Gesellschaftliche und ethische Aspekte: Datenschutz, Sicherheit, Verantwortung
Der Bereich gesellschaftliche und ethische Aspekte prüft, ob du technische Entscheidungen rechtlich und moralisch bewerten kannst. Typische Aufgaben verlangen die Prüfung eines Vorhabens an der DSGVO, die Bewertung von Sicherheitsmaßnahmen anhand der Schutzziele und eine begründete Stellungnahme zu Verantwortung, Urheberrecht oder algorithmischer Diskriminierung.
Datenschutz nach DSGVO
- Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare Person; pseudonymisierte Daten bleiben personenbezogen, anonymisierte nicht.
- Grundsätze aus Art. 5: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit, Rechenschaftspflicht.
- Rechtsgrundlage nach Art. 6 nötig, etwa Einwilligung, Vertrag, rechtliche Verpflichtung oder berechtigtes Interesse; Einwilligung muss freiwillig, informiert, eindeutig und jederzeit widerrufbar sein.
- Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch; Datenpannen sind binnen 72 Stunden zu melden.
Sicherheit
- Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit, ergänzend Authentizität und Verbindlichkeit.
- Verschlüsselung schützt die Vertraulichkeit, Hashing erkennt Veränderungen, ist aber nicht umkehrbar; eine digitale Signatur verbindet Integrität mit Authentizität.
- Authentifizierung über Wissen, Besitz oder biometrische Merkmale; Passwörter werden gesalzen gehasht gespeichert, nicht im Klartext.
Durchgerechnetes Beispiel
Eine Schule will im Foyer Gesichtserkennung einsetzen, um Anwesenheit zu erfassen. Bewertung: Gesichter sind biometrische Daten, ihre Verarbeitung zum eindeutigen Identifizieren ist nach Art. 9 DSGVO grundsätzlich verboten und nur bei engen Ausnahmen zulässig. Eine Einwilligung von Minderjährigen ist rechtlich heikel und im Schulkontext kaum freiwillig. Zudem fehlt es an Erforderlichkeit und Datenminimierung, weil eine Kartenlösung den Zweck mit weniger Eingriff erreicht. Wegen des hohen Risikos wäre eine Datenschutz-Folgenabschätzung Pflicht. Ergebnis: Das Vorhaben ist in dieser Form unzulässig; ein milderes Mittel ist zu wählen.
Typische Punktverluste
- Verschlüsselung und Hashing gleichgesetzt; Hashing ist keine Verschlüsselung.
- Pseudonymisierung mit Anonymisierung verwechselt.
- Einwilligung genannt, ohne Freiwilligkeit und Widerruflichkeit zu prüfen.
- Behauptet, die DSGVO gelte nur für digitale Daten, obwohl sie auch Papierakten erfasst.
- Sicherheitsmaßnahmen ohne Bezug zu einem Schutzziel bewertet.