Personenbezogene Daten tragen ihren Zweck mit.

Was gebaut ist

Personenbezogene Daten dürfen nur zu dem Zweck verarbeitet werden, zu dem sie erhoben wurden. Ob sich ein System daran hält, zeigt sich nicht im Datenschutzhinweis, sondern in der Abfrage. Das geplante System hängt den Zweck deshalb an die Daten selbst und prüft ihn bei jedem Zugriff.

Im System · FORGE · ARGUS

Ein Agent außerhalb, ein Objekt innerhalb von geschachtelten Grenzen (Regel und Umgebung).
Der Weg nach innen führt durch jede Grenze.
Ein zweiter Weg endet an der äußeren Grenze.

Zweck und Grundlage am Feld

Begriff · Ontologie

Die gemeinsame Beschreibung einer Organisation: Objekttypen mit Eigenschaften, Beziehungen, Regeln und Handlungen, als Daten mit Version, Herkunft und Recht.

Ontologie im Zusammenhang

Jedes Feld, das sich auf eine Person bezieht, trägt eine Markierung: personenbezogen, gegebenenfalls besondere Kategorie nach Artikel 9 der DSGVO. Dazu gehören der Zweck, für den es verarbeitet wird, und die Rechtsgrundlage nach Artikel 6, etwa Vertrag, rechtliche Verpflichtung oder Einwilligung. Die Verzeichnisse der Verarbeitungstätigkeiten, die Artikel 30 verlangt, liegen als Daten der Ontologie vor und werden aus ihr erzeugt, statt neben ihr gepflegt zu werden.

Der Zweck gehört zur Abfrage

Begriff · Kontext

Die begrenzte Information, auf deren Grundlage ein System arbeitet. Dazu gehören Herkunft, Aktualität, Widersprüche und Rechte.

Zuverlässiger Kontext für Agenten

Ein Zugriff nennt seinen Zweck. Ein Auftrag trägt ihn mit, und er stammt aus dem Auftrag und nicht aus einem Text, den ein Sprachmodell erzeugt. Das System prüft, ob der Zweck des Zugriffs zum Zweck der Daten passt. Ein Feld, dessen Zweck nicht passt, fehlt im Ergebnis, im Graphen, in der Suche und im Kontext eines Agenten.

Eine Weiterverarbeitung zu einem anderen Zweck ist keine Frage der Technik, sondern der Zulässigkeit nach Artikel 6 Absatz 4. Sie erscheint im System als neuer Zweck mit eigener Grundlage, den ein Verantwortlicher freigibt.

Auskunft, Berichtigung, Einschränkung

Begriff · Herkunft

Die Angabe zu einem Wert, aus welcher Quelle, welchem Objekt der Quelle und welchem Lauf er stammt. Herkunft belegt nicht, dass der Wert stimmt.

Herkunft im Zusammenhang

Die Rechte betroffener Personen sind Handlungen: Auskunft nach Artikel 15, Berichtigung nach Artikel 16, Einschränkung der Verarbeitung nach Artikel 18. Weil die Herkunft jedes Werts und der Verlauf der Zugriffe vorliegen, lässt sich die Auskunft aus den Daten bilden und nicht aus einer Umfrage bei den Fachbereichen. Der Verlauf nennt die Zugriffe mit Kennungen, nicht mit den Werten.

Eine Berichtigung überschreibt nichts. Sie legt eine neue Aussage an, und die alte schließt ihre Erfassungszeit; was einer Entscheidung zugrunde lag, bleibt damit nachvollziehbar. Eine Einschränkung ist eine Markierung, die den Zugriff auf Speicherung und gesetzlich nötige Verwendung begrenzt.

Dienste, Sprachmodelle, Auftragsverarbeitung

Setzt das System Dienste von Dritten ein, auch ein Sprachmodell als Dienst, gilt die Regel der Markierung: Ein personenbezogenes Feld geht nur an einen Dienst, für den ein Vertrag nach Artikel 28 besteht und der Ort der Verarbeitung zulässig ist. Das System prüft das beim Zusammensetzen des Kontexts, nicht erst im Nachhinein. Eine Übermittlung in ein Drittland bräuchte eine eigene Grundlage und ist keine Voreinstellung.

Nachweisen statt behaupten

Artikel 5 Absatz 2 verlangt, dass der Verantwortliche die Einhaltung nachweisen kann. Das System unterstützt das mit dem, was es ohnehin führt: Markierungen mit Zweck, Zugriffsprotokoll, Verlauf von Berichtigungen, Löschnachweise. Eine Datenschutz-Folgenabschätzung nach Artikel 35 bleibt eine Aufgabe der Organisation, das System liefert die Angaben zu Datenwegen und Zwecken, auf die sie sich stützt.

Schema

feld: <objekttyp>.<eigenschaft>
markierung: personenbezogen
besondere_kategorie: nein
zweck: <zweck>
grundlage: <vertrag | pflicht | einwilligung | ...>
verzeichnis_der_verarbeitung: <eintrag>
weitergabe_an_dienst: nur_mit_vertrag_und_zulaessigem_ort
auskunft: aus_herkunft_und_verlauf

Schema 1YAML · Schema mit Platzhaltern

Grenze

Grenze: Das System nimmt der Organisation weder die Prüfung der Rechtsgrundlage noch die Datenschutz-Folgenabschätzung ab. Der Verlauf und die Markierungen sind geplant; sie ersetzen kein Verzeichnis, das ein Verantwortlicher verantwortet.

Fragen

Entscheidet das System über die Rechtsgrundlage?: Nein. Es führt sie als Angabe am Feld und prüft, dass der Zweck eines Zugriffs dazu passt. Welche Grundlage trägt, entscheidet der Verantwortliche.
Wie lässt sich eine Auskunft aus den Daten bilden?: Über die Herkunft jedes Werts und das Zugriffsprotokoll: welche Angaben zur Person vorliegen, woher sie stammen und wer sie zu welchem Zweck gelesen hat.

Quellen

Verordnung (EU) 2016/679 (DSGVO)Amtlicher Text. Artikel 5, 6, 9, 15, 16, 18, 28, 30 und 35 sind die Grundlage dieser Seite.