Schutzstufen von Daten
Unterschiedliche Arten von personenbezogenen Daten weisen verschiedene Schutzbedarfe auf. Diese orientieren sich daran, welche Schäden bei einer Verletzung der drei Schutzziele, hier im speziellen der Vertraulichkeit, entstehen können und welches Verarbeitungsrisiko mithin besteht. Entsprechend ihres Schutzbedarfs werden Daten in unterschiedliche Schutzstufen eingeordnet.
An unserer Universität vertreten wir ein Konzept mit vier Schutzstufen, wobei die Daten in Abhängigkeit von ihrer Stufeneinordnung im Rahmen der Verarbeitung unterschiedlich zu behandeln sind (dazu unten mehr). Die Schutzstufen entsprechen den Vertraulichkeitsklassen von Informationen gemäß der Informationssicherheit und stellen deren Anwendung auf den speziellen Fall der Verarbeitung personenbezogener Daten dar.
| Schutzstufe | Beschreibung | Datenbeispiele | Risiko |
|---|---|---|---|
| öffentliche Daten - geringer Schutzbedarf | rechtmäßig frei zugängliche personenbezogene Daten |
| grundsätzlich kein Schadenspotential für betroffene Personen oder Universität erkennbar |
| interne Daten - normaler Schutzbedarf | nicht frei zugängliche personenbezogene Daten, bei denen eine unsachgemäße Handhabung aber keine besonderen Beeinträchtigungen für die betroffenen Personen erwarten lässt |
| minimale negative Auswirkungen auf betroffene Personen und Universität denkbar |
| vertrauliche Daten - hoher Schutzbedarf | personenbezogene Daten, bei denen eine unsachgemäße Handhabung die Betroffenen in ihren wirtschaftlichen Verhältnissen oder in ihrer gesellschaftlichen Stellung bzw. ihrem Ansehen beeinträchtigen könnte |
| mäßige bis erhebliche negative Auswirkungen auf betroffene Personen und Universität denkbar |
| streng vertrauliche bzw. geheime Daten - sehr hoher Schutzbedarf | personenbezogene Daten, bei denen eine unsachgemäße Handhabung die Betroffenen in ihren wirtschaftlichen Verhältnissen oder ihrer gesellschaftlichen Stellung gefährden oder sogar deren Gesundheit, Leben und Freiheit beeinträchtigen könnte | insb. besondere Kategorien personenbezogener Daten; diese können in unterschiedlichsten Kontexten auftreten | schwerwiegende bis desaströse negative Auswirkungen auf betroffene Personen und Universität denkbar |
Zur Verringerung des Verarbeitungsrisikos sind in Abhängigkeit von der Schutzstufe der jeweiligen Datenverarbeitung technische und organisatorische Maßnahmen (TOM) festzulegen und umzusetzen. Grundsätzlich gilt dabei: Je höher die Schutzstufe, desto umfangreicher müssen die TOM und desto höher muss mithin das Schutzniveau sein, um ein hinreichend geringes Restrisiko zu erzielen, damit die Datenverarbeitung durchgeführt werden darf.