Datenschutz und was es für Ihre Arbeit bedeutet: Interview mit dem Informationssicherheitsbeauftragten Bernd Flickenschild

28. Juni 2018, von Giselind Werner

Foto: UHH/Wohlfahrt

Bernd Flickenschild ist seit 2015 der Informationssicherheitsbeauftragte der Universität Hamburg.

Ende Mai trat die EU-Datenschutzgrundverordnung in Kraft. Auch vorher galt in Deutschland schon ein fortschrittliches Datenschutzrecht, doch die Einführung der sogenannten DSGVO war wie ein Weckruf für viele: Das Thema Datenschutz steht jetzt überall auf der Agenda. Im Interview erläutert Bernd Flickenschild, Informationssicherheitsbeauftragter der Universität Hamburg, was Mitglieder der Universität in Bezug auf Datenschutz berücksichtigen müssen und wo sie Unterstützung erhalten.

Als Leiter des „Kompetenzzentrums Informationssicherheits- und Datenschutzmanagement“ steuern Sie die Maßnahmen zum Datenschutz an der Universität Hamburg. Was beschäftigt Sie derzeit am meisten?

In Zukunft werden die Themen Datenschutz und Informationssicherheit enger zusammenwachsen. Beide Themenbereiche sollen als Ganzes verstanden und die IT-Systeme und Datenverarbeitungen entsprechend beschrieben und dokumentiert werden. Daher gilt es zuerst, dieses integrierte Konzept in der Universität bekannt zu machen. Ein weiterer Fokus liegt auf Gesprächen in den Fakultäten, Einrichtungen und der Verwaltung.

Was ist konkret geplant?

In einem ersten Schritt sollen erstmal alle Verfahren, in denen personenbezogene Daten verarbeitet werden, erhoben werden. Dieses niedrigschwellige Vorgehen beinhaltet Angaben zur Verarbeitung selbst, Angaben zu Ansprechpartner und Einrichtung sowie Angaben zu Datenkategorien und Art der verarbeiteten Daten. Dieser Vorgang wird mittels eines SharePoint-Formulars durchgeführt und steht schon bereit. Es kann also ab sofort ausgefüllt werden, idealerweise bis Ende Juli 2018.

Im zweiten Schritt werden wir dann auf die einzelnen Ansprechpartner zugehen und gemeinsam mit dem Verantwortlichen eine normierte Dokumentation erarbeiten.

Was sollte jedes Mitglied der Universität jetzt als Erstes tun?

Die Mitglieder der Universität Hamburg werden durch einen Brief des Präsidiums auf die anstehenden Tätigkeiten vorbereitet. Auf der Webseite des Informationssicherheits- und Datenschutzmanagements (ISDSM) finden sich bereits Informationen und Anleitungen zum weiteren Vorgehen.

In jedem Fall ist es sinnvoll, umgehend im eigenen Bereich Webseiten auf Datenschutzerklärungen hin zu überprüfen und zu schauen, wo und wie personenbezogene Daten verarbeitet werden.

Was sind denn typische Verarbeitungstätigkeiten?

Nach DSGVO meint der Begriff „Verarbeitung“ jeden Vorgang oder jede Vorgangsreihe – mit oder ohne Hilfe automatisierter Verfahren ausgeführt – im Zusammenhang mit personenbezogenen Daten, zum Beispiel das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung personenbezogener Daten.

Konkret: Jedes Online-Formular, in dem personenbezogene Daten eingegeben werden oder IP-Adressen gespeichert werden, jeder Newsletter-Versand, jede Datenbank mit personenbezogenen Daten involviert so eine Verarbeitungstätigkeit und muss beschrieben werden.

Eine Einschränkung kennt die DSGVO hier nicht. Um aber ein sinnhaftes Vorgehen für die Universität Hamburg zu finden, haben wir uns entschlossen, zunächst unser Augenmerk auf die automatisierte Verarbeitung von größeren Mengen personenbezogener Daten zu legen.

Inwiefern betrifft Datenschutz auch Forschung, z.B. Datenerhebungen für Studien?

Die DSGVO greift als direkt anwendbares Recht auch für alle Forschungsbereiche und deren Datenerhebungen, sofern personenbezogene oder personenbeziehbare Daten verarbeitet werden.

Was ist mit Kontaktinformationen im Internet? Darf es die noch geben?

Die darf es natürlich auch weiterhin geben. Wichtig ist in diesem Zusammenhang allerdings, dass die betroffene Person, wenn Sie nicht Mitarbeiter oder Mitarbeiterin der Universität Hamburg ist, ihr Einverständnis zur Veröffentlichung erklärt hat. Für Bilder der jeweiligen Person ist bei einer Veröffentlichung im Rahmen der Kontaktinformationen in jedem Fall eine Einwilligung nötig.

Muss ich für meine Webseite etwas tun?

Mit hoher Wahrscheinlichkeit ja. Eine aktuelle und auf den Sachverhalt angepasste Datenschutzerklärung ist Pflicht. Wenn Sie unsicher sind, wie diese aussehen muss, hilft Ihnen die Abteilung für Kommunikation und Öffentlichkeitsarbeit gerne weiter.

Weiterhin ist es wichtig, die Inhalte auf Bilder zu überprüfen, auf denen einzelne Personen klar erkennbar sind, deren ausdrückliche Zustimmung zur Veröffentlichung fehlt. Wichtig ist auch eine zwingend zu bestätigende Einwilligungserklärung auf Seiten mit Formularen, in denen personenbezogene Daten erhoben werden.