📚 Fachwissen & IHK-Prüfungsrelevanz
Data Governance und datenschutzrechtliche Vorgaben sind für den FIDP elementar, da mit sensitiven Unternehmens- und Personendaten operiert wird.
1. DSGVO Grundprinzipien (Art. 5 DSGVO)
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Es bedarf einer Rechtsgrundlage (Art. 6 DSGVO: Einwilligung, Vertragserfüllung, berechtigtes Interesse).
- Zweckbindung: Daten dürfen nur für den bei Erhebung festgelegten legitimen Zweck verarbeitet werden.
- Datenminimierung: Verarbeitung muss auf das für den Zweck notwendige Maß beschränkt sein.
- Richtigkeit: Daten müssen sachlich richtig und aktuell sein.
- Speicherbegrenzung: Daten müssen gelöscht werden, sobald der Zweck erfüllt ist (Löschkonzept).
- Integrität und Vertraulichkeit: Schutz vor unbefugtem Zugriff durch technische und organisatorische Maßnahmen (TOMs nach Art. 32 DSGVO).
2. Besondere Kategorien & Anonymisierung
Art. 9 DSGVO: Gesundheitsdaten, biometrische Daten, religiöse Ansichten genießen erhöhten Schutz.
- Pseudonymisierung: Personenbezug bleibt mit Zusatzwissen herstellbar → fällt weiterhin unter DSGVO.
- Anonymisierung: Irreversibel gelöschter Personenbezug → fällt nicht mehr unter DSGVO.
3. Data Governance Kernkomponenten
Data Catalog: Zentrales Inventar aller Datenbestände mit Metadaten.
Data Lineage: Lückenlose Rückverfolgbarkeit des Datenflusses von der Quelle über alle ETL-Stufen bis zum Report.
Data Stewardship: Rollenbasierte Verantwortlichkeit für Fachdomänen und Datenqualität.
Data Governance & DSGVO: Anonymisierung vs. Pseudonymisierung
8 Punkte
Ein Gesundheits-Startup möchte Patientendaten für statistische Forschungszwecke auswerten. Gemäß DSGVO Art. 9 handelt es sich um besondere Kategorien personenbezogener Daten.
a) Erläutern Sie den technischen und rechtlichen Unterschied zwischen 'Pseudonymisierung' und 'Anonymisierung'.
b) Nennen Sie zwei typische Techniken zur Anonymisierung von tabellarischen Datensätzen (z.B. k-Anonymität, Aggregation).
c) Was versteht man unter 'Data Lineage' im Rahmen von Data Governance?
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
a) Pseudonymisierung (Art. 4 Nr. 5 DSGVO): Personenidentifikatoren (Name, SV-Nummer) werden durch Pseudonyme/Hashes ersetzt. Eine Re-Identifizierung ist unter Zuhilfenahme zusätzlicher, separat gesicherter Schlüssel noch möglich. Die Daten bleiben personenbezogen.
Anonymisierung: Daten werden so irreversibel verändert, dass die betroffene Person weder durch den Verantwortlichen noch durch Dritte identifiziert werden kann. Anonyme Daten fallen nicht mehr unter die DSGVO.
b) 1. k-Anonymität / Verallgemeinerung (z.B. Alter in Altersgruppen 30-39 fassen, Postleitzahlen auf die ersten zwei Stellen kürzen). 2. Datenstörung / Perturbation / Rauschinjektion (Differential Privacy) oder Unterdrückung seltener Datensätze.
c) Data Lineage beschreibt den lückenlosen Lebenszyklus und Fluss von Daten vom Ursprung (Datenquelle) über alle Transformationen und ETL-Stufen bis zum Zielsystem/Bericht. Sie stellt Nachvollziehbarkeit, Auditierbarkeit und Compliance sicher.