Einstiegshilfe in die SDM-Methode - für Datenschutzbeauftragte / Datenschutzkoordinatore
Einstiegshilfe in die Methode des Standard-Datenschutzmodell (SDM)
Schritt für Schritt zum SDM-Erfolg
Auch beim SDM empfiehlt es sich, mit wenigen, überschaubaren Teilen zu beginnen. Starten Sie beispielsweise mit einer Verarbeitung, bei der nur die 4 Phasen betrachtet werden: Sammeln, Aufbewahren, Benutzen und Löschen/Beseitigen. Das entspricht 84 Würfel-Teilen. Wie bei einem Puzzle hilft es, die Teile zunächst zu sortieren, z. B. nach Randstücken, Farben oder Formen, bevor Sie mit dem Zusammensetzen beginnen.
Erste Schritte: Die Verarbeitung in Abschnitte gliedern
Ein zentraler Aspekt der SDM-Methodik ist die Zerlegung der Verarbeitung in handhabbare Abschnitte. Stellen Sie sich dabei grundlegende Fragen zu den vier Phasen der jeweiligen Verarbeitung:
(BILD1: Vier Phasen der Verarbeitung)
- Kollektion/Sammeln:
„Wo werden welche Daten wie für diese Verarbeitung erfasst oder gesammelt?“ - Bereithaltung/Aufbewahren:
„Wo und wie werden diese Daten gespeichert oder aufbewahrt?“ - Nutzung/Benutzen:
„Wie und wo werden diese Daten von wem genutzt oder weiterverarbeitet?“ - Beseitigung/Löschen:
„Wann (nach welcher Zeit) werden die Daten oder Teile der Daten wie gelöscht oder vernichtet?“
Je nach Komplexität der Verarbeitung kann es sinnvoll oder erforderlich sein direkt alle neun Verarbeitungsvorgänge der Verarbeitung zu betrachten.
Ebenso wichtig ist die Überprüfung der (vorab geprüften und festgelegten) Zwecke und Rechtsgrundlagen der Verarbeitung: Passen sie zu den jeweiligen Phasen?
Erweiterte Betrachtungsebenen
Neben den Phasen/Verarbeitungen müssen Sie auch die verschiedenen Ebenen berücksichtigen:
- Fachapplikation(en)/Softwarelösung(en): Welche werden genutzt?
- Infrastruktur(en): Welche sind relevant?
Wer kann zu den jeweiligen Ebenen Informationen liefern (z. B. IT-Abteilung oder Auftragsverarbeiter)?
(BILD2: Ebenen der Verarbeitung)
Durchaus wahrscheinlich ist es, dass verschiedene Verarbeitungen die gleichen (schon bewerteten) Fachapplikationen und/oder Infrastrukturen nutzen.
Hier können Synergien genutzt werden.
Aber Achtung: Passen die (schon bewerteten) Ebenen zu den Risiken und der erforderlichen Umsetzungen der TOM der aktuellen Verarbeitung?
Kontrolle der TOM und deren Wirksamkeit
Betrachten Sie zunächst nur einen einzelnen Unter-Würfel, etwa das Gewährleistungsziel Datenminimierung in der Phase Sammeln/Erheben von Daten.
Hier also der Unter-Würfel „Eb1-Sm-Dm“ – „Ebene1 - Sammeln – Datenminimierung“
(BILD3: Darstellung des Unter-Würfels)SDM Standard-Datenschutzmodell
Welches Risiko besteht für die Betroffenen, wenn hier keine Maßnahmen zur Datenminimierung getroffen werden?
Welche Maßnahmen können getroffen und wirksam umgesetzt werden, um eine ausreichende Datenminimierung zu gewährleisten.
Hilfen bieten hier die Beispiele der Risiken und der Maßnahmen aus dem SDM wie bspw. in Kapitel B1.3, C1.1 und D1.7 – auch um die Rechenschaftspflicht aus Artikel 5 (2) DSGVO zu erfüllen: „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“
Fokussieren Sie sich auf die konkrete Phase/Verarbeitungsvorgang und die Ebene dieses Unter-Würfels und Betrachten Sie die Eingriffsintensität/Risiken und die getroffenen TOM. Sind diese wirksam und ausreichend?
Gehen Sie dann zum nächsten Unter-Würfel.
von 3D zu 2D
Wenn Sie die Ebenen als einzelnen Scheiben von oben betrachten, den Würfel von 3D in 2D zerlegen, können Sie die einzelnen Ebenen übersichtlich in einer Tabelle darstellen. Losgelöst von der Darstellung können die Unter-Würfel immer anhand Ihrer Koordinaten bestimmt werden: „Eb1-Sm-Dm“ = „Ebene1 - Sammeln – Datenminimierung“
(BILD4: tabellarische Ansicht - Tabelle)
Wichtig ist das es sich bei Tabellen NICHT um eine Checkliste in Form einer „einfachen“ Ja/Nein Abfrage handelt.
Jede Zeile ist ein Unter-Würfel und es muss Eingriffsintensität/Risiko und die TOM betrachtet und auf Wirksamkeit geprüft werden.
(BILD5: Ansicht – Softwarelösung – 4 Phasen) - Screenshot aus der www.MoeWe-Datenschutz.de Softwarelösung
Berücksichtigt man die Phasen/Verarbeitungsvorgänge und Gewährleistungsziele auf allen drei Ebenen des SDM-Würfels, kann für jede der 84/189 Würfelkoordinaten eine Risikoeinordnung erfolgen. Hierbei zeigt die Farbe die Wirksamkeit der TOM zum Gewährleistungsziel übersichtlich an.
Perspektive erweitern
Wenn die ersten Teile zusammengesetzt sind, können Sie die Betrachtung auf eine gesamte Gewährleistungsreihe ausweiten. Ein Beispiel ist die Betrachtung der Gewährleistungsziele in der Phase "Aufbewahren" über die Ebenen Verarbeitung, Applikation und Infrastruktur hinweg.
(BILD7: Darstellung der Scheibe für "Aufbewahren")
Nach und nach entsteht – wie bei einem Puzzle – ein Gesamtbild. Mit zunehmendem Fortschritt wird es leichter, die verbleibenden Lücken zu füllen. Natürlich gibt es auch schwierigere Teile, die mehr Zeit und Geduld erfordern. Manche müssen mehrfach gedreht und gewendet werden, bis sie ihren Platz finden.
Das fertige Puzzle – und was dann?
Am Ende ergibt sich ein vollständiges Bild: der „bunte“ Würfel. Doch wie bei einem Puzzle stellt sich die Frage: Was passiert jetzt? Wird das Puzzle aufgehängt, gerahmt oder wieder verpackt? Passt das fertige Bild überhaupt zum Motiv auf der Verpackung?
Auch bei der Verarbeitung geht es nach der Dokumentation und Bewertung weiter:
- Handlungsbedarf: Gibt es „rote“ Unter-Würfel mit hohem Risiko?
- DSFA: Ist eine Datenschutz-Folgenabschätzung erforderlich?
- Prüfung der Grundlage: Stimmen Zweck und Rechtsgrundlage mit dem Ergebnis überein?
Wichtig: Das SDM ist keine Einmal-Lösung. Die Verarbeitung und die getroffenen Maßnahmen müssen regelmäßig evaluiert werden – ähnlich wie ein Puzzle, das sich mit der Zeit verändert oder dessen Motiv nicht mehr gefällt. Hier greift der PDCA-Zyklus (Plan-Do-Check-Act).
Fazit: Der wichtigste Schritt ist der Anfang
Der Einstieg in das SDM mag zunächst herausfordernd erscheinen – wie jedes neue Puzzle. Mit einem systematischen Vorgehen und einer schrittweisen Bearbeitung wird der Prozess jedoch klarer und überschaubarer. Am Ende entsteht nicht nur eine strukturierte Dokumentation, sondern auch die Grundlage für fundierte Entscheidungen und Maßnahmen.
Viel Erfolg (und Spaß) beim „Puzzlen“!