Zum Hauptinhalt springen

Schutzbedarf von Verarbeitungstätigkeiten und Systemen ermitteln (Teil 12 der Reihe DSGVO-Dokumentation)

Teil 12 der Video-Reihe "DSGVO-Dokumentation mit preeco": den Schutzbedarf einer Verarbeitungstätigkeit per KI vorschlagen lassen, eine Stufe mit Begründung korrigieren, Schutzziele manuell einstufen und sehen, wie Systeme die Einstufung über ihre Quellen erben.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video ermitteln Sie in preeco | datenschutz den Schutzbedarf Ihrer Verarbeitungstätigkeiten und Systeme, mit einem KI-Vorschlag, den Sie selbst prüfen. Wie viel Schutz brauchen unsere Daten? Davon hängt ab, welche Maßnahmen angemessen sind. Wie schlimm wäre es, wenn Daten in falsche Hände geraten, verfälscht werden oder nicht verfügbar sind? Darum geht es bei Vertraulichkeit, Integrität und Verfügbarkeit. Wie preeco den Schutzbedarf ableitet, legen Sie einmal unter Einstellungen fest. Eingestellt sind drei Schutzziele. Jedes bekommt später eine Stufe: normal, hoch oder sehr hoch. Bewertet wird über Schadensszenarien, etwa einen Verstoß gegen Gesetze oder finanzielle Auswirkungen. Unter Bewertungsoptionen steht das Maximumprinzip. Ein System übernimmt die höchste Stufe der Verarbeitungen, die es nutzt. Die Methode kommt aus dem IT-Grundschutz des BSI. Unsere Reihe zum BSI-Grundschutz erklärt sie ausführlich. Kaltenbach beginnt mit der Verarbeitung, bei der am meisten auf dem Spiel steht: der Diebstahlortung. Noch ist nichts bewertet. Über KI-Aktionen lässt Lea einen ersten Vorschlag erstellen. In die zusätzlichen Hinweise schreibt sie, was die KI wissen sollte: Geortet wird nur nach einer Diebstahlmeldung. Die KI trägt die Stufen sofort ein. Prüfen Sie das Ergebnis deshalb gleich danach. Zu jedem Szenario schlägt die KI Stufen vor und begründet sie. Wo der Kontext nichts hergibt, bleibt das Feld leer. Daraus leitet preeco die Einstufung der Schutzziele und das Gesamtergebnis ab, jeweils mit der höchsten Stufe. Die KI macht einen Vorschlag. Ob die Stufen stimmen, entscheidet Lea mit dem IT-Leiter Murat Aydın. Eine Stufe passt nicht. Über Bearbeiten ändert Lea sie. Bei der Aufgabenerfüllung steht die Verfügbarkeit auf hoch. Lea setzt sie auf normal: Fällt die Ortung ein paar Stunden aus, steht bei Kaltenbach nichts still. Die Begründung ergänzt sie. Wer später nachliest, sieht, warum die Stufe vom Vorschlag abweicht. Nach dem Speichern rechnet preeco neu: Die Verfügbarkeit ist jetzt normal. Beim Bewerbermanagement hat Lea die Schutzziele selbst eingestuft. Mit Schutzziele manuell einstufen setzen Sie die Stufe direkt. Vertraulichkeit ist hoch, denn Bewerbungsunterlagen sind sehr persönlich. Jetzt die Systeme. Das Backend der App hat niemand eigens bewertet, und doch steht hier sehr hoch. Unter Quellen steht die Diebstahlortung. Das System übernimmt ihre höchste Stufe je Schutzziel. Bei der Personalwolke kommt die hohe Vertraulichkeit aus dem Bewerbermanagement. Sind die Daten auf mehrere Systeme verteilt, senken Sie eine Stufe über den Verteilungseffekt. Auch das nur mit Begründung. Kaltenbach lässt es hier bei hoch. Über Aktionen laden Sie die Einschätzung als PDF herunter, zum Beispiel für die Akte des Systems. Bewerten Sie die Verarbeitungen und lassen Sie die Systeme erben. Wer jedes System einzeln einschätzt, kommt für dasselbe Risiko schnell zu verschiedenen Stufen. Im nächsten Teil beginnt Kaltenbach sein Löschkonzept.

Wie viel Schutz brauchen Ihre Daten, und welches System muss wie gut gesichert sein? In diesem Teil ermittelt die Velomanufaktur Kaltenbach in preeco | datenschutz den Schutzbedarf ihrer Verarbeitungstätigkeiten und Systeme. Für die Diebstahlortung lässt sie die KI einen Vorschlag machen und korrigiert eine Stufe von Hand, das Bewerbermanagement stuft sie selbst ein, und die Systeme übernehmen das Ergebnis aus den Verarbeitungen, die sie nutzen. Dieser Artikel ist Teil 12 der Video-Reihe "DSGVO-Dokumentation mit preeco".

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Systeme mit Datenfeldern und Verarbeitungstätigkeiten sind angelegt und über die Datenfelder verknüpft (Teil 2, 3 und 5 der Reihe).
  • Für den KI-Vorschlag ist in Ihrem Team die KI-Integration eingerichtet.

Worum es geht

Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. Der Schutzbedarf beantwortet, wie schwer ein Schaden wöge, wenn Daten in falsche Hände geraten (Vertraulichkeit), verfälscht werden (Integrität) oder nicht verfügbar sind (Verfügbarkeit). Je Schutzziel gibt es die Stufen normal, hoch und sehr hoch. Die Methode stammt aus dem IT-Grundschutz des BSI (BSI-Standard 200-2).

Methode in den Einstellungen

  1. Öffnen Sie Einstellungen und dort Schutzbedarf.
  2. Unter Schutzziele stehen Vertraulichkeit, Integrität und Verfügbarkeit.
  3. Unter Schadensszenarien finden Sie die sechs vorgegebenen Szenarien, vom Verstoß gegen Gesetze bis zu finanziellen Auswirkungen. Eigene Szenarien legen Sie mit Neu an.
  4. Unter Bewertungsoptionen ist das Maximumprinzip aktiv: Ein System übernimmt die höchste Stufe der Verarbeitungen, die es nutzt. Dazu kommen Kumulationseffekt, Verteilungseffekt und die Vererbung.

Schutzbedarf per KI einschätzen

  1. Öffnen Sie die Verarbeitungstätigkeit, bei Kaltenbach die Diebstahlortung der App, und wechseln Sie in den Reiter Schutzbedarf. Noch steht dort überall "Nicht bewertet".
  2. Klicken Sie im Abschnitt Schadensszenarien auf KI-Aktionen und dann auf Schutzbedarf einschätzen.
  3. Schalten Sie Zusätzliche Hinweise ein und schreiben Sie, was die KI wissen sollte. Kaltenbach notiert, dass nur nach einer Diebstahlmeldung des Kunden geortet wird.
  4. Klicken Sie auf Ja, Schutzbedarf einschätzen.

Die KI trägt ihre Stufen sofort ein und überschreibt eine bestehende Einschätzung. Zu jedem Szenario schreibt sie eine Begründung. Wo der Kontext nichts hergibt, bleibt das Feld leer. Aus den Szenarien leitet preeco die Einstufung der Schutzziele und das Gesamtergebnis ab, jeweils mit der höchsten Stufe. Bei der Diebstahlortung ergibt das sehr hoch.

Ergebnis prüfen und eine Stufe korrigieren

Der Vorschlag der KI ist ein Entwurf. Prüfen Sie ihn gleich danach, am besten mit der Person, die das System betreut. Bei Kaltenbach sieht Lea Brandner das Ergebnis mit dem IT-Leiter Murat Aydın durch.

  1. Klicken Sie im Abschnitt Schadensszenarien auf Bearbeiten.
  2. Ändern Sie die Stufe, die nicht passt. Die KI hatte bei der Beeinträchtigung der Aufgabenerfüllung die Verfügbarkeit auf hoch gesetzt. Fällt die Ortung ein paar Stunden aus, steht bei Kaltenbach aber nichts still, also setzt Lea normal.
  3. Ergänzen Sie die Begründung, damit später nachvollziehbar ist, warum die Stufe vom Vorschlag abweicht.
  4. Klicken Sie auf Speichern. preeco rechnet neu, die Verfügbarkeit steht jetzt auf normal.

Schutzziele manuell einstufen

Statt über die Szenarien können Sie die Schutzziele auch direkt einstufen. Klicken Sie dazu auf Schutzziele manuell einstufen, schalten Sie die manuelle Einstufung ein und wählen Sie je Schutzziel Stufe und Begründung. Kaltenbach hat das beim Bewerbermanagement getan: Vertraulichkeit hoch, weil Bewerbungsunterlagen Lebenslauf, Zeugnisse und teils Angaben zur Gesundheit enthalten.

Systeme erben den Schutzbedarf

  1. Öffnen Sie ein System und den Reiter Schutzbedarf. Das Backend der App hat niemand eigens bewertet, und doch zeigt es sehr hoch.
  2. Unter Quellen stehen die Verarbeitungstätigkeiten, deren Datenfelder im System liegen, beim Backend die Diebstahlortung. Das System übernimmt ihre höchste Stufe je Schutzziel.
  3. Bei der Personalwolke kommt die hohe Vertraulichkeit aus dem Bewerbermanagement.
  4. Sind die Daten auf mehrere Systeme verteilt, senken Sie eine Stufe über Verteilungseffekt anwenden. Auch das geht nur mit Begründung.
  5. Über Aktionen laden Sie die Einschätzung als PDF oder DOCX herunter, etwa für die Akte des Systems.

So machen es Praktiker

Bewerten Sie die Verarbeitungen und lassen Sie die Systeme erben. Wer jedes System einzeln einschätzt, kommt für dasselbe Risiko schnell zu verschiedenen Stufen.

Nächster Schritt

Im nächsten Teil beginnt Kaltenbach sein Löschkonzept und bildet die ersten Löschklassen.

Alle Teile der Reihe

← Teil 11: AV-Vertrag erstellen und unterzeichnen · Teil 13: Löschkonzept und Löschklassen →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen
  13. Teil 12: Schutzbedarf ermitteln (dieser Artikel)
  14. Teil 13: Löschkonzept und Löschklassen
  15. Teil 14: Löschregeln und Durchführer
  16. Teil 15: DSFA: Kontext und Risiken
  17. Teil 16: DSFA: Maßnahmen und Bericht
  18. Teil 17: Drittlandtransfer prüfen
  19. Teil 18: Gemeinsame Verantwortlichkeit
  20. Teil 19: Kaltenbach als Auftragsverarbeiter
  21. Teil 20: Betroffenenanfrage bearbeiten
  22. Teil 21: Vorfall erfassen und melden
  23. Teil 22: Aus einem Vorfall lernen
  24. Teil 23: Einwilligungen einholen
  25. Teil 24: Datenschutzschulung durchführen
  26. Teil 25: Cookie-Banner und Datenschutzerklärung
  27. Teil 26: Wiedervorlagen, Aufgaben, Workflows
  28. Teil 27: Anfrage der Aufsichtsbehörde

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Unterlagen für eine Anfrage der Aufsichtsbehörde zusammenstellen (Teil 27 der Reihe DSGVO-Dokumentation) Wiedervorlagen, Aufgaben und Status-Workflows im Alltag (Teil 26 der Reihe DSGVO-Dokumentation) Cookie-Banner und Datenschutzerklärung der Website einrichten (Teil 25 der Reihe DSGVO-Dokumentation) Die jährliche Datenschutzschulung durchführen (Teil 24 der Reihe DSGVO-Dokumentation)
Zurück zu den Kurzanleitungen