Fallbeispiele beurteilen

Die Prinzipien zu kennen ist das eine. Sie auf einen konkreten Fall anzuwenden ist eine eigene Fertigkeit – und die lässt sich üben.

Ein Prüfschema

Schritt für Schritt durch einen Fall:

Welche Daten? Sind sie personenbezogen? Sind sie besonders schützenswert (Gesundheit, Herkunft, politische Meinung)?
Welcher Zweck? Wofür wurden sie erhoben, wofür sollen sie jetzt verwendet werden? Ist das derselbe Zweck?
Welche Rechtsgrundlage? Gesetz, Vertrag oder Einwilligung – oder keine?
Erforderlich und minimal? Ginge es mit weniger Daten, gröberen Daten oder ganz ohne Personenbezug?
Transparent? Wissen die Betroffenen davon? Können sie widersprechen?
Sicher? Wie steht es um Vertraulichkeit, Integrität und Verfügbarkeit?
Abwägung und Urteil. Welche Interessen stehen gegeneinander? Wie lautet dein Urteil – und was wäre eine bessere Lösung?

Schritt 7 ist der eigentliche Kern. Wer nur Verstöße aufzählt, hat beschrieben, nicht beurteilt.

Fall 1: Die Schul-App

Eine Schule führt eine App ein, über die Lehrkräfte Hausaufgaben und Noten eintragen. Eltern und Schülerinnen sehen ihre eigenen Daten.

Aus dem Datenbankschema der App:

schueler(schueler_id, name, geburtsdatum, adresse, telefon, foto, religionszugehoerigkeit)
note(note_id, schueler_id→schueler, fach, wert, datum, kommentar)
zugriff(zugriff_id, schueler_id→schueler, lehrkraft_id, zeitpunkt, aktion)

Der Anbieter der App sitzt in den USA und wertet die Nutzungsdaten aus, „um das Produkt zu verbessern".

Beurteile den Fall mit dem Prüfschema. Gehe besonders auf ein:

a) die Spalte religionszugehoerigkeit

b) die Tabelle zugriff

c) die Auswertung durch den Anbieter

Tipp zu b)

Die Tabelle zugriff ist zwiespältig. Frage dich: Welchem Schutzziel dient sie – und welches Problem schafft sie?

Lösung. Erfrage das Passwort bei deiner Lehrkraft.

Fall 2: Das Festival-Bändchen

Für das nächste Jahr plant die Klangwiese Bändchen mit Funkchip. Jedes Bändchen ist einem Ticket zugeordnet. Damit sollen Besucherinnen bargeldlos bezahlen und den Einlass passieren.

Das Team schlägt vor, zusätzlich zu speichern, wann wer welche Bühne betreten hat – „damit wir nächstes Jahr die Bühnen besser planen können".

a) Beurteile den Vorschlag mit dem Prüfschema.

b) Entwirf eine Variante, die den Planungszweck erfüllt, aber datensparsam ist. Gib das Relationenschema an.

c) Nenne für deine Variante je ein Beispiel, wie Vertraulichkeit, Integrität und Verfügbarkeit gefährdet sein könnten.

Tipp zu b)

Frage: Braucht die Bühnenplanung wirklich die Information wer, oder genügt wie viele?

Lösung. Erfrage das Passwort bei deiner Lehrkraft.

Fall 3: Die eigene Datenbank

Sieh dir die Festivaldatenbank noch einmal insgesamt an.

a) Erstelle eine Übersicht: Welche Tabellen enthalten personenbezogene Daten, welche nicht?

b) Formuliere für die Klangwiese ein Löschkonzept: Welche Daten werden wann gelöscht, welche dürfen bleiben? Begründe jede Frist.

c) Welche der Auswertungen aus Kapitel 4 ließen sich auch nach Umsetzung deines Löschkonzepts noch durchführen?

Lösung. Erfrage das Passwort bei deiner Lehrkraft.

Selbsttest

1. Was ist der wichtigste Schritt beim Beurteilen eines Fallbeispiels?

{r1{alle Verstöße aufzählen}}

{r1{!die widerstreitenden Interessen abwägen und ein begründetes Urteil formulieren}}

{r1{die betroffenen Tabellen benennen}}

{r1{das Gesetz zitieren}}

{h{Wer nur Verstöße aufzählt, hat beschrieben.}} {H{Richtig. Zum Beurteilen gehört das Urteil – und ein Vorschlag, wie es besser ginge.}}

2. Warum ist ein Bewegungsprofil für die Bühnenplanung nicht erforderlich?

{r2{Weil Bewegungsdaten immer verboten sind.}}

{r2{!Weil der Zweck nur Zahlen braucht, nicht die Zuordnung zu Personen.}}

{r2{Weil die Datenbank dafür zu klein ist.}}

{r2{Weil die Funkchips zu ungenau sind.}}

{h{Was leistet der Personenbezug für die Frage „wie voll wird die Waldbühne"?}} {H{Richtig – gar nichts. Genau das prüft die Erforderlichkeit.}}

3. Warum ist die Tabelle bewertung personenbezogen, obwohl kein Name darin steht?

{r3{Weil Punkte persönliche Meinungen sind.}}

{r3{!Weil besucher_id direkt auf eine Person verweist.}}

{r3{Weil sie viele Zeilen hat.}}

{r3{Sie ist nicht personenbezogen.}}

{h{Ein Verbund mit besucherin genügt.}} {H{Richtig. Ein Fremdschlüssel auf eine Person macht die Tabelle personenbezogen.}}

4. Welche Vorteile hat es, den Personenbezug gar nicht erst entstehen zu lassen? (Mehrfachauswahl)

{c1{!Man kann keine Daten verlieren, die man nie hatte.}}

{c1{!Es braucht keine Löschfristen für etwas, das nicht gespeichert wird.}}

{c1{!Ein Einbruch in die Datenbank erbeutet nichts Personenbezogenes.}}

{c1{Die Auswertung wird dadurch genauer.}}

{h{Gröbere Daten sind nicht genauer – sie reichen nur für den Zweck aus.}} {H{Richtig.}}

5. Ein Zugriffsprotokoll schützt die Integrität und schafft zugleich ein Problem. Welches?

{r4{Es verbraucht Speicherplatz.}}

{r4{!Es enthält selbst personenbezogene Daten und erlaubt ein Verhaltensprofil.}}

{r4{Es verlangsamt die Datenbank.}}

{r4{Es lässt sich fälschen.}}

{h{Wer wird in dem Protokoll erfasst?}} {H{Richtig. Deshalb braucht es kurze Fristen, klare Zweckbindung und Transparenz.}}

6. Was gehört in ein Löschkonzept? (Mehrfachauswahl)

{c2{!für jede Datenart eine Frist}}

{c2{!eine Begründung für jede Frist}}

{c2{!die Unterscheidung zwischen Löschen und Entfernen des Personenbezugs}}

{c2{eine Liste der Zugriffsberechtigten}}

{h{Die Berechtigten gehören in ein Rechtekonzept, nicht ins Löschkonzept.}} {H{Richtig.}}