Nachdem der letzte Blogartikel die Aspekte A-C beim datenschutzkonformen Betrieb von elektronischen Medien und Portale thematisierte, folgen nun die Aspekte D-F.
Checkliste für den datenschutzkonformen Einsatz von elektronischen Medien und Portalen
A | Stellen Sie sicher, dass der Einsatz von elektronischen Medien und Portale durch eine Rechtsgrundlage abgedeckt ist. |
B | Der Verantwortliche muss gegenüber den betroffenen Personen seiner Informationspflicht nach Art. 12 ff. DSGVO nachkommen. |
C | Eine „Vereinbarung zur Verarbeitung von Daten im Auftrag“ muss zwischen dem Verantwortlichen und dem Supportdienstleister geschlossen werden. |
D | Die Aspekte zu „Datenschutz durch Technikgestaltung“ und „Datenschutzfreundliche Voreinstellungen“ wurden definiert und umgesetzt. |
E | Ein Verzeichnis von Verarbeitungstätigkeiten und weitere Dokumentation unterstützt den Verantwortlichen bei der Sicherstellung der Rechenschaftspflicht. |
F | Die Durchführung und Dokumentation einer Datenschutz-Folgenabschätzung stellt sicher, dass die getroffenen (technisch-organisatorischen) Maßnahmen dem Schutzbedarf der verarbeiteten Informationen gerecht werden. |
D Datenschutz durch Technikgestaltung datenschutzfreundliche Voreinstellungen
Datensparsamkeit
Der Verantwortliche kann durch Einstellungen die Grundsätze der Datensparsamkeit und Datenvermeidung sicherstellen: Z B. nicht zu viele Stammdaten, Freitextfelder, Kommentarfunktionen.
Optionale, personenbezogene Daten
Felder können als optional bestimmt werden, welche der Benutzer auf freiwilliger Basis selber erfassen kann. Die Angabe, dass es sich um freiwillige Felder (und nicht um Pflichtfelder) handelt, ist transparent zu machen, z. B. durch Sternchen/Fußnote oder direkten Hinweis.
Optionale Felder können je nach Betroffenenkreis auch deaktiviert werden. Nur soweit es für die Aufgabenerfüllung erforderlich ist, sollten zusätzliche, selbst konfigurierte Felder eingebunden werden. Beispielsweise können Felder sinnvoll sein, die als Filterkriterium genutzt werden können.
Passwort Rücksetz-Mechanismus
Der Passwort Rücksetz-Mechanismus sollte so eingestellt werden, dass dieser aus Sicherheitsgründen nicht allein auf eMail-Zusendungen basiert (auf Wunsch Aktion eines Administrators erforderlich).
Technische Nutzungsdaten
Bei der Nutzung von elektronischen Medien und Portalen werden automatisch Daten über die Benutzer und ihre Aktivitäten erfasst und gespeichert. Diese Nutzungsdaten dürfen ausschließlich für die Überwachung der Funktionsfähigkeit und Sicherheit elektronischer Medien und Portale verwendet werden.
Nutzungsdaten sind in aller Regel für die Wahrnehmung des Portalbetriebs nicht erforderlich und sollten daher nur unter klar definierten Voraussetzungen für eindeutig bestimmte Personengruppen zu festgelegten Zwecken einsehbar sein.
Nutzungsdaten sind beispielsweise
- Anmeldestatus: Erstlogin im System, letzter Login, Zeitpunkt der Abmeldung
- Protokollierung von Eingaben oder Änderungen
- IP-Adressen, genutzte Dienste
Pseudonymisierte Nutzerverwaltung
Bei der Benutzerverwaltung sollte auch eine pseudonymisierte Anmeldung eingestellt werden: Der Anmeldename kann durch eine abgeänderte Nomenklatur als Pseudonym hinterlegt werden und ist dann nicht mit dem Klarnamen identisch (Art. 25 Abs. 1 DSGVO, Pseudonymisierung).
Statistische Daten
Auswertungen statistischer Daten beispielsweise über Art und Umfang der Nutzung sollten nur anonymisiert auf Basis einer eigenen Datenquelle möglich sein.
E Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO
Es genügt nicht, dass der Verantwortliche der Datenverarbeitung alle datenschutzrechtlichen Anforderungen einhält. Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche dies auch jederzeit nachweisen können.
Aus diesem Grund ist es unter anderem erforderlich, dass der Verantwortliche seine Festlegung en zur zulässigen Datennutzung, zum Rollen- und Berechtigungskonzept und zu den weiteren Datenschutzgrundsätzen dokumentiert. Grundlage dieser Dokumentation ist ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Ein Verzeichnis von Verarbeitungstätigkeiten und weitere Dokumentation unterstützt den Verantwortlichen bei der Sicherstellung der Rechenschaftspflicht.
F Bewertung des Schutzbedarfs und Definition von Maßnahmen
Da durch den Verantwortlichen Daten verarbeitet werden, ist es notwendig den Schutzbedarf der Daten festzulegen. Diese Festlegung ist dann Grundlage dafür, die erforderlichen Schutzmaßnahmen zu ergreifen, um die Rechte der Betroffenen zu wahren. Rechtliche Sicherheit bietet den Verantwortlichen die Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen[1]. Der Verantwortliche hat hierbei den Rat seines Datenschutzbeauftragten einzuholen, bleibt aber für die Durchführung allein verantwortlich. Falls Sie als Verantwortlicher oder Ihr Datenschutz-Beauftragter Unterstützung bei der Durchführung und Dokumentation einer Datenschutz-Folgenabschätzung benötigen, sprechen Sie uns bitte an.
[1] Maßgebliche Kriterien zur Pflicht eine Datenschutz-Folgenabschätzung durchzuführen in der Leitlinie WP 248 der Art. 29 Gruppe beschrieben. Die bei Betrieb von elektronischen Medien und Portalen relevanten Kriterien sind „Bewerten und Einordnen“, „Datenverarbeitung im großen Umfang“ und „Daten von schutzwürdigen Betroffenen“.
Sie haben Fragen? Wenden Sie sich gerne an mich.
Viele Grüße aus Bad Aachen.
Ingo Goblirsch LL.M.
Externer Datenschutzbeauftragter
Datenschutz und Informationssicherheit