Mapping mit internationalen ISO-Standards
Der Zweck des deutschen Standard-Datenschutzmodells ist es, die datenschutzrechtlichen Grundprinzipien der Datenschutzgrundverordnung in technisch-organisatorische Maßnahmen zu transferieren und es so allen Beteiligten zu erleichtern, ihre Datenverarbeitung datenschutzkonform auszugestalten. Deswegen wirken sich einige der Gewährleistungsziele auch auf eine gemäß Art. 35 DSGVO vorzunehmende Datenschutzfolgenabschätzung aus. Zu nennen sind hier insbesondere die Ziele "Integrität", "Vertraulichkeit", "Nichtverkettung" und "Transparenz". Auch die Artikel-29-Datenschutzgruppe bezieht sich in ihren Ausführungen zur Datenschutzfolgenabschätzung auf die ISO/IEC-Normen zum Datenschutz. International tätige Konzerne, welche die Vorgaben der DSGVO und des Standard-Datenschutzmodells bei der Durchführung einer Datenschutzfolgenabschätzung umsetzen, haben daher ein genuines Interesse daran, dass diese Umsetzung nicht nur dem deutschen Standard-Datenschutzmodell, sondern auch internationalen Standards entspricht.
Dementsprechend können die bereits genannten Gewährleistungsziele mit den Prinzipien der ISO-Norm ISO/IEC 29100:2011 verknüpft werden. Die Gewährleistungsziele sind nicht gänzlich deckungsgleich, überschneiden sich jedoch an vielen Stellen und können daher einander zugeordnet werden (sogenanntes Mapping). In vielen Fällen enthalten die ISO-Normen mehr technische Bezüge. Explizite technische Ausführungen zum Standard-Datenschutzmodell wurden hingegen noch nicht veröffentlicht. Ein Rückgriff auf die ISO-Normen schon bei Einführung neuer Datenverarbeitungen erscheint daher naheliegend, um das Ziel des "privacy by design" zu erreichen.
Prozessvorgehen nach ISO 29134
Die ISO/IEC 29134:2017 orientiert sich an den Prinzipien von ISO/IEC 29100, sodass sie zu großen Teilen ebenfalls den Anforderungen des (deutschen) Standard-Datenschutzmodells entspricht. Für Konzerne bietet es sich daher, aufgrund der für sie in der Regel obligatorischen Datenschutzfolgenabschätzung an, zur Konzeption und Ausführung auch auf den international anerkannten Standard ISO 29134 zurückzugreifen. Diese Norm gibt Anwendern einen detaillierten Ablaufplan an die Hand. Es werden jeweils das zu erreichende Ziel, die benötigten Informationen und das zu erwartende Ergebnis beschrieben. Daraufhin werden die Handlungsmöglichkeiten aufgezeigt und eine Hilfestellung zur Implementierung des jeweiligen Punktes des Ablaufplans gegeben. Ähnlich wie die Gliederung der Datenschutzfolgenabschätzung in eine Vorbereitungs-, eine Bewertungs- und eine Maßnahmen-Phase unterteilt auch die ISO 29134 den Ablauf einer Datenschutzfolgenabschätzung in eine Planungs-, eine Durchführungs-, und eine Abschluss-Phase.
Danach muss zunächst eine Datenschutzfolgenabschätzung für eine erfolgreiche Durchführung angemessen vorbereitet werden. Neben einer Festlegung der zu erreichenden Ziele und des Umfangs der Datenschutzfolgenabschätzung muss auch ihre Notwendigkeit festgestellt werden. Sodann soll die Planung der Folgenabschätzung hinsichtlich Personal, Ressourcen, Ablauf und gegebenenfalls der Hinzuziehung der von der Datenverarbeitung betroffenen oder an ihr mitwirkenden Personen stattfinden. In der Durchführungsphase der Datenschutzfolgenabschätzung sollen die jeweiligen Verarbeitungsvorgänge, die personenbezogene Daten betreffen, identifiziert und das relevante Datenschutzniveau festgelegt werden. Danach erfolgt die Identifikation von Datenschutz-Risiken und deren Analyse hinsichtlich Schwere und Umfang, sowie die Vorbereitung von Abhilfemaßnahmen. Abschließend soll die Anfertigung und Veröffentlichung eines Reports zur jeweils durchgeführten Datenschutzfolgenabschätzung erfolgen. Außerdem sollen die erarbeiteten Abhilfemaßnahmen und gegebenenfalls weitere Änderungen in den Datenverarbeitungsvorgang implementiert, sowie die abgeschlossene Datenschutzfolgenabschätzung nochmals überprüft und evaluiert werden.
- Großbritannien: Cabinet Office
In Großbritannien gingen 2008 sicherheitspolitisch brisante Daten bezüglich Al-Qaida und den Irak aufgrund eines menschlichen Fehlers verloren. Ein Angestellter des Cabinet Office, welches direkt dem Premierminister und den Ministers of Cabinet untersteht, muss mit seinen Gedanken schon ganz im Feierabend gewesen sein, als er seine Arbeitsunterlagen in einem Pendelzug liegen ließ. Ein Fahrgast fand den Ordner mit den streng geheimen Dokumenten und übergab diesen der BBC, die ihn wiederum an die Polizei weiterleitete. Obwohl die Tagträumerei gerade noch einmal gut ging, wurde der Beamte daraufhin wegen Fahrlässigkeit suspendiert. - Frankreich: TV5 Monde
Am 8. April 2015 wurde das Programm von TV5 Monde über mehrere Stunden hinweg blockiert, nachdem sich eine dem IS nahestehende Hacker-Gruppe namens „Cyber-Kalifat“ Zugang zu den IT-Systemen verschafft hatte. Nur einen Tag nach der Cyberattacke erlebte der französische TV-Sender ein Datenschutz-Debakel – dieses Mal aufgrund menschlichen Versagens: Reporter David Delos enthüllte während eines Interviews unabsichtlich die Passwörter für Social-Media-Konten des Senders - darunter YouTube, Instagram und Twitter. Diesen waren auf dem Whiteboard hinter dem Pechvogel zu sehen. Auch wichtige Telefonnummern waren zu sehen. Darüber hinaus offenbarte die Wand auch, wie es zum vorangegangenen Hack durch die Islamisten-Hacker kommen konnte: Und zwar in Form des Passwortes für den YouTube-Account von TV5 Monde: "lemotdepassedeyoutube" ( „daspasswortfüryoutube“). - USA: Department of Veterans Affairs
Im Mai 2006 stahl ein Einbrecher den Laptop eines Mitarbeiters des US-Kriegsveteranen-Ministeriums. Dabei wurden ganze 26,5 Millionen Datensätze, die Informationen zu Kriegsveteranen und deren Angehörigen enthielten, entwendet. Der Bestohlene hatte die Daten unerlaubter Weise auf dem Notebook gespeichert, um "von Zuhause aus arbeiten zu können". Dieses menschliche Fehlverhalten wurde darin noch verstärkt, dass die Daten gänzlich unverschlüsselt auf der Festplatte lagen. Einen Monat später tauchte das Device mitsamt den Daten wieder auf - angeblich, ohne Anzeichen einer Kompromittierung. Der entstandene Schaden wurde dennoch auf einen Betrag von 100 bis 500 Millionen Dollar geschätzt. Alleine 20 Millionen Dollar musste das Department of Veteran Affairs in der Folge als Ausgleich an die Geschädigten entrichten. - Norwegen: Steuerbehörde
Im Herbst 2008 hat die norwegische Steuerbehörde Daten zur Einkommenssteuer aller vier Millionen Norweger an Zeitungen und Rundfunkanstalten verschickt. Die Behörde veröffentlicht diese Zahlen jährlich, mit dem Ziel die Bürger zu ehrlichen Steuerzahlern zu "erziehen". Außergewöhnlich ist daran nur, dass in diesem Fall auch die sogenanten Personennummer mitveröffentlicht wurde. Diese besteht aus einer Zahlengruppe und dem Geburtsdatum des Bürgers und wird für gewöhnlich von den Daten abgetrennt, um Anonymität zu gewährleisten. Offiziell ist hierbei nicht von einem menschlichen Fehler die Rede, sondern von einem "Formatierungsproblem". - Belgien: Gesellschaft der Belgischen Eisenbahnen
Die nationale Gesellschaft der Belgischen Eisenbahnen (NBMS) machte Anfang 2013 einen Ordner mit 1,5 Millionen persönlichen Daten ihrer Kunden via Web öffentlich zugänglich. Aus Versehen. Schuld war ein Mitarbeiter, der einen falschen Knopf gedrückt hat. Die Datensätze enthielten Namen sowie Wohn- und E-Mail-Adressen von NMBS-Kunden - darunter auch die von Mitarbeitern und Abgeordneten der EU-Institutionen in Brüssel.
Das sollten Unternehmen jetzt tun
Die deutschen Datenschutzbehörden werden das Standard-Datenschutzmodell - beziehungsweise Teile davon - als Grundlage verwenden, um datenverarbeitende Stellen hinsichtlich der Datenschutzkonformität ihrer Verarbeitungen zu überprüfen. Hierzu gehört unter anderem die ordnungsgemäße Durchführung und Dokumentation von Datenschutzfolgenabschätzungen. Zur Vorbereitung hierauf kann, aufbauend auf den vorgestellten Verknüpfungen und des Ablaufplans der ISO 29134, ein entsprechendes Formular zur Datenschutzfolgenabschätzung entwickelt werden, das aufzeigt, an welcher Stelle die ISO-Normen mit den Gewährleistungszielen des Standard-Datenschutzmodells und damit den Vorgaben der EU-Datenschutzgrundverordnung korrelieren.
Bei der Datenverarbeitung im Konzern ist eine Datenschutzfolgenabschätzung im Zweifel immer durchzuführen. In Anbetracht der zunehmenden Kontrolltätigkeit der Aufsichtsbehörden sollte daher mit Hilfe von Datenschutzfolgenabschätzungen und den zugehörigen Maßnahmen (zum Beispiel der Verzeichniserstellung gem. Art. 30 DSGVO) der unternehmensinterne Datenschutz auf eine solide Basis gestellt werden. Nur so können Risiken für Daten frühzeitig erkannt, Gegenmaßnahmen eingeleitet und diese Datenschutz-Compliance gegenüber Behörden, betroffenen Personen und der Öffentlichkeit kommuniziert und nachgewiesen werden. Die Verknüpfung mit ISO-Normen und Standard-Datenschutzmodell-Gewährleistungszielen ist dabei ein wichtiger Teil des "Puzzles". Der Rückgriff auf die ISO-Normen kann bereits jetzt helfen, Datenschutz-Management-Tools und Konzepte für Datenschutzfolgenabschätzungen im Rahmen des Konzerndatenschutzes nicht nur auf europäischer, sondern auch auf internationaler Ebene zukunftssicher zu gestalten.
Sie möchten mehr zum Thema erfahren? Dann sollten Sie sich auch den wissenschaftlichen Beitrag zur Datenschutzfolgenabschätzung nicht entgehen lassen. Hier geht's zur Leseprobe. (fm)