SORMAS-X Datenschutz: Einzelne Themen (4)
Im vierten Teil der Reihe zu SORMAS-X Datenschutzthemen geht es heute um die Schnittstellen. Anhand der Thematik der Anbindung externer Applikationen an SORMAS über eine offene Schnittstelle erörtere ich grundsätzliche Fragen der Organisation eines Digitalisierungsprojekts.
Erlösung durch Technik?
Im Verlauf der Pandemie kamen immer mehr technische Lösungen auf den Markt, die versprachen, uns mit technischen Mitteln aus der Pandemie zu erlösen. In der Regel waren es eher Lösungsversuche als tatsächlich funktionierende und überzeugend ausgearbeitete Lösungen. Die Luca App ist nur das bekannteste Beispiel dafür.
Im SORMAS@DEMIS Projekt standen wir vor dem Problem, dass viele Gesundheitsämter diese Lösungen einsetzen und in SORMAS integrieren wollten. Die Anfragen landeten auf den Schreibtischen des Datenschutzteams mit der Aufforderung, mal schnell zu den Datenschutzthemen Stellung zu nehmen. Mangels einer anderen Möglichkeit sollten alle externen Applikationen über die offene Schnittstelle, die sog. Rest API mit SORMAS verbunden werden.
Das Spiel verderben
Ich habe in diesem Zusammenhang viele gruselige Tatsachen über die Verbindung von Systemen über offene Schnittstellen gelernt. Im Ergebnis waren wir in Bezug auf die Anbindung von externen Applikationen an SORMAS immer, was ich ungerne bin. Spielverderberin aus Sicherheitsgründen. Die bessere Alternative, eine sichere Lösung zu entwickeln, blieb unter den Anforderungen des Projekts auf der Strecke.
Produktentwicklung
Dieses Problem legte den Finger in eine Reihe von grundsätzlichen Schwierigkeiten im Projekt. Vieles davon wäre besser zu lösen gewesen, wenn das SORMAS@DEMIS Projekt nicht länger als ein Forschungs- und Entwicklungsprojekt betrachtet worden wäre, sondern als eine Produktentwicklung. Die Entwicklung des Produktes Software SORMAS mit all seinen Facetten und Möglichkeiten sowie eingebauten Sicherheiten für Datenschutz und Informationssicherheit.
Zunächst ging es ja tatsächlich nur um die Vernetzung der Gesundheitsämter, um deren Ausstattung mit SORMAS-X, und die Schaffung einer Möglichkeit des automatisierten Datenaustausches zwischen den Gesundheitsämtern. Wäre es dabei geblieben, wäre die Frage der datenschutzfreundlichen Softwaregestaltung relativ überschaubar gewesen. Dann hätte man sich ein paar Gedanken machen müssen über die Verbindung der unterschiedlichen SORMAS-Instanzen zum Zwecke des Datenaustausches zwischen Gesundheitsämtern und das wäre dann auch schon fast alles gewesen. Durch die Dynamik der Entwicklung kamen dann aber hinzu: die Anbindung der anderen IfSG Fachanwendungen, die in den Ländern eingesetzt wurden, und auf deren Erhalt die Länder pochten. Zahlreiche Apps, die mit einer Art Heilsversprechen der technischen Lösung der Pandemieprobleme antraten (und politisch entgegen aller Vernunft gepusht wurden). Um nur ein paar zu benennen.
Anforderungen an Digitalisierungsprojekte
Dies hatte zur Folge, dass die zu lösenden Fragestellungen und datenschutzrechtlichen Anforderungen im Verlauf der Arbeiten sehr viel komplexer und sehr viel umfangreicher wurden. Insofern war es in Bezug auf die Schnittstellen auch nicht sehr verwunderlich, dass die Absicherung noch nicht so mitgedacht und umgesetzt war, wie sie es sein müsste. Der Ausgangspunkt des Projektes war ursprünglich ein ganz anderer.
Was wird in so einer Situation gebraucht?
Im ersten Schritt eine klare und zwischen allen Beteiligten abgesprochene Konzeption der verschiedenen Ausbaustufen der Software (hier SORMAS-X, aber auch jeder anderer Anwendung in der Entwicklung). Welche Zwecke soll eine Schnittstelle genau erfüllen? Welche Aufgaben sollen damit erledigt werden und durch wen?
Wenn diese Konzeption steht, kann im zweiten Schritt dazu übergangen werden, die Anforderungen an Datenschutz und Informationssicherheit definieren.
Klar beschriebene Schritte
Die Umsetzung kann und darf dann nur auf der Grundlage der zuvor beschriebenen Schritte eins und zwei erfolgen. Klar ist, dass diese Schritte nicht immer perfekt zu trennen sind. Es muss aber auf jeden Fall gewährleistet sein, dass alle Beteiligten darauf hinwirken, nicht einfach auf Zuruf zu entwickeln und zu programmieren, sondern die Konzeption im Auge zu behalten und gegebenenfalls einzufordern.
Klar zugewiesene Verantwortlichkeit
Klare und transparente Verteilung von Verantwortlichkeiten zwischen den beteiligten Stellen. Festhalten derselben in einer internen Vereinbarung: wer ist für die Generierung von Testdaten zuständig? Wer verantwortet die Migration von Daten? Wer verantwortet die Umsetzung der Anforderungen an ein datenschutzfreundliches Technikdesign? (Um nur ein paar zu nennen).
Die Umsetzung dieser Vorgehensweise würde zu erheblichen Effizienzgewinnen führen, da in einem Projekt mit vielen Beteiligten nicht ständig diskutiert werden müsste wer gerade für Sicherheitsfragen zuständig ist, generell zuständig ist, oder zuständig sein sollte. Abgesehen von den Effizienzgewinnen wäre so auch eine Einhaltung der Vorgaben des Privacy by Design besser möglich. Die Frage, wer am Ende die Verantwortung für die Umsetzung des Privacy by Design und der Anforderungen des Art. 32 DSGVO im Rahmen der Softwareentwicklung hat, soll einem weiteren Artikel vorbehalten sein.
Weitere Artikel zum Datenschutz für die SORMAS-Software finden Sie u.a. hier und hier.
Wir unterstützen Sie gerne bei Digitalisierungsprojekten. Sprechen Sie uns an.