GDPR-Konformität im Industriesektor

Herausforderungen im Bereich Sicherheit und Schutz sind im Industriesektor universell. Arbeiten in Fabriken oder Raffinerien erfordern höchste Sicherheitsstandards. Neben der Sicherheit wird auch die Einhaltung gesetzlicher Vorschriften zunehmend wichtiger. Nsecure kombiniert jahrelange Erfahrung in den Bereichen Zutrittskontrolle und Identitätsmanagement mit Expertise im Bereich Datenschutzgesetze, um den Kunden zu helfen, GDPR-konforme Zutrittsprozesse sicherzustellen. Kürzlich arbeitete Nsecure mit einem Kunden aus dem Industriesektor zusammen, um eine Datenschutz-Folgenabschätzung (DPIA) durchzuführen. Das Ergebnis? Zutritts– und Identitätsprozesse, die vollständig mit den Datenschutzgesetzen übereinstimmen. 

Was ist eine Datenschutz-Folgenabschätzung (DPIA)? 

Eine DPIA liefert Einblicke in die Risiken für Personen, deren personenbezogene Daten im Rahmen eines bestimmten Prozesses verarbeitet werden, sowie die erforderlichen Maßnahmen zur Minderung dieser Risiken. Die Verarbeitung im Bereich Zutrittskontrolle und Identitätsmanagement ist häufig groß angelegt und komplex, weshalb eine DPIA unerlässlich und gesetzlich vorgeschrieben ist, um den GDPR-Standards zu entsprechen. 

Herausforderung: AEOS-Upgrade und Integration mit der Dataclient-Workflow-Lösung 

Diese Fallstudie beleuchtet ein komplexes Szenario bei einem großen Industrieunternehmen. Das Unternehmen verwendete ein AEOS-Zutrittskontrollsystem zur Verwaltung von Zutritts– und Sicherheitsprozessen. Das System musste auf eine neue AEOS-Version aktualisiert werden, um mit der neuen Workflow- und Identitätsmanagementlösung, Dataclient, integriert werden zu können. Dies ermöglichte kontrollierten Zutritt für Mitarbeiter, Besucher und Auftragnehmer. Daher war es erforderlich, die bestehende Datenbank auf das neue System zu migrieren. 

Zutrittsprozesse auf einem Multi-User-Standort 

Der Standort beherbergte mehrere Unternehmen, die Zugang zu den Systemen benötigten, um unabhängig Besucher, Mitarbeiter und Auftragnehmer zu registrieren. Dies stellte sicher, dass kontrolliert wurde, wer registriert wird und welche Daten eingegeben werden. Alle Parteien wurden als (gemeinsame) Datenverantwortliche bezeichnet und trugen die Verantwortung für ihre jeweiligen Daten. Die Hauptverantwortung lag beim Kunden, der die Systeme verwaltete und sicherte. Nsecure agierte ebenfalls als Auftragsverarbeiter, da es die Systeme hostete. 

Risiken identifizieren: Datenminimierung, Datenqualität und Sicherheit 

Das Upgrade und die Einführung der Dataclient-Lösung brachte mehrere datenschutzrechtliche Risiken mit sich: 

1. Datenminimierung: Waren alle Daten aus der alten AEOS-Umgebung noch erforderlich? 
2. Datenqualität: Waren alle Datensätze aktuell? 
3. Sicherheit: Wie wurden die Datensätze während der Migration geschützt? 

Empfehlung: Durchführung einer DPIA 

Um eine erfolgreiche Migration und die Einhaltung der Datenschutzgesetze zu gewährleisten, wurde eine DPIA durchgeführt. Durch eine detaillierte Analyse half Nsecure dem Kunden, Datenschutzrisiken zu identifizieren und geeignete Maßnahmen zur Minderung zu formulieren. 

Idealerweise sollte eine DPIA vor Beginn eines Projekts, das die Datenverarbeitung betrifft, durchgeführt werden, damit datenschutzrechtliche Überlegungen in das technische Design einfließen. In diesem Fall befasste sich die Bewertung sowohl mit der bestehenden als auch mit der neuen Datenverarbeitung. 

Schritt 1: Prozessbeschreibung 

Der erste Schritt einer DPIA ist eine systematische Beschreibung des Prozesses, die als Grundlage für die Bewertung dient. Dies umfasst nicht nur die verarbeiteten Daten und die verwendeten Systeme, sondern auch die Rollen aller beteiligten Parteien: 

• Wer bestimmt den Zweck und die Mittel der Verarbeitung? 

• Wer sind die betroffenen Personen? 

• Sind Dritte in die Datenverarbeitung im Auftrag des Verantwortlichen involviert? 

Die personenbezogenen Daten, die in Zutrittskontrollsystemen verarbeitet werden, reichen von grundlegenden Informationen (z.B. Name, E-Mail, Telefonnummer) bis hin zu sensiblen Daten wie Adressen, ICE-Kontaktdaten, ID-Nummern, Aufenthaltsstatus und Schulungsunterlagen. 

Schritt 2: Bewertung der GDPR-Konformität 

Alle personenbezogenen Datenverarbeitungen müssen den Anforderungen der GDPR entsprechen, einschließlich Zweckbindung, Rechtmäßigkeit und Transparenz. Eine der sechs rechtmäßigen Grundlagen gemäß GDPR muss für die Datenverarbeitung zutreffen, damit diese zulässig ist. Der Kunde plante, Daten hauptsächlich auf Grundlage von „berechtigtem Interesse“ und „Einwilligung“ zu verarbeiten, wobei „rechtliche Verpflichtung“ nur in begrenztem Umfang genutzt werden sollte. Jede Grundlage stellte eigene Herausforderungen dar: 

Berechtigtes Interesse:

Die Verarbeitung muss für die Geschäftsabläufe notwendig sein und die Interessen des Unternehmens mit den Rechten der betroffenen Personen in Einklang bringen. In diesem Fall rechtfertigte die Sicherheit von Immobilien und Anlagen im Industriesektor die Verarbeitung. Der Kunde musste jedoch kritisch bewerten, welche Daten tatsächlich erforderlich waren, und die Verarbeitung auf diesen Umfang beschränken. 

Einwilligung:

Die Einwilligung muss informiert, spezifisch und widerrufbar sein. Der bestehende Prozess erfüllte diese Kriterien nicht: 

• Es war unklar, welche Daten verarbeitet wurden und zu welchem Zweck. 

• Die Einwilligung wurde oft mündlich beim ersten Besuch gegeben, ohne dass ein klares Verfahren für den Widerruf bestand. 

• In einer Arbeitgeber-Arbeitnehmer-Beziehung könnte die Einwilligung nicht freiwillig erteilt werden, was die Einhaltung erschwert. 

Schritt 3: Risikoanalyse und Maßnahmen zur Minderung 

Der letzte Schritt der Datenschutz-Folgenabschätzung (DPIA) umfasst die Durchführung einer Risikoanalyse und die Definition von Kontrollmaßnahmen. Dabei wird geprüft, welche Risiken sowohl für die betroffenen Personen als auch für die Organisation von Bedeutung sind. Die Ergebnisse aus Schritt 2 dienen als Grundlage für diese Analyse.

Es wurden mehrere Risiken für die betroffenen Personen und die Organisation identifiziert. Auf Basis dieser Erkenntnisse wurden in Abstimmung mit dem Kunden Maßnahmen formuliert. Ein Beispiel hierfür sind zu weitreichende Berechtigungen, die ein Risiko für den Missbrauch oder die unsachgemäße Nutzung von Daten in der Dataclient- oder AEOS-Umgebung durch Mitarbeiter des Kunden oder Auftragnehmer darstellen könnten.

Ergebnisse von Empfehlungen und Maßnahmen: Zuweisung von Rechten und Berechtigungen

Um sicherzustellen, dass das AEOS-Zutrittskontrollsystem und die Dataclient-Umgebung den Datenschutzanforderungen entsprechen, wurden Maßnahmen ergriffen, um Risiken zu minimieren. Dazu gehören die Entwicklung und Implementierung eines Testplans, die Überprüfung importierter Daten mit relevanten Stakeholdern sowie die Verschlüsselung von Datenübertragungen. Eine neue Verfahrensweise wurde eingeführt, um die Zuweisung von Rechten und Berechtigungen besser zu verwalten und zu überwachen. Außerdem wurde das Logging so konfiguriert, dass Alarme ausgelöst werden, wenn Nutzer große Mengen an personenbezogenen Daten innerhalb des Systems anfordern.

Darüber hinaus wurde festgestellt, dass bestimmte Daten erfasst wurden, die entweder nicht ausreichend notwendig für die Zwecke von Dataclient und AEOS waren oder länger gespeichert wurden als erforderlich. Um dies zu beheben, wurde eine Bewertung durchgeführt, um die für die Verarbeitung notwendigen Daten zu identifizieren. Für alle Daten wurden Aufbewahrungsfristen definiert, die zwischen Besuchern, Auftragnehmern und Mitarbeitern unterscheiden. Wo möglich, wurden Aufbewahrungsrichtlinien in den Systemen automatisiert.

Vereinbarungen mit Auftragnehmern 

Auch Auftragnehmer waren verpflichtet, die betroffenen Personen über deren Aufnahme in Dataclient oder AEOS und andere Aspekte der Verarbeitung zu informieren, wie z.B. Aufbewahrungsfristen und Sicherheitsmaßnahmen. Vereinbarungen klärten die Verantwortlichkeiten, und eine GDPR-konforme Datenschutzerklärung wurde allen betroffenen Personen ausgehändigt. 

Ein kontinuierlicher Prozess 

DPIAs sind keine einmaligen Übungen. Überwachung und Anpassungen sind erforderlich, wenn sich die Datenverarbeitung ändert, wie zum Beispiel bei der Einführung neuer Technologien oder der Änderung von Verarbeitungszwecken.