Auf dieser Seite (6)
Über den Zugriff auf Daten im Zufahrtsprotokoll entscheiden zwei voneinander unabhängige Dinge: die Berechtigung und der Sichtbarkeitsbereich. Die Berechtigung sagt, was ein Benutzer tun darf: das Protokoll öffnen, einen Passierschein ausstellen, einen Bericht abrufen. Der Bereich sagt, wessen Daten er dabei sieht: die des gesamten Objekts, eines einzelnen Standorts oder einer einzelnen Organisation. Die Vermischung dieser beiden Begriffe ist die häufigste Ursache dafür, dass jemand Daten sieht, die er nicht sehen sollte, obwohl die Berechtigungen vernünftig vergeben wurden.
Warum die Berechtigung allein nicht reicht
Der Wachmann am Tor braucht für seine Arbeit die Antwort auf eine einzige Frage: Darf dieses Fahrzeug jetzt einfahren? Er erhält also die Berechtigung für das Zufahrtsprotokoll, denn ohne sie kann er seine Aufgabe nicht erfüllen.
Die Berechtigung allein sagt jedoch nicht, wie viel er sehen soll. Ohne Einschränkung des Bereichs kann derselbe Wachmann:
- die Besuchshistorie eines beliebigen Fahrers von vor einem Jahr durchsehen,
- einen Bericht über alle Einfahrten an allen Standorten abrufen,
- die bei der Erfassung gesammelten Ausweisscans ansehen.
Nichts davon braucht er, um die Schranke zu öffnen, und jedes davon ist eine Verarbeitung personenbezogener Daten, die über den Zweck hinausgeht.
Wer welche Daten sieht: Tor, Leitung und Administration
Der Sicherheitsdienst am Tor sieht, was den laufenden Besuch betrifft: wer gekommen ist, ob ein Avis vorliegt und ob es Warnungen gibt. Er sieht keine Historie und ruft keine Sammelberichte ab.
Standortleiter und Logistikleiter sehen Berichte und Historie in ihrem Verantwortungsbereich. Sie brauchen aggregierte Daten, ohne Ausweisscans.
Die Administration, also IT und Datenschutzbeauftragter, sieht die Konfiguration, das Audit-Protokoll und wer auf Daten zugegriffen hat. Diese Ebene wird am häufigsten vergessen, und ohne sie lässt sich die Frage „Wer hat sich die Daten dieses Fahrers angesehen?“ nicht beantworten, die bei jedem Vorfall gestellt wird.
Zugriffsaudit: Wer die Daten eines Fahrers gesehen hat
Das Audit-Protokoll beantwortet die Frage, wer die Daten eines Fahrers gesehen hat. Vor der Einführung spricht man darüber, wer sie sehen darf, nach dem ersten Vorfall lautet die Frage: Wer hat sie gesehen? Ohne Audit ist die einzige Antwort eine Liste der Personen, die es theoretisch hätten tun können, und eine solche Antwort hilft nicht weiter.
Beispielhafte Aufteilung von Rollen und Bereichen
| Rolle | Berechtigung | Bereich |
|---|---|---|
| Sicherheitsdienst am Tor | Zufahrtsprotokoll, Torbedienung | laufende Besuche, ohne Historie und Berichte |
| Standortleiter | Protokoll, Berichte | gesamter Standort |
| Logistikleiter | Avisierung, Verkehrsberichte | eigener Bereich |
| Mieter im Logistikpark | Protokoll, Berichte | ausschließlich eigene Organisation |
| Datenschutzbeauftragter | Audit, Aufbewahrung | Konfiguration, ohne Einsicht in Inhalte |
Die Aufteilung von Rollen und Bereichen muss konfiguriert werden, denn die Standardeinstellungen enthalten sie nicht. Bereiche werden beim Anlegen der Rollen eingestellt und bei der Abnahme geprüft, am besten, indem man sich mit einem Testkonto jeder Rolle anmeldet und das System mit deren Augen betrachtet. Fehler zeigen sich auf dem Bildschirm des Benutzers; die Durchsicht der Berechtigungsliste in der Konfiguration deckt sie nicht auf.
Entscheidungen, die beim Verantwortlichen liegen
TraxSystem legt nicht fest, wer welchen Bereich haben soll. Das ist eine Entscheidung des Verantwortlichen, die sich aus den Verarbeitungszwecken und der Struktur der Organisation ergibt, und das System bildet sie ab.
Das System stellt die DSGVO-Konformität nicht von selbst her. Es liefert die Mechanismen, die für die Konformität nötig sind: Rollen, Bereiche, Audit, Aufbewahrungsregeln und Anonymisierung, und das Konzept liegt beim Verantwortlichen. Es führt auch kein Verzeichnis von Verarbeitungstätigkeiten und erzeugt keine DSGVO-Dokumentation.
Die hier beschriebenen Mechanismen des Systems sind keine Rechtsberatung. Die Aufteilung der Rollen stimmen Sie am besten mit Ihrem Datenschutzbeauftragten ab.
Fragen und Antworten
Wie viele Berechtigungen gibt es zu verteilen?
217 Berechtigungen in 24 Gruppen. Sie werden Rollen zugewiesen, nicht Personen, und sind bewusst feingranular, sodass sich Zugriff auf das Protokoll ohne Zugriff auf die Scans vergeben lässt.
Lässt sich der Bereich auf einen einzigen Standort beschränken?
Ja. Die Filterung der Daten nach dem Bereich aus der Rolle gilt auch für Berichte, sodass ein Benutzer mit lokalem Bereich automatisch einen eingeschränkten Bericht erhält und nicht daran denken muss.
Sieht der Wachmann, dass zu einem Fahrer eine Warnung vorliegt?
Ja, denn diese Information braucht er für seine Arbeit. Weder Warnung noch Verbot blockieren dabei die Schranke von selbst: Das System zeigt die Information an, und die Entscheidung trifft der Bediener.
Siehe auch: Fahrerdaten an der Pforte: Wie lange aufbewahren und was löschen · Logistikpark mit Mietern: Wie Sie Verkehr und Daten zwischen Firmen trennen · Hausverbot für Fahrer: Wie Sie es durchsetzen