Neue Software einzuführen, ruft heutzutage nicht nur den Datenschutz, sondern auch die Frage nach der Abhängigkeit hervor. Wie beides ohne großen Mehraufwand zusammen gedacht werden kann und warum Eigenentwicklungen nicht immer die beste Wahl sind, verrät die stellvertretende externe Datenschutzbeauftragte der FAU Eva Grübel-Hoffmann im Interview.

Wie spielen denn die Themen Datenschutz und digitale Souveränität zusammen, also inwiefern betrifft das Thema digitale Souveränität auch den Datenschutz?

Eva Grübel-Hoffmann: Ich habe mir ein paar Gedanken gemacht und habe digitale Souveränität für mich in zwei Begriffen zusammengefasst: das sind Wissen und Kontrolle. Wenn ich nicht weiß, welche Daten ich verarbeite, wo sie verarbeitet werden, an wen sie in irgendeiner Form gehen, dann habe ich auch keine Kontrolle mehr. Ich brauche aber Kontrolle, um souverän agieren zu können, um diese Souveränität auch wirklich zu leben. Ich muss diese Sachen gestalten können, und das geht natürlich nur, wenn ich ausreichend darüber Bescheid weiß, was läuft. Das ist leider häufig nicht der Fall, weil sich darauf verlassen wird, dass es irgendwo geregelt ist, vielleicht durch das RRZE oder durch die Universität. Der Einzelne weiß dann zum Teil nicht, welche Daten wo landen und wie sie verarbeitet werden. Beim Einsatz von KI oder bei großen Software-Einführungen ist natürlich klar, dass Themen zentral geregelt werden müssen. Da werden verschiedene Stellen einbezogen und darauf muss oder können sich dann einzelne Mitarbeitende in der Universität auch verlassen.
Das entbindet die Mitarbeitenden aber aus meiner Sicht nicht davon, sich im täglichen Arbeitsumfeld, egal ob in der Verwaltung oder in der Wissenschaft, Gedanken zum eigenen Beitrag zu machen.

Wie sollte das dann aussehen?

Nicht nach dem Motto, ich muss mir jetzt in 50 Prozent meiner Arbeitstätigkeit Gedanken machen, wie hoch ist der Datenschutz, oder die Souveränität, oder die Informationssicherheit – um Gottes Willen! Datenschutz ist aber ein Thema, das als Querschnittsthema immer dabei ist. Wenn ich ein bestimmtes Wissen im Datenschutz erlangt habe, dann kann ich auch die richtigen Fragen stellen. Und darauf kommt es eigentlich an, dass ich frage: Wo liegen meine Daten, wo gehen die hin? Diese Fragen sollten immanent mitspielen. Wenn die Fragen gestellt werden und die Beschäftigten nicht sagen, ist mir doch egal, dann ist das für mich, digitale Souveränität und Datenschutz.

Wie stehst du als Datenschutzbeauftragte generell zum Thema digitale Souveränität?

Ich finde es extrem wichtig. Mich erwischt es insofern immer – nicht nur an der Uni bei euch, sondern auch in anderen Bereichen, in denen ich als Datenschützerin tätig bin – dass oftmals gefragt wird: „Wir hätten gerne ein Collaboration-Tool.“ Dann frage ich: „Was habt ihr denn vor? Welche Daten wollt ihr denn verarbeiten?“ Dann kommt die Antwort: „Wir wollen gar keine personenbezogenen Daten verarbeiten.“ Dann stelle ich meine zweite Frage: „Welche Metadaten werden mit dem Tool verarbeitet?“ Und spätestens dann kommt die Frage: „Was sind denn Metadaten?“. Das ist der große Punkt bei der Souveränität – es gehen oftmals unwahrscheinlich viele Metadaten an das Tool, an die Server von diesem Tool- oder an App-Anbieter. Zum Beispiel: Wann nutzt du das Tool? Mit welchem Gerät? Das sind ganz viele Unterpunkte, die im ersten Moment einzeln noch gar nicht dramatisch aussehen, aber in der Masse für den App-Hersteller oder -Anbieter ein Profil ergeben. Und da ist es schon eine relevante Frage, wer dieser App-Hersteller oder -Anbieter ist. Die angesagten „coolen“ Apps kommen in der Regel aus den Staaten, zumindest nicht aus Europa, worüber ich immer etwas traurig bin. Ich denke, es gibt gewiss ganz viele kluge Köpfe, auch in Europa, die entsprechend Software erstellen, die dann aber gegen den Marktführer einfach nicht ankommen und deswegen nicht wahrgenommen werden. Und die Souveränität – um auf deine Frage zurückzukommen – ist für mich genau die Frage: Bin ich abhängig? Habe ich die Hand drauf? Kann ich entscheiden: Morgen nutze ich ein anderes/eigenentwickeltes Tool? Ich möchte meine Daten von dem einen Tool in das andere übertragen können. Wenn das nicht möglich ist, dann bin ich abhängig und damit nicht souverän. Da muss ich bei diesem einen bleiben. Wird eine Entscheidung für ein Tool getroffen, geschieht das oft aufgrund von funktionalen Aspekten, aber auch, weil es als cool und attraktiv wahrgenommen wird.

Was bedeutet das denn?

Die großen Marktführer, ob Microsoft oder andere, bieten immer neue Funktionalitäten an, die jeder benutzt. Also benutze ich das auch. Aber mit jedem Relaunch oder mit jedem Update/Upgrade, das die machen, schrauben sie dann wieder mal daran und sagen, du spielst es jetzt in die „Wolke“ (Cloud, als Onlinespeicherplatz, Anm. d. Red.) oder mit dieser Funktionalität kannst du das noch besser machen und wir machen es dir noch einfacher, du speicherst es gleich bei uns auf dem Server und so weiter. Und das ist das, was uns wirklich nahe geht – man hat überhaupt keine Wahlmöglichkeit mehr.

Wie meinst du das?

Also zum Beispiel bei dem Thema Cookies (kleine Datensätze, die Informationen über Website-Besucher enthalten, Anm. d. Red.) habe ich eine Wahlmöglichkeit. Ich kann fast immer sagen, „alle ablehnen“ oder „alle annehmen“. Aber trotzdem ist die Website nutzbar. Bei mancher Software habe ich überhaupt keine Wahlmöglichkeit. Ich kann sie nehmen oder ich kann es lassen. Und wenn das ein Produkt ist, das seit 10, 20 Jahren benutzt wird, dann ist dieses Sich-Lösen aus dieser Abhängigkeit extrem schwer. Genau deshalb ist das ein Punkt, an dem wir uns fragen sollten, wo und wie Souveränität tatsächlich hergestellt werden kann. Das geht leider nicht überall. Es wäre Augenwischerei, wenn ich sage, ich kann eine hundertprozentige Souveränität ermöglichen.

Ist digitale Souveränität überhaupt in einem gewissen Grad erreichbar und bis zu welchem ist es möglich?

Also ja, es geht natürlich. Und das ist, was ich auch bei euch besonders finde, dass sich der Freistaat ganz oft Gedanken macht und sagt, wir geben für die bayerischen Hochschulen, Universitäten ein Tool oder eine bestimmte Plattform oder Ähnliches vor. Das mag vielleicht in manchen Fällen zu langsameren Prozessen führen oder zu „gefällt mir nicht“, weil die Funktionalität nicht so hundertprozentig ist. Aber es ist eine Entwicklung, die zum Beispiel in München gemacht wurde. Jedenfalls sind das Tools, die aus Deutschland, aus Bayern stammen. Da ist man in der Lage, die Souveränität hier für die Universitäten und Hochschulen entsprechend zu gewährleisten.

Als Beispiel wäre jetzt BayRMS zu nennen, über das wir unsere Reisekostenabrechnungen machen.

Genau, und auch die digitale Personalakte, die jetzt schrittweise eingeführt werden soll. Da sucht sich nicht jede Hochschule oder jede Universität ihre eigene Personalmanagementsoftware, sondern das wird zentral gemacht. Es wird immer Pro und Contra dafür geben, das ist völlig normal. Aber gerade im Personalmanagement ist es extrem wichtig, dass die Daten nicht irgendwo außerhalb Europas liegen oder amerikanische Supportsoftware genutzt wird. Mindestens genauso wichtig wie der Speicherort ist für uns das Prinzip, bewusst sparsam mit Daten umzugehen. Und damit kommen wir zu meinem Lieblingswort „Datenminimierung“: Man sollte also so wenig Daten wie möglich verarbeiten. Einfach ganz platt gesagt, alle Daten, die ich nicht brauche, gar nicht erst erheben, dann muss ich sie auch nicht schützen. Das ist so eine Binsenweisheit, aber immer wieder gern ausgesprochen.

Welche Hebel gibt es denn, auch auf europäischer Ebene, die vielleicht unbemerkt gezogen werden?

Auch die Datenschutzkonferenz und die europäischen Datenschützer haben sich mit Microsoft zusammengesetzt und versuchen da Einfluss zu nehmen. Die haben auch in der Corona-Zeit, in der Zoom ganz stark geworden ist, Zoom ein paar Sachen diktieren können. Mit diesen Großmächten wird durchaus auch geredet. Und da werden auch Zugeständnisse eingefordert oder wirklich Pflöcke eingeschlagen, die dazu führen, dass wenigstens so ein Grundsatzdatenschutz gelebt werden kann. Aber das ist eben nicht hundertprozentig. Ich kann denen nichts vorschreiben, sondern kann nur versuchen, auf Augenhöhe ein paar wichtige Themen anzusprechen und ihnen auf die Finger zu gucken. Es gibt im Datenschutz Strafsanktionen, wenn man den Datenschutz nicht einhält. Da gibt es auch die entsprechenden Strafbefehle. Gegen Meta wurde vor inzwischen schon drei Jahren eine 1,2 Milliarden Euro Strafe ausgesprochen. Ich habe letztens mal nachgeguckt, weil ich wissen wollte, wie das ausgegangen ist. Bis heute ist die Zahlung nicht erfolgt. Das ist dann auch nur die halbe Miete, wenn es nicht durchgezogen wird, weil die Anwälte auf der anderen Seite den Prozess verzögern.

Es lässt Europa machtlos erscheinen…

Genau, und das ist dann wirklich schade. Ich sage das ja auch in den Schulungen: Es gibt Punkte – und das ist wirklich das Positive – die wurden in der DSGVO so benannt, dass jetzt nicht jemand sagen kann, „es gibt entweder zehn oder zwanzig Millionen Euro Strafe“, sondern jeweils zwei oder vier Prozent des weltweiten Jahresumsatzes. Aber bezüglich des weltweiten Jahresumsatzes, da können die Firmen nicht sagen – was sie früher gern gemacht haben, – der Verstoß hat in Irland stattgefunden, der irische Umsatz sind 100.000 Euro und davon bezahlen wir zwei Prozent. Nein, da ist wirklich der weltweite Jahresumsatz gemeint. Genau dafür ist das in die DSGVO reingeschrieben worden. Jetzt muss es aber noch durchgesetzt werden. Und das ist nicht immer einfach. Aber nichtsdestotrotz ist das genau der zweite Punkt, auf den ich hingewiesen habe: Ich muss auch an die Großen herantreten und versuchen, Einfluss zu nehmen. Zum Beispiel, dass man klärt, dass nach so und so vielen Tagen die Aufzeichnung gelöscht werden muss.

Wir haben am RRZE mit dem Identity Management (IdM) eine Eigenentwicklung. Vorhin habe ich schon mal rausgehört, dass bayerische Software, die wir nutzen, sehr beliebt ist bei Datenschutzbeauftragten. Wie stehst du zu unserem IdM?

Ich bin ein totaler Fan davon.

Warum?

Ich kenne die Leute, die das entwickeln, arbeite mit ihnen auf Augenhöhe und im Vertrauen zusammen. Sie sprechen mich an, sagen: „Hier, guck mal, ist das in Ordnung so?“ Das ist wirklich ein super Miteinander. Deswegen, und auch aus Datenschutzgründen, bin ich ein totaler Fan. Regularien, die ich als Datenschützerin vorgeben würde oder vorgebe, sind da wirklich auch mitgedacht: Man kann sich im System eine Datenschutz-Selbstauskunft geben lassen, die Sachen werden nach bestimmten Regeln gelöscht und so weiter.

Sind dann generell Eigenentwicklungen besser?

Da gibt es nicht nur Schwarz und Weiß. Das Positive an Eigenentwicklungen ist natürlich, dass ich weiß, was das Programm macht, wo die Daten hingehen und wer darauf Zugriff hat. Ich habe außerdem ein Berechtigungskonzept: Nicht alle können alles sehen – da gibt es aber auch Abstufungen. Beim IdM gehen Daten gezielt raus und rein. Dann ist es super, an dieser Stelle kein gekauftes Tool einzusetzen, das Abhängigkeit schafft. Stattdessen hat man eine Eigenentwicklung, die es erleichtert, flexibel zu sein und sich bei Bedarf unkompliziert erweitern lässt. Das ist in der Hinsicht optimal, da man unabhängig bleibt. Das IdM ist ein hervorragendes Beispiel für digitale Souveränität. Dort ist sozusagen die Datenschutz-Checkliste abgearbeitet. Aber – und deswegen habe ich gesagt, es gibt kein Schwarz und Weiß – nicht jede Eigenentwicklung ist per se gut. Es kann auch sein, dass keiner die Ressourcen hat, die Eigenentwicklung zu prüfen oder den Datenschutz wirklich von vornherein mitzudenken, denn das bedeutet Aufwand. Oftmals ist es ein Ressourcen- und Zeitfaktor, dass der Datenschutz oder die Informationssicherheit nicht als oberstes Ziel gesetzt werden, sondern wissenschaftliche Anforderungen im Vordergrund stehen. Und dann ist es so, dass man vielleicht seinen Code kennt, den aber nicht bis zu Ende geprüft hat. Man hat vielleicht gar nicht die Ressourcen, um Penetrations-Tests oder sowas zu machen, da man in dem Moment nur darauf fokussiert ist, was die Software machen soll. Und damit hat man nicht bis zum Schluss daran gedacht, alle Türen sicher zu machen, dass keiner von außen reinkommen kann.

Bei unserem IdM können wir sehen, welche Daten wohin gespielt werden. Bei zugekaufter Software wird oft vertraglich zugesichert, dass die Daten verschlüsselt sind und dass der Anbieter den Dienst nicht abstellen kann. Musst du dich auf solche Zusagen verlassen oder kannst du das auch überprüfen?

Das ist ein ganz, ganz schwieriges Thema. Das sage ich so, wie es ist. Ich müsste ja, um wirklich richtig zu testen, jedwede Software installieren und dann möglichst auch noch jedwede Prozesse, die damit gemacht werden sollen, entsprechend einmal durchprüfen. Das funktioniert definitiv nicht. Also das ist einfach ressourcentechnisch, kostentechnisch, auch menschlich nicht machbar. Oftmals ist es ja Software, von der ich – gerade, wenn es wissenschaftliche Bereiche betrifft – überhaupt keine Ahnung habe. Deswegen würde ich da gerne unterscheiden. Also bei Software, wie der digitalen Personalakte, die aus Bayern kommt, wird es eine Einführungsphase geben. Wir sind dabei auch eingebunden. Also ist es nicht per se so, dass wir die Software nicht angucken, weil sie aus Bayern kommt. Wir prüfen sie genauso. In dieser Testphase wird man genauer hinschauen können, da die Prozesse dann erstmals abgebildet sind. Bei eher kleinerer Software gibt es im Prinzip nur eine Mischung: Ich prüfe die Software auf dem Papier, schaue mir deren Datenschutzinformationen und die Webseite der Software an und sehe, was sie mir vermitteln. Dann gibt es häufig bei Software auch einen sogenannten Auftragsverarbeitungsvertrag, in dem vertraglich geregelt ist, was man als Nutzer erwarten kann. Was angeboten wird, welche Daten verarbeitet werden, die Löschung der Daten am Ende eines Vertrages, dass die Mitarbeiter auf Vertraulichkeit verpflichtet sind, dass sie eine Datenschutzschulung haben und so weiter. Diesen Vertrag bieten die Firmen in der Regel von sich aus an. Das alles sollte man vertraglich regeln, lieber einmal mehr als einmal zu wenig. Die Anbieter haben mir also nicht nur auf der Webseite gespiegelt, was sie alles können, sondern es wurde auch vertraglich geregelt. Dann kann man immerhin sagen: Wenn tatsächlich etwas passiert – auch wenn es natürlich schade wäre, dass es erst soweit kommen muss –, kann ich sie dafür zur Verantwortung ziehen oder eine Nachbesserung einfordern. Weiterhin gibt es auch einige Zertifikate, auf die ich mich verlassen können muss. Das sind Zertifikate, wie zum Beispiel die ISO 27001. So ein Zertifikat bekommt man nur, wenn man durch einen externen Auditor geprüft wird. Das ist nicht nur einmal, sondern da ist regelmäßig eine Rezertifizierung nötig. An der Stelle habe ich so eine Absicherung durch eine Prüfung Dritter. Und das ist dann wiederum eine Sache, auf die ich mich als externe Datenschützerin verlassen kann, weil das nichts x-Beliebiges ist. Das ist eine ISO-Norm, die gewisse Vorgaben hat und auch Auflagen erteilt. Ich gucke auch im Netz, ob der Anbieter schon unangenehm aufgefallen ist. Gab es in den letzten zwölf Monaten, vielleicht auch ein bisschen länger, irgendwelche Vorfälle? Das kommt zum Glück heutzutage immer raus. Und aus dieser Mischung gebe ich eine Einschätzung ab,habe dabei aber nur den Moment abgebildet. Trotzdem sollte man immer die Augen aufmachen, wenn man etwas installiert. Ich sage aber auch mal: „Hände weg von dieser Software! Würde ich nicht empfehlen.“ Die Besonderheit, von der man vielleicht noch wissen sollte: Ein Datenschützer oder eine Datenschützerin befiehlt oder verbietet nichts. Die letztendliche Entscheidung liegt immer bei den Verantwortlichen. Das ist jetzt die Uni. Wenn die Uni dann sagt, nein, wir nehmen das Tool trotz der Risiken, die Sie uns angedeutet haben, dann ist das die Entscheidung der Uni.

Wie kann man euch denn am besten einbeziehen, wenn man vorhat, eine neue Software einzuführen, sei es eine eigene Entwicklung, sei es was Zugekauftes?

Also, ich finde es immer sehr schön, wenn wir – überall da, wo es um personenbezogene Daten geht, also gerade im Personalverwaltungsbereich, aber auch in manchen Fakultäten, die mit personenbezogenen Daten Studien durchführen – nicht zwei Tage vor oder sogar erst nach der Einführung davon erfahren. Optimalerweise ist es so, dass man sagt: Wir wollen was ausschreiben, was sollten wir denn datenschutztechnisch in der Ausschreibung beachten? Und da sage ich: „Super, schön, dass ihr uns fragt. In der Ausschreibung solltet ihr das, das und das als Must-have bzw. als Nice-to-have reinnehmen.“ Dann muss nämlich der Anbieter auch Farbe bekennen und sagen, „hier, das haben wir nicht oder das geht nicht“.

Hast du ein Beispiel?

Nehmen wir an, man will ein Bewerbertool einführen. Der Server sollte natürlich nicht in Amerika stehen. Er sollte logischerweise auch ein Berechtigungsmanagement haben, also, dass jetzt nicht jeder alles einsehen kann, sondern dass es da gewisse Rollen gibt. Das ist eine Must-have-Voraussetzung. Und dann geht es weiter: Kann ich Löschfristen hinterlegen, also so, dass das System automatisiert löscht? Kann ich Einwilligungen hinterlegen? Das alles kann ich mir vorher überlegen, wenn ich gefragt werde. Es gibt in dem Zusammenhang noch zwei schöne Begriffe, die auch die DSGVO (Datenschutzgrundverordnung Anm. der Red.) geprägt haben: Datenschutz by Design und Datenschutz by Default. Das Erste meint, dass der Datenschutz von Anfang an mitgedacht und in der Software schon verankert wird. Also, dass zum Beispiel Daten von vornherein verschlüsselt werden oder von Anfang an die Zwei-Faktor-Authentifizierung eingebaut ist und weitere Sicherheitslevels und Datenschutzmaßnahmen schon in der Software verankert sind. Und das zweite, by Default, heißt einfach, dass zum Beispiel bei den Datenschutzeinstellungen zunächst alles gesperrt bzw. deaktiviert ist und ich dann selbst entscheiden kann, welche Einstellungen ich freigeben oder aktivieren möchte.

Also, so in der Form wie du es vorhin bei den Cookies erklärt hast, dass die Nutzenden selbst entscheiden können, was sie preisgeben?

Genau, das wäre die Idealvorstellung. Diese Analyse- oder Tracking-Tools sollten auch in der Software per se ausgeschaltet sein. Ich kann aber danach fragen und dann kann sich der Mensch dafür entscheiden. Das ist die Ideallinie, das ist Datenschutz-Privacy by Default. Es ist aber ganz häufig so – auch in Social Media –, dass zum Beispiel nach einem Update alle Datenschutzeinstellungen wieder offen sind. Das ist das absolute Gegenteil von Privacy by Default. Und das ist auch ehrlicherweise eine super Frechheit, dass das sozusagen oftmals einfach drüber gebügelt wird und es nicht so gelebt wird, wie es eigentlich sollte! Und genau das ist der Knackpunkt: die Global Player machen das einfach, weil sie damit in den allermeisten Fällen durchkommen.

Die digitale Souveränität hat ja jetzt für euch früher eigentlich keinerlei Rolle gespielt, weil sich das Leben nicht digital abgespielt hat. Das heißt, es hat ja bei euch auch eine extreme Änderung des Jobs hervorgerufen.

Ja, wobei sich das auch erst entwickelt hat. Früher ging es eher um Prozesse, vielleicht auch um Datenminimierung. Jetzt wird es zunehmend digitaler. Oftmals frage ich: Wie viele Daten in der täglichen Arbeit sind digital und wie viele sind auf Papier? Die Antwort ist oftmals noch sehr unterschiedlich. Bei dem einen sind 90 Prozent digital und bei dem anderen 90 Prozent Papier. Und trotzdem ist es so, dass sich die Welt rasant ändert, also die Anzahl der Tools wächst wirklich exponentiell. Dann kommt noch das große Thema KI (Künstliche Intelligenz) dazu, was auch nicht unbedingt dazu führt, dass das Leben für uns Datenschützer einfacher wird, weil es schneller wächst, als es geregelt werden kann. Das heißt nicht, dass es nicht genutzt werden darf, aber es sollten ein paar Regeln dafür gelten. Und was es extrem schwer macht: Wir haben vorhin immer über Software gesprochen, die das Rechenzentrum bewusst installiert oder bewusst eingekauft hat. In der täglichen Arbeit läuft aber vieles webbasiert, also über Anwendungen, bei denen Mitarbeitende einfach im Browser Daten eingeben oder auf Dienste zugreifen, ohne dass dafür lokal installierte Software notwendig ist. Da ist die Kontrolle der Universität kaum möglich und meine als Datenschützer auch nicht.

Inwiefern?

Ein Beispiel: Wenn ich etwas übersetzen lassen möchte, kann ich einfach auf deepl.com gehen und habe eine freie Übersetzungsseite. Da kann ich nicht einfach in die kostenlose Freeware einen Arbeitsvertrag mit allen ausgefüllten Daten reinwerfen, da die zu übersetzenden Daten an die Server von DeepL übertragen und dort auch zu Trainingszwecken genutzt werden können. Als Datenschützerin kann ich nur an die Beschäftigten appellieren. Ich habe keine Möglichkeit, das zu unterbinden. Ich will die Beschäftigten ja auch nicht knebeln. Der Datenschutz soll nicht arbeitsverhindernd sein. Aber ich möchte, dass die Beschäftigten, die mit den personenbezogenen Daten arbeiten, ihre eigene Verantwortung erkennen. Er oder sie muss dann an der Stelle sagen: „Ich habe hier auch eine Verantwortung, wenn ich auf Webseiten gehe und webbasierte Programme ausführe, drauf zu achten, dass ich keine personenbezogenen Daten oder auch wissenschaftliche Daten, die noch nicht veröffentlicht sind, oder andere sensible Daten eingebe.

Bei dem Beispiel müsstest du ja tausendfach geklont neben allen Mitarbeitenden sitzen.

Genau. Man könnte jetzt bestimmte Webseiten sperren. Also gefährliche Seiten kommen auf die Blacklist. Aber das würde man ja mit DeepL nicht machen oder mit ähnlichen Seiten. Das ist ja auch nicht Sinn der Sache. Deswegen ist das von meiner Seite aus der Appell an jeden Einzelnen im Rahmen seiner Tätigkeit an der FAU, diese Verantwortung auch wirklich zu leben und nicht zu sagen: Na ja, ist ja nicht mein Bier. Denn an der Stelle ist es sein Bier, da an der Stelle nur diese einzelne Person Einfluss nehmen kann, welche Daten sie wo eingibt. Und bei diesem Bewusstsein für Datenschutz sind wir sicherlich noch nicht da, wo wir hinwollen. Das möchten wir jedoch zeitnah erreichen, indem wir Datenschutzschulungen digital anbieten, so dass die wichtigsten Punkte noch einmal allen Mitarbeitenden ins Bewusstsein gerufen werden. Es sollte einfach bei jedem so eine kleine Antenne da sein, dass man sich fragt: „Habe ich eine neue Software? Habe ich viele Daten? Habe ich eine Mail an 600 Adressen geschrieben? Habe ich Daten nach außen zu geben, die vielleicht ein bisschen sensibler sind, und so weiter?“ Dass man bei solchen Themen/Fragestellungen immer kurz innehält und sich fragt: Muss ich irgendwas beachten? Nein, ich habe die 600 Adressen in BCC geschrieben, alles gut. Solche Dinge sollte man einfach fest in den eigenen Arbeitsablauf einbauen. Gerade wenn es um viele Daten, sensible Daten oder neue Software geht, ist es wichtig, bewusst zu überlegen, ob alles datenschutzkonform läuft. Und wenn man unsicher ist, ob oder wie man es richtig macht, dann weiß man hoffentlich, dass man beim Datenschutz jederzeit nachfragen kann.

Vielen Dank für das Gespräch!

Das Thema digitale Unabhängigkeit oder besser bekannt als digitale Souveränität hat in letzter Zeit einen deutlichen Bedeutungsschub erlebt. In dieser Interviewreihe zeigt das RRZE, warum es für ein Universitätsrechenzentrum weit mehr ist als ein vorübergehender Trend und wie das Thema zu einer resilienten IT beiträgt. Alle weiteren Teile:
Teil 1 – Marcel Ritter
Teil 2 – Kathrin Böhm
Teil 3 – Peter Reiß
Teil 4 – Helmut Wünsch
Teil 5 – Sebastian Schmitt und Gregor Longariva

Das Gespräch führte Corinna Russow