DSGVO bei der Prozessdigitalisierung: was konkret zu tun ist

In vielen Betrieben ist Datenschutz ein Thema der Verwaltung: Es gibt eine Datenschutzerklärung auf der Website, eine Verpflichtung der Beschäftigten auf die Vertraulichkeit und irgendwo einen Ordner mit Unterlagen. Sobald ein Ablauf digitalisiert wird, ändert sich die Lage grundlegend. Ein Papiervorgang, der in einem abschließbaren Schrank lag und von drei Personen bearbeitet wurde, ist nach der Digitalisierung für jeden abrufbar, der Zugriff auf das System hat: durchsuchbar, kopierbar, auswertbar und in Sekunden weitergeleitet. Diese neue Zugänglichkeit ist der eigentliche Grund, warum dieselben Daten nach der Digitalisierung anders bewertet werden müssen als vorher.

Rechtliche Unsicherheit und Datenschutzanforderungen werden in Befragungen regelmäßig als Hemmnis für Digitalisierungsvorhaben im Mittelstand genannt (Bitkom, DIHK). Das liegt selten an den Anforderungen selbst, sondern an der Reihenfolge. Ist ein System eingeführt, sind Rechte vergeben und laufen die ersten Auswertungen, wird jede Korrektur aufwendig. Wer die Datenschutzfragen dagegen während der Aufnahme des Ablaufs beantwortet, hat den größten Teil der Arbeit erledigt, bevor die erste Zeile Konfiguration entsteht. In einer Prozessanalyse fallen die Angaben ohnehin an: welche Daten in welchem Schritt entstehen, wer sie sieht, wohin sie übertragen werden und wie lange sie liegen bleiben.

Hinzu kommt die Zuständigkeit. Die Pflichten treffen den Betrieb als Verantwortlichen — nicht den Softwareanbieter, nicht den Dienstleister, der die Schnittstelle baut, und nicht die Person, die den Ablauf ausführt. Wer über Zweck und Mittel einer Verarbeitung entscheidet, muss nachweisen können, dass sie zulässig ist. Dieser Nachweis besteht aus Dokumenten: dem Verzeichnis von Verarbeitungstätigkeiten, den Verträgen mit Dienstleistern, dem Berechtigungskonzept, dem Löschkonzept und der Beschreibung der getroffenen Maßnahmen. Keines dieser Dokumente muss umfangreich sein. Es muss aber zum tatsächlichen Betrieb passen, denn geprüft wird der gelebte Zustand und nicht die Absicht.

Eine Verarbeitung personenbezogener Daten ist nur zulässig, wenn sie sich auf eine Rechtsgrundlage stützen lässt. Artikel 6 Absatz 1 DSGVO nennt sechs davon. Im Betriebsalltag tragen drei den überwiegenden Teil: die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen, die Erfüllung einer rechtlichen Verpflichtung und das berechtigte Interesse. Die Einwilligung wird häufig als Standardlösung angenommen, ist aber für Pflichtabläufe die schlechteste Wahl, weil sie freiwillig sein muss und jederzeit widerrufen werden kann. Ein Bestellvorgang, der nach dem Widerruf einer Einwilligung nicht mehr abgewickelt werden könnte, war von Anfang an falsch begründet.

Wichtig ist die Zuordnung je Verarbeitung, nicht je System. Ein Warenwirtschaftssystem enthält Auftragsdaten, die zur Vertragserfüllung verarbeitet werden, Rechnungsdaten, deren Aufbewahrung auf einer rechtlichen Verpflichtung beruht, und möglicherweise eine Auswertung des Kaufverhaltens, die eine eigene Begründung braucht. Wer nur „Warenwirtschaft: Vertragserfüllung“ notiert, hat die Frage nicht beantwortet. Der Aufwand für diese Trennung fällt einmal an; danach lässt sich jede Diskussion über eine geplante Auswertung in wenigen Minuten führen, weil die Grundlage bereits benannt ist.

Beim berechtigten Interesse ist die Abwägung der eigentliche Arbeitsschritt: Das Interesse des Betriebs wird den Interessen und Grundrechten der betroffenen Personen gegenübergestellt, und das Ergebnis wird kurz dokumentiert. Ein halber Absatz genügt in der Regel — er muss nur erkennen lassen, dass die Abwägung stattgefunden hat und welche Erwägungen eingeflossen sind. Für die Protokollierung von Zugriffen auf ein Dokumentenarchiv etwa spricht die Nachvollziehbarkeit im Missbrauchsfall; dagegen spricht der Umstand, dass Protokolle Rückschlüsse auf das Arbeitsverhalten erlauben. Aus dieser Spannung ergeben sich Auswertungsgrenzen, die man besser vorher festlegt als im Streitfall.

Der häufigste Befund bei der Digitalisierung von Papierakten lautet: Alle sehen alles. Das ist selten Absicht. Es entsteht, weil ein neues System zunächst mit weiten Rechten eingerichtet wird, damit der Start nicht an fehlenden Freigaben scheitert, und weil danach niemand die Rechte wieder einschränkt. Der Maßstab ist die Erforderlichkeit: Zugriff bekommt, wer die Daten für seine Aufgabe braucht — nicht, wer sie interessant findet oder wer sie vielleicht einmal brauchen könnte. Personalunterlagen, Krankmeldungen, Bewerbungen, Abmahnungen und Gehaltsdaten sind die Bereiche, in denen sich ein zu weiter Zugriff am schnellsten rächt.

Praktisch funktioniert das über Rollen statt über Einzelfreigaben. Eine Rolle beschreibt eine Aufgabe — Auftragsbearbeitung, Buchhaltung, Werkstattleitung, Geschäftsführung — und trägt die Rechte, die zu dieser Aufgabe gehören. Personen werden Rollen zugeordnet. Der Vorteil zeigt sich beim Wechsel: Wenn eine Kollegin die Abteilung wechselt, wird die Rolle getauscht, statt zwanzig einzeln vergebene Häkchen zu suchen. Ebenso wichtig ist die Regelung für den Austritt. In vielen Betrieben bleiben Zugänge nach dem Ausscheiden bestehen, weil niemand den technischen Teil des Austrittsprozesses zuständigkeitshalber übernommen hat.

Zum Berechtigungskonzept gehört die Frage, was protokolliert wird. Ein Zugriffsprotokoll ist sinnvoll, um einen Missbrauchsverdacht überhaupt aufklären zu können, und es ist zugleich selbst eine Verarbeitung personenbezogener Daten mit eigener Rechtsgrundlage, eigener Frist und eigenen Auswertungsgrenzen. Bewährt hat sich eine kurze schriftliche Festlegung: Was wird protokolliert, wie lange bleibt es gespeichert, wer darf es einsehen und aus welchem Anlass. Ohne diese Festlegung entstehen Protokolle, die entweder nie ausgewertet werden dürfen oder unbemerkt zur Leistungskontrolle werden.

Artikel 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. Angemessen heißt: abhängig vom Stand der Technik, den Kosten, der Art der Verarbeitung und dem Risiko für die betroffenen Personen. Für einen Betrieb mit dreißig Beschäftigten ist ein anderer Aufwand angemessen als für einen Klinikkonzern — aber die Grundelemente sind dieselben. Das Bundesamt für Sicherheit in der Informationstechnik stellt dazu Bausteine bereit, die sich auch ohne eigene IT-Abteilung als Prüfliste verwenden lassen (BSI).

In Digitalisierungsprojekten sind vier Maßnahmen fast immer betroffen: die Übertragung zwischen Systemen, die Zugangs- und Zugriffssicherung, die Datensicherung mit erprobter Wiederherstellung und die Protokollierung. Dazu kommen organisatorische Punkte, die keine Technik erfordern und trotzdem regelmäßig fehlen: eine benannte zuständige Person, eine Verpflichtung der Beschäftigten auf die Vertraulichkeit, eine kurze Einweisung in den neuen Ablauf und ein Verfahren für den Fall, dass etwas schiefgeht. Wer den laufenden IT-Betrieb ohnehin regelt, kann diese Punkte dort verankern, statt sie als Sonderthema zu führen.

Datenschutzarbeit in einem Digitalisierungsprojekt ist kein durchlaufendes Nebenthema, sondern eine überschaubare Menge an Ergebnissen. Wenn ein digitalisierter Ablauf produktiv geht, sollten diese Unterlagen vorliegen — nicht als Aktenordner, sondern als wenige Seiten, die zum tatsächlichen Betrieb passen und ein Datum tragen. Der Aufwand liegt bei einem einzelnen Ablauf erfahrungsgemäß im Bereich von wenigen Stunden, sofern die Angaben während der Aufnahme miterhoben wurden (Projekterfahrung); wird alles nachträglich rekonstruiert, vervielfacht er sich.

Diese Unterlagen altern. Ein Systemwechsel, ein neuer Dienstleister, eine zusätzliche Auswertung oder eine geänderte Zuständigkeit machen einen Teil der Beschreibung unrichtig. Eine jährliche Durchsicht mit einem festen Termin ist deshalb wirksamer als der Vorsatz, bei jeder Änderung sofort nachzuziehen. Und noch einmal in aller Deutlichkeit: Dieser Beitrag ordnet die Aufgaben ein und ersetzt keine Rechtsberatung. Ob eine konkrete Verarbeitung zulässig ist, welche Frist im Einzelfall gilt und wie eine Vereinbarung zu fassen ist, gehört in die fachliche Prüfung durch eine dazu befugte Stelle.