Das Berechtigungskonzept nach dem „Need-to-know-Prinzip”

Die Notwendigkeit eines angemessenen Berechtigungskonzeptes bei der Verwendung von IT-Anwendungen sollte mittlerweile allgemein bekannt sein, jedoch zeigen sich in der Praxis häufig noch deutliche Defizite, was die datenschutzrechtliche Ausgestaltung von Berechtigungskonzepten angeht. Aus diesem Grund möchten wir die wesentlichen Anforderungen in diesem Kontext kurz zusammenfassen.

Werden personenbezogene Daten innerhalb einer IT-Anwendung verarbeitet, muss der Verantwortliche sicherstellen, dass der Zugriff auf diese Daten angemessen beschränkt wird. Diese Anforderung ergibt sich unmittelbar aus einer der Kernvorschriften der DSGVO, nämlich dem Grundsatz der Datenminimierung in Art. 5 Abs. 1 lit. c) DSGVO, und hat daher innerhalb der datenschutzrechtlichen Anforderungen einen sehr hohen Stellenwert. Gemäß Art. 32 DSGVO hat der Verantwortliche hierfür technische und organisatorische Maßnahmen zu etablieren, die u.a. die Vertraulichkeit und Integrität (Art. 32 Abs. 1 lit. b DSGVO) von personenbezogenen Daten gewährleisten. Zu diesen Maßnahmen zählt primär die Einführung eines angemessenen Berechtigungskonzeptes.

Für die datenschutzkonforme Gestaltung eines Berechtigungskonzeptes ist das sog. „Need-to-know-Prinzip“ entscheidend. Das bedeutet konkret, Benutzer dürfen nur auf diejenigen personenbezogenen Daten Zugriff haben, die für die Erfüllung ihrer Aufgaben unbedingt erforderlich sind. Aus datenschutzrechtlicher Sicht sollte ein Berechtigungskonzept u.a. folgende Aspekte berücksichtigen:

Neben den genannten rein datenschutzrechtlichen Anforderungen an ein Berechtigungskonzept dient dieses auch weiteren Zwecken wie der Sicherstellung von Vertraulichkeit und Integrität der Daten und der Abwehr gegen Sicherheitsrisiken, wie bspw. Cyberangriffen.