinweisgebenden Personen beschuldigt werden. Die Meldungen sollen durch die Einrichtung entsprechender interner Prozesse aufgearbeitet und einer Lösung zugeführt werden.

Was müssen Unternehmen jetzt tun?

Mit der Verkündung des Gesetzes voraussichtlich im Februar 2023 haben Arbeitgeber mit 250 oder mehr Beschäftigen drei Monate Zeit, die Vorgaben des HinSchG umzusetzen und interne oder externe Meldestellen aufzubauen. Unternehmen mit 50 bis 249 Beschäftigten haben länger Zeit für die Umsetzung: sie müssen bis zum 17. Dezember 2023 fertig sein. Öffentliche Stellen sind bereits seit dem 18. Dezember 2021 verpflichtet, interne Meldestellen vorzuhalten, weil die EU-Whistleblower-Richtlinie seit dem Ablauf der Umsetzungsfrist für die öffentliche Verwaltung unmittelbar gilt.

Risikomanagement im Unternehmen

Bei genauerem Hinsehen zeigt sich, dass das Gesetz ein weiterer Baustein der Compliance und des Risikomanagements in Unternehmen ist. Dort sind dann auch die Schnittstellen zum Datenschutz und zur Informationssicherheit zu verorten. Als Datenschutzbeauftragte und Manager von Informationssicherheit sind wir täglich und ständig mit Risikobewertung und Compliancefragen befasst. Hier wie dort geht es um die Frage der guten Unternehmensführung durch Einhaltung der gesetzlichen Vorgaben und Etablierung angemessener interner Prozesse.

Deshalb empfehlen wir auch, diese neuen Vorgaben nicht nur als eine weitere lästige Pflicht zu betrachten, die der Gesetzgeber den Unternehmen ärgerlicherweise auferlegt, sondern sie für die Fortentwicklung des Unternehmens und der Unternehmenskultur positiv zu nutzen.

Darüber hinaus stellen sich bei der Einrichtung einer solchen Meldestelle, wie sie das Gesetz jetzt verpflichtend macht, zahlreiche Datenschutzfragen. Sie reichen von der Sicherstellung der Anonymität einer hinweisgegebenden Person (sofern gewünscht) über die Umsetzung der Löschfristen bis zur Erstellung einer Datenschutz-Folgenabschätzung für das Verfahren.

Was können wir für Sie tun?

Wir unterstützen Sie bei der Einrichtung der Meldestelle und beraten Sie zu allen damit einhergehenden Fragen. Sie können uns auch als externe Beauftragte für den Betrieb Ihrer Meldestelle beauftragen. Wir sind eine Kooperation mit LegalTegrity eingegangen und setzen die schon langjährig erprobte LegalTegrity Software für die Bearbeitung der Meldungen ein. Sprechen Sie uns gerne an und vereinbaren einen Termin.

Weitere, detaillierte Informationen finden Sie auch in diesem Beitrag von LegalTegrity:

https://legaltegrity.com/hinweisgeberschutzgesetz/

Startseite NEU

Brauchen Sie eine (externe) Datenschutzbeauftragte?

Wie funktioniert die Bestellung eines betrieblichen Datenschutzbeauftragten?

Das Bundesdatenschutzgesetz verpflichtet nichtöffentliche Stellen, die personenbezogene Daten verarbeiten, unter bestimmten Umständen zur Bestellung eines betrieblichen Datenschutzbeauftragten. In diesem Artikel erfahren Sie, unter welchen Bedingungen Ihr Unternehmen davon betroffen ist und wann Sie mich und die PrivCom Datenschutz GmbH dafür engagieren können.

Anfang ist, wo Sie stehen

Gut, dass Sie hier sind und sich dem Thema widmen! Es ist egal, wie lange Sie schon überlegen und welche Schritte Sie bisher unternommen haben. Wir holen Sie da ab, wo Sie gerade stehen.
Im Laufe der Jahre habe ich als Beraterin gelernt, mit der Führungsebene in Unternehmen Geduld zu haben, was die Bewertung der Wichtigkeit des Datenschutzes und seiner Umsetzung im Unternehmen angeht. Mehr als einmal erlebte ich, dass auch Geschäftsführungen, die Datenschutz zunächst als ein Thema betrachteten, dass zwar irgendwie bearbeitet werden müsste, aber kein weiteres Engagement bräuchte, im Laufe der Zeit umgedacht haben. Dieses Umdenken führte dann oft zu einem Engagement, das aus einer gewachsenen Überzeugung resultierte.

Die ungeliebten Themen endlich angehen

Insofern sind die mir liebsten Geschäftsführungen diejenigen, die Datenschutz und Informationssicherheit zwar mit einer gewissen Skepsis betrachten und von der Wichtigkeit im Grunde ihres Herzens nicht überzeugt sind, die aber gleichzeitig wissen, dass gute Standards ein Baustein ihres geschäftlichen Erfolgs sind. Bestenfalls wächst aus dieser Haltung eben jene Überzeugung, aus der heraus das Thema unternehmensintern bearbeitet wird.

Die Pflicht zur Bestellung einer / eines Datenschutzbeauftragten

…besteht für Unternehmen und Organisationen, sofern sie

„in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“;
§ 38 BDSG

und unabhängig von der Anzahl der beschäftigten Personen, wenn

"die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht"
Art. 37 Abs. 1 lit. c DSGVO

oder

"die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen"
Art. 37 Abs. 1 lit. b DSGVO

Datenschutzbeauftragte können unternehmensintern oder extern bestellt werden.

Bitte beachten Sie: Sofern Ihr Unternehmen nach den Vorgaben des § 38 BDSG nicht verpflichtet ist, einen Datenschutzbeauftragten zu bestellen, sind Sie trotzdem gehalten, die Anforderungen der DSGVO umzusetzen!

Bitte beachten Sie außerdem: Die mögliche Verpflichtung, eine Datenschutzbeauftragte zu bestellen, gilt sowohl für Verantwortliche (Unternehmen, die ihre eigenen Daten verarbeiten) als auch für Auftragsverarbeiter (Unternehmen, die die Daten anderer verarbeiten, z.B. Rechenzentren).

Auslagern hat Vorteile

Auch und gerade für kleine Unternehmen kann es vorteilhaft sein, die Bearbeitung der Datenschutz-Aufgaben auszulagern, anstatt sie selber bearbeiten zu wollen. Wir lösen Probleme in 15 Minuten, für die Sie Tage bräuchten, da wir uns seit vielen Jahren ausschließlich mit diesen Themen beschäftigen. Und wir übernehmen die Gewähr, dass unsere Lösungen richtig und rechtskonform sind.

... und die Kosten?

Für kleine Unternehmen haben wir Bausteine zu den wichtigsten Themen, die Sie auch ohne Bestellung als Datenschutzbeauftragte buchen können.

Für größere Unternehmen vereinbaren wir eine individuelle Beratung.

In beiden Fällen gilt: eine Auslagerung und externe Beratung ist günstiger als selber machen.

Nachlese: Vortrag. Datenschutz in kleinen Unternehmen

Lange im Voraus geplant, war ich am 10. März mit einem Vortrag bei der Tagung des Deutschen Boots- und Schiffbauer-Verbandes zu Gast. "... auch das noch! Ein Erste-Hilfe-Plan Datenschutz und Informationssicherheit für kleine Unternehmen" hatte ich meinen Beitrag genannt.

Es war das erste Mal seit gefühlen hundert Jahren, dass ich mal wieder live und vor Ort bei einer Veranstaltung war. Umso mehr freute ich mich über einen kurzen Bericht über meinen Auftritt in der Verbandszeitsschrift der Boots- und Schiffsbauer.

"Die Referentin, Dr. Bettina Kähler, ... skizzierte anschaulich und verständlich, was in Bezug auf Daten zu tun und zu lassen sei. Fazit: ob man will oder nicht ... man kommt nicht darum herum, sich mit den Anforderungen des Datenschutzes zu befassen und das eigene Unternehmen rechtskonform aufzustellen. ... Der korrekte Umgang mit Daten ist keine Option, die man wählt oder nicht, sondern eine Selbstverständlichkeit im geschäftlichen Umgang."
bootswirtschaft, Nr. 2 April 2022

Der Auftritt hat mir viel Spaß gemacht und ich nehme gerne Aufträge für weitere Vorträge entgegen. Melden Sie sich gerne hier.

Auszug aus dem Bericht über die Frühjahrstagung

Was können wir für Sie tun?

Von der Datenschutzangst und der Datenschutzausrede

Das Ende der Umsetzungsfrist für die Datenschutz-Grundverordnung (DSGVO) Ende Mai 2018 sorgte in vielen Unternehmen für eine Art Torschlusspanik in Sachen Datenschutz und IT-Sicherheit. Die allgemeine Verunsicherung legte sich nur langsam: Das Stichwort Datenschutz-Grundverordnung scheint bei vielen Verantwortlichen in Unternehmen auch Jahre später noch immer einen diffusen Eindruck von Defiziten und Gefahr zu bewirken.

Auf der Grundlage der geltenden Datenschutzgesetze können mehr als 99% aller Prozesse in Unternehmen und Behörden geregelt werden.

Für Panik besteht jedoch kein Anlass. Entgegen anderslautenden Gerüchten stehen nicht alle Verantwortlichen, die die Anforderungen der DSGVO in ihren Unternehmen immer noch nicht umgesetzt haben, mit einem Bein im Gefängnis. Ebenso wenig geht der Mittelstand an hohen Bußgeldern für Datenschutzverstöße zugrunde – oder an den Kosten für die externen Datenschutzbeauftragten, um die Bußgelder zu vermeiden.

Nicht-Entscheidungen werden in Unternehmen und Behören regelmäßig mit Datenschutz gerechtfertigt.

Andererseits sollte sich niemand zurücklehnen und die Themen Datenschutz-Grundverordnung und IT-Sicherheit als Themen betrachten, die wie so viele andere Hypes schon wieder vergehen werden. Nicht-Handeln ist keine Option, Datenschutz als Ausrede auch nicht.

Vergessen Sie für einen Moment die Gesetze. Die Absicherung Ihrer IT-Infrastruktur bedeutet nicht weniger als die Grundlage für Ihren wirtschaftlichen Erfolg.

Als langjährig erfahrene Datenschutzberater und externe Datenschutzbeauftragte leiten wir Sie durch Vorschriften und Prozesse und unterstützen Sie beim Aufbau einer guten Datenschutzorganisation und eines IT-Sicherheitsmanagementsystems. Sofern gewünscht, können Sie uns auch als externe IT-Sicherheitsbeauftragte bestellen.

Es geht um Entscheidungen. Wir helfen Ihnen dabei.

Kontaktieren Sie uns gerne persönlich.

Datenschutz-Dokumentation PrivCom X.0

Einer der Gründe warum ich meine Arbeit liebe ist, dass sie nie langweilig wird. Dass wir uns und unsere Angebote an Auftraggeber immer weiterentwickeln und neu erfinden müssen. Müssen und wollen, denn dieser Prozess ist uns auch ein Vergnügen.

Seit dem vorletzten Sommer habe ich mit meinem Kollegen Kersten Gevers länger über die Frage nachgedacht, wie wir eine möglichst kompakte Datenschutzdokumentation abbilden. Die ersten Erfahrungen mit der Umsetzung der Datenschutz-Grundverordnung (DSGVO) machten deutlich, dass mit der DSGVO die Anforderungen an eine sorgfältige Dokumentation der Datenschutzorganisation eines Unternehmens erheblich gestiegen sind. Hinzu kamen die durch die DSGVO verschärften Haftungsvorschriften und erhöhten Bußgelder, die nur zu begrenzen sind, wenn man gute Datenschutzstandards nicht nur behaupten, sondern auch nachweisen kann.

Wir wollten eine Dokumentation, die für unsere Auftraggeber das Wesentliche immer im Überblick bereithält, und gleichzeitig uns die Arbeit erleichtert.

Herausgekommen ist die Datenschutz-Dokumentation PrivCom X.0 – so habe ich sie bezeichnet, bis mir ein besserer Titel einfällt. Seit dem Frühjahr ist sie einsatzbereit und wird ständig weiterentwickelt und verbessert. Letzter Neuzugang war im Juli eine Dokumentationsstruktur für ein Informationssicherheitsmanagementsystem (ISMS), integrierbar entweder in die Datenschutzorganisation oder als eigenständiges Werkzeug.

Die Datenschutz-Dokumentation im Einzelnen

Die Datenschutz-Dokumentation PrivCom X.0 besteht aus insgesamt 25 Themenordnern, deren Inhalte die nach Art. 5 DSGVO erforderlichen Nachweise für eine gute Datenschutz-Dokumentation abbilden. Zu fast jedem Thema gibt es Mustertexte und einen Archivordner. Für jedes Thema ist ein Inhaltsverzeichnis mit Versionshistorie vorgegeben, so dass auf den ersten Blick der jeweils letzte Stand eines Dokuments ersichtlich ist. Für kleinere Unternehmen oder solche mit weniger sicherheitskritischer Datenverarbeitung gibt es eine etwas reduzierte Version mit 16 Themenordnern. Beide Versionen sind sowohl auf Deutsch als auch in englischer Sprache verfügbar. Hinzu kommt die Dokumentationsstruktur für ein ISMS, die derzeit aus 3 Themenordnern mit mehreren Unterthemen besteht.

Ihre Vorteile

Sie können mit Hilfe dieser vorgegebenen Struktur die einzelnen Datenschutz- und IT-Sicherheitsthemen sehr einfach von Anfang bis Ende systematisch durcharbeiten. Es gibt einen klaren Anfang und ein vorhersehbares Ende, so dass Sie nicht überlegen müssen, welche Punkte Sie möglicherweise vergessen haben. (Wir müssen das auch nicht, für den Fall, dass wir Sie unterstützen). Ist das Durcharbeiten einmal erfolgt, haben Sie eine Übersicht über die Lücken in Ihrer Datenschutzorganisation und Sie können gezielt nacharbeiten. Auf dieselbe Weise lässt sich eine interne Überprüfung einer vollständigen Dokumentation recht einfach bewerkstelligen. Sollten Sie sich mit einer Überprüfung durch eine Aufsichtsbehörde konfrontiert sehen, haben Sie einen jederzeit verfügbaren, übersichtlichen Nachweis über den aktuellen Stand Ihrer Datenschutzorganisation. Dasselbe gilt, sollten Sie Nachweise vorlegen müssen, z.B. Auftraggebern oder Interessenten.

Was können wir für Sie tun?

In jedem Stadium der Bearbeitung können Sie uns beratend hinzuziehen. Sofern gewünscht können wir auch die gesamte Projektorganisation übernehmen und Sie durch den Prozess des Aufbaus oder der Aktualisierung leiten. Ebenso können wir Teile der für die Umsetzung erforderlichen Arbeiten übernehmen.

Sichere Ablage

Für die Dokumentation verwenden wir ein hauseigenes Hosting, so dass sämtliche Dateien unter unserer Kontrolle stehen. Zusammen mit unserem technischen Sachverständigen Kersten Gevers steht uns auch der in Sicherheitsfragen versierte Administrator Sven Krawitowski zur Seite.

Kosten

Die Kosten bestimmten sich danach, welche Variante der Dokumentation Sie einsetzen wollen und ob Sie zusätzlich Beratungsstunden hinzubuchen möchten. Bitte sprechen Sie uns an, dann übersenden wir Ihnen eine Übersicht über alle Varianten.