Festlegung der Mittel
Home » DSGVO » Wichtigste Konzepte » Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen » Analyse von Artikel 25. Datenschutz durch Technikgestaltung » Festlegung der Mittel

In seinen Leitlinien zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der Datenschutz-Grundverordnung[1] liefert der Europäische Datenschutzausschuss eine rechtliche Analyse dessen, was es bedeutet, die Mittel der Verarbeitung festzulegen.Die Diskussion hier ist eher technisch orientiert.Der Ausschuss unterscheidet zwischen „wesentlichen“ und „nicht wesentlichen Mitteln“; letztere können auch von Auftragsverarbeitern festgelegt werden.Der vorliegende Text verzichtet auf eine solche Unterscheidung und liefert lediglich eine technische Auslegung der Entscheidungen, die die Festlegung der Mittel mit sich bringt.

Die Festlegung der Mittel ist eine Phase, die dem operativen Einsatz eines Verarbeitungssystems vorausgeht und alles vorbereitet und einrichtet, was für die eigentlichen Verarbeitungsvorgänge notwendig ist.Das bedeutet, dass ein Verantwortlicher, geleitet von den Zwecken, alles Notwendige planen, entwerfen und umsetzen muss, um die eigentlicheVerarbeitung zu ermöglichen.Dazu gehören mindestens die folgenden Aufgaben:

  • Festlegender für die Bearbeitung erforderlichen personellen und technischen Ressourcen;
  • FestlegenderAnweisungen, die die zulässige Verarbeitung definieren und für die Ressourcen geeignet sind;

Was dies im Einzelnen bedeutet, wird im Folgenden beschrieben.

Die Festlegung der Humanressourcen umfasst mindestens Folgendes:

  • Planung, die festlegt, welche Humanressourcen erforderlich sind, Auswahl geeigneter Humanressourcen und Unterstellung unter den Verantwortlichen oder den Auftragsverarbeiter.Dies geschieht in der Regel durch ein Arbeitsverhältnis, das eine vertragliche Beziehung zwischen dem Mitarbeiter und dem Verantwortlichen begründet.
  • Die Mitarbeiter müssen in die Lage versetzt werden, die Anweisungen in einer Weise zu übersetzen, die eine zulässige Verarbeitung darstellt.Dies kann unter anderem Folgendes bedeuten
    • die Unterzeichnung einer Vereinbarung über den Verzicht auf die Offenlegung von personenbezogenen Daten,
    • die Verpflichtung des Personals zu bestimmten allgemeinenRichtlinien oder Verhaltensregeln und
    • Schulung des Personals zum Erwerb der Kenntnisse und Fähigkeiten, die für die Ausführung der Anweisungen in der gewünschten Weise erforderlich sind.

Die Festlegung der technischen Ressourcen umfasst mindestens Folgendes:

  • Planung, Auswahl und Beschaffung der erforderlichen technischen Ressourcen.
  • Versetzung der technischen Ressourcen in einen Zustand, in dem sie die erforderlichen Verarbeitungsvorgänge ausführen können.Dies kann Dinge beinhalten wie
    • physische Installation,
    • Konfiguration,
    • Integration in die genutzte Infrastruktur und
    • Installation der erforderlichen Software.

Festlegung von Anweisungen in Bezug auf Ressourcen im Allgemeinen:Nachdem die Festlegung der Ressourcen erörtert wurde, wird im Folgenden die Festlegung der Anweisungen analysiert.Betrachtet man Abbildung 5, wird deutlich, dass es die folgenden Arten von Anweisungen gibt:

  • Anweisungen, die das Verhalten einer einzelnen Ressource festlegen,
  • Anweisungen, die die Interaktion zwischen mehreren Ressourcen festlegen,
  • Anweisungen, die die Interaktion zwischen Ressourcen und betroffenen Personen festlegen und
  • Anweisungen, die die Offenlegung von personenbezogenen Daten an Dritte festlegen.

Auf diese verschiedenen Arten von Anweisungen wird im Folgenden näher eingegangen, wobei zwischen menschlichen und technischen Ressourcen unterschieden wird.

Die Festlegung der Anweisungen in Bezug auf die Humanressourcen wird im Folgenden erörtert:

  • Die Anweisungen in Bezug auf die einzelnen Humanressourcen können in zwei verschiedenen Formen formuliert werden:
    • Definition der erforderlichen Ergebnisse, Produkte und Wirkungen, zu denen die Tätigkeit der Humanressource führen soll.Dabei handelt es sich um deklarative Anweisungen, die sich auf den Was-Aspekt konzentrieren und sich auf die Fähigkeit der Ressource verlassen, den Wie-Aspekt der Anweisungen auszufüllen.
    • Detaillierte Beschreibungen der Art und Weise, wie eine Tätigkeit ausgeführt werden muss.Dabei handelt es sich um imperative Anweisungen, die sich auf den Wie-Aspekt konzentrieren, weniger Intelligenz und Autonomie von der ausführenden Ressource erfordern und den Was-Aspekt oft in einer eher impliziten Weise definieren.
  • Anweisungen bezüglich der Interaktion der Humanressourcen untereinander:Dazu gehören der Entwurf und die Spezifikation von Geschäftsprozessen, Arbeitsabläufen und Datenströmen.Es gibt verschiedene formale Sprachen[2]und grafische Notationen[3] zur Unterstützung solcher Aktivitäten.
  • Anweisungen bezüglich der Interaktion zwischen den Humanressourcen und den technischen Ressourcen:Die technischen Ressourcen sind nicht autonom.Vielmehr werden sie von Menschen (d. h. Humanressourcen) gesteuert.Selbst die autonomste technische Ressource muss eingeschaltet werden.In der Regel übt der Mensch eine weitergehende Kontrolle über die technische Ressource durch Benutzerschnittstellen und durch Mensch-Maschine-Schnittstellen(HMI) aus.Eine gängige Methode zur Modellierung solcher Interaktionen sind Use-Case-Diagramme.Diese werden oft auch für die Spezifikation von funktionalen Anforderungen an Software verwendet.Anweisungen, wie Menschen mit technischen Ressourcen interagieren, legen auch fest, welche menschlichen Ressourcen zu welchen Zwecken auf welche technischen Ressourcen zugreifen dürfen.Solche Anweisungen legen also auch fest, welche Verantwortung der Mensch für die Bedienung bestimmter technischer Ressourcen hat.
  • Anweisungen bezüglich der Interaktion der Mitarbeiter mit den betroffenen Personen bestimmen, welche Interaktionen die betroffenen Personen mit dem Verantwortlichen haben können.Dazu gehören die manuelle Verarbeitung von Rechtsansprüchen der betroffenen Person (siehe Kapitel 3 DSGVO) und vorgesehene Interaktionen mit dem Datenschutzbeauftragten (siehe Art. 38 Absatz 4DSGVO).
  • Anweisungen bezüglich der Interaktion zwischen den Humanressourcen und dritten Empfängern bestimmen, welche personenbezogenen Daten manuell an dritte Empfänger weitergegeben werden.

Die Festlegung der Anweisungen in Bezug auf die technischen Ressourcenbeinhaltet Folgendes:

  • Die Anweisungen in Bezug auf die einzelnen technischen Ressourcen umfassen möglicherweise folgende Aspekte:
    • Beschaffung[4] von Software, die in der Regel aus Maschinenbefehlen besteht, die in einer formalen (imperativen oder deklarativen) Programmiersprache ausgedrückt sind.Das Verhalten der Software kann von Parametern abhängen, die zu einem späteren Zeitpunkt festgelegt werden können; solche Parameter werden üblicherweise als Konfiguration bezeichnet.Die Entscheidung, ob eine Konfiguration möglich ist und welche Parameter sie mit sich bringt, wird in die Software integriert.Es gibt zwei Arten der Konfiguration,
      • eine von der Steuereinheit bestimmte Konfiguration und
      • von der betroffenen Person kontrollierte Daten (z. B. Präferenzen und Einstellungen, die von einer geeigneten Benutzeroberfläche unterstützt werden).
    • Konfiguration der Software durch den Verantwortlichen.
    • Festlegung von Standardwerten für Konfigurationen, die von der betroffenen Person vorgenommen werden.Dies ist offensichtlich Gegenstand derdatenschutzfreundlichen Voreinstellungen, die in Art. 25 Absatz 2DSGVO geregelt sind (siehe Abschnitt 2.3.4 unten).
  • Anweisungen bezüglich der Interaktion technischer Ressourcen untereinander:Technische Ressourcen können miteinander interagieren, wenn sie über Schnittstellen verfügen, die durch Kommunikationskanäle verbunden sind.Die mögliche Kommunikation wird in der Regel durch Protokolle festgelegt.Die Kommunikation kann z. B. durch Interaktionsdiagramme wie UML-Sequenzdiagramme und UML-Kommunikationsdiagramme dargestellt werden.Solche Kommunikationen beinhalten typischerweise den Austausch von (personenbezogenen) Daten.Diese können in Datenflussdiagrammen grafisch dargestellt werden.Diese Art von Anweisungen legt auch fest, welche technischen Ressourcen berechtigt sind, mit welchen anderen zu welchen Zwecken zu interagieren.Die Aspekte, die durch diese Art von Anweisungen festgelegt werden, sind oft mit dem Konzept der technischen (Komponenten)-Architektur verbunden.
  • Anweisungen dazu, wie technische Mittel mit betroffenen Personen interagieren, werden in der Regel zur Konfiguration durch betroffene Personen (siehe Art. 25 Absatz 2 DSGVO und die nachstehende Erörterung) und für die automatisierte Unterstützung der Rechte der betroffenen Person (siehe Kapitel 3 DSGVO) verwendet.Für beides sind geeignete Benutzerschnittstellen erforderlich.Auch hier können Anwendungsfalldiagramme verwendet werden, um diese darzustellen.Auch hier sind eine Authentifizierung und Zugangskontrolle erforderlich, damit die technische Ressource feststellen kann, ob es sich bei dem Nutzer tatsächlich um die rechtmäßige betroffene Person handelt.
  • Anweisungen bezüglich der automatischen Übermittlung von Daten an Dritte bestimmen, welche (personenbezogenen) Daten unter welchen Bedingungen und wie weitergegeben werden.Dies erfordert in der Regel Schnittstellen für Menschen oder Maschinen und geeignete Kommunikationskanäle.Daten können den Empfängern zugeschoben oder auf Anfrage weitergegeben werden.Authentifizierung (von Menschen oder Maschinen) und Zugangskontrolle sind auch hier typischerweise relevant.

Identifizierung geeigneter technischer und organisatorischer Maßnahmen: Wie bereits in Abschnitt 2.3.3.1 erörtert wurde, verpflichtet Art. 25 Absatz 1 den Verantwortlichen, auch bei der Festlegung der Mittel geeignete technische und organisatorische Maßnahmen zu treffen, die dafür ausgelegt sind, die Datenschutzgrundsätze wirksam umzusetzen. Es wurde bereits dargelegt, dass die Festlegung der Mittel aus der Festlegung der Ressourcen und der Anweisungen besteht.Außerdem bilden Ressourcen und Anweisungen zusammen ein Verarbeitungssystem, das in der Lage ist, die genehmigten Anweisungen in Bezug auf die tatsächlichen personenbezogenen Daten auszuführen.

Es liegt auf der Hand, dass die erforderlichen Maßnahmen in dieses Verarbeitungssystem integriert werden müssen.Sie müssen somit in seine Anweisungen integriert und auf seine Ressourcen angewendet werden.Mit anderen Worten, diese Maßnahmen können nicht unabhängig voneinander festgelegt werden. Vielmehr müssen sie zusammen mit der Festlegung von Anweisungen und Ressourcen festgelegt werden.Bei jedem Schritt der Festlegung eines Teils oder Aspekts des Verarbeitungssystems müssen die Datenschutzgrundsätze berücksichtigt werden, um geeignete Maßnahmen zu ermitteln und zu integrieren.

Aus diesem Grund zeigen die Aspekte eines Verarbeitungssystems, die in der obigen Diskussion unterschieden wurden, direkt die Bereiche auf, in denen geeignete Maßnahmen gefunden und umgesetzt werden müssen.Dieser Abschnitt ist daher hilfreich, um eine Struktur für die detaillierte Diskussion der Maßnahmen im folgenden Abschnitt 2.3.3.1zu schaffen.Er dient auch dazu, durch die systematische Betrachtung aller Aspekte und jedes Grundsatzes eine gewisse Vollständigkeit zu erreichen.

 

Quellenangaben

1Europäischer Datenschutzausschuss, Leitlinien 07/2020 zu den Begriffen des Verantwortlichen und des Auftragsverarbeiters in der Datenschutz-Grundverordnung, Version 2.0, angenommen am 07. Juli 2021, https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf (zuletzt besucht am 2.12.2021). ↑

2Zu diesen formalen Sprachen gehören zum Beispiel die XML Process Definition Language (XPDL) und die Business Process Execution Language (BPEL). ↑

3Zu diesen grafischen Darstellungen gehören zum Beispiel das Geschäftsprozessmodell und die Notation (BPMN), Aktivitätsdiagramme, Flussdiagramme und Petri-Netze. ↑

4Beschaffung wird hier als Sammelbegriff verwendet, der sowohl die kundenspezifische Entwicklung als auch den Erwerb von Software auf dem Markt umfasst.In beiden Fällen sind die Verantwortlichen für eine angemessene Anforderungsanalyse und -spezifikation verantwortlich. ↑

 

Skip to content