Datenschutzfolgenabschätzung

Das Hauptdokument besteht aus sieben Abschnitten: den Verantwortlichen für die Datenverarbeitung und den Datenschutzbeauftragten der eigenen Einrichtung; einer Kurzbeschreibung des Dienstes und seiner Prozesse; einer formalisierten Stellungnahme zur Einhaltung der Grundsätze nach Art. 5 DSGVO; einer Erläuterung der Eintrittswahrscheinlichkeiten und Schadensklassen samt Berechnungsformel für den Risikoindex; der Beschreibung des Vorgehens bei der Risikoanalyse; dem Ergebnis der Risikoanalyse; und einem tabellarischen Anhang mit den Details.

Die tabellarische Risikoanalyse umfasst vier Tabellenblätter: eine Legende sowie je ein Blatt für die drei Dimensionen eines Schadensvorfalls.

• Dimension 1 — Verfügbarkeit: Ein System fällt aufgrund einer Schwachstelle aus.
• Dimension 2 — Datenschutz: Eine Schwachstelle führt zu einer missbräuchlichen Verarbeitung von Daten und damit zu einer Verletzung des Datenschutzes.
• Dimension 3 — Datenintegrität: Eine Schwachstelle führt zu einer unautorisierten Veränderung, Beschädigung oder Löschung von Daten.

Die Anpassung gliedert sich in zwei Bereiche:

1. Änderung oder Ergänzung von Informationen. Das Hauptdokument enthält eine Reihe von Stellen, an denen die eigene Einrichtung konkrete Informationen einfügen muss — unter anderem den Namen der Einrichtung, Angaben über Verarbeitungstätigkeiten sowie Links auf andere Dokumente wie die Nutzungsbedingungen. Alle entsprechenden Stellen sind im Dokument über Kommentare markiert.
2. Vervollständigung des Anhangs. Im Anhang werden die Details der Risikoanalyse einkopiert: die drei Tabellenblätter „Verfügbarkeit“, „Datenschutz“ und „Datenintegrität“ werden nach der Anpassung als Bild eingefügt.

Zur Übertragung von Excel nach Word markieren Sie die Tabelle im jeweiligen Tabellenblatt, wählen „Kopieren“, wechseln in das Word-Dokument und nutzen dort die Einfügen-Variante „Als Bild einfügen“.

Hinweis: Die Tabelle „Datenschutz“ ist zu lang für eine Word-Seite. Sie wurde deshalb in zwei Hälften mit jeweils eigener Überschriftenzeile geteilt; die zweite Hälfte beginnt in Zeile 14 und wird separat kopiert.

Die Risikoanalyse wird für jede Dimension entlang von zwölf Spalten ausgefüllt: Schwachstelle, Risikoquelle, Risikoszenario, Differenzierungsmerkmal (nur bei Datenschutz und Datenintegrität), Eintrittswahrscheinlichkeit und ihr numerischer Wert, Schweregrad des Schadens und sein numerischer Wert, Risikoindex, Maßnahmen, Risikoindex nach Maßnahmen und Begründung.

[FORMEL: Risikoindex = Schweregrad × Eintrittswahrscheinlichkeit — im Original als MathML ausgezeichnet, Darstellung im neuen System klären]

Zeigt der Risikoindex ein hohes bis sehr hohes Risiko an, sind Maßnahmen zur Minimierung der Eintrittswahrscheinlichkeit oder des Schweregrads zu ergreifen.

Es ist möglich, dass die Muster-DSFA nicht alle Schwachstellen, Risikoquellen und Risikoszenarien für die eigene Einrichtung enthält. Zum Beispiel könnten Server von Cloud-Anbietern genutzt werden, die in der Muster-DSFA nicht genannt werden.

Wir empfehlen eine sorgfältige Prüfung der Passung und Vollständigkeit für Schwachstellen, Risikoquellen und Risikoszenarien in allen drei Dimensionen.

Die Muster-DSFA beschreibt prototypische Maßnahmen zur Risikominimierung, die an vielen Stellen genutzt und mit vertretbarem Aufwand umgesetzt werden können:

• Vorhalten von Alternativen — für genutzte IT-Systeme oder Endgeräte in angemessenem Umfang Ersatzsysteme bereithalten, die im Schadensfall kurzfristig einspringen.
• Schließung von Auftragsverarbeitungsverträgen — mit der RWTH Aachen als Anbieterin von KI:Connect.nrw sowie mit allen weiteren an der eigenen Hochschule genutzten Auftragsverarbeitern.
• Formulierung von Nutzungsbedingungen — verpflichtend für die Nutzenden der eigenen Einrichtung. Ein Muster steht bereit → [… › DSGVO-Mustervorlagen].
• Schulung und Sensibilisierung für Nutzende — etwa zu sicheren Passwörtern, VPN-Nutzung und Phishing.
• Schulung und Sensibilisierung für IT-Administrationspersonal — etwa durch das Studium der Admin-Dokumentation und Hinweise zur Absicherung der eigenen IT-Systeme.
• Weitere technische Maßnahmen — Multi-Faktor-Authentifizierung und Virtual Private Networks sollten dringend erwogen werden.

Die Muster-DSFA enthält an verschiedenen Stellen Verweise auf mögliche Datenverarbeitungen bei Dritten. Wird ein hohes Risiko festgestellt, sollten nicht nur eigene Maßnahmen, sondern auch Maßnahmen bei der auftragsverarbeitenden Stelle berücksichtigt werden. Dazu schließt die eigene Einrichtung einen Auftragsverarbeitungsvertrag mit entsprechenden technischen und organisatorischen Maßnahmen; die auftragsverarbeitende Stelle muss als Verantwortliche für die bei ihr durchgeführte Verarbeitung ebenfalls eine DSFA formulieren (Art. 35 Abs. 1 S. 1 DSGVO).

Danksagung: Diese Handreichung wurde auf den Impuls von und in enger Zusammenarbeit mit dem Referenten für Datenschutz der Bergischen Universität Wuppertal, André Schilkowski, erstellt, bei dem wir uns für sein großes Engagement herzlich bedanken.