Identity Management und Datenschutz

Identity Management erleichtert die Organisation der Unternehmens-IT. Darüber hinaus gestattet ein solches System aber auch die Verknüpfung von persönlichen Daten mit denen, die bei der Tätigkeit anfallen, oder es protokolliert fleißig sogar alles mit: aufgerufene Webseiten, E-Mail-Verkehr oder Änderungen an Vertragsdokumenten. Da stellt sich die Frage: Was ist mit dem Datenschutz? Maßstab für jede elektronische Datenverarbeitung ist das Bundesdatenschutzgesetz (BDSG,[1]). Dessen Grundsatz lautet: So wenig wie möglich und nur so lange wie nötig.

Interessenkollision

Dem steht das betriebswirtschaftliche Interesse jedes Unternehmens entgegen, so viele aussagekräftige Daten wie möglich elektronisch zu erfassen, um sie für die effektive Unternehmensführung schnell und billig zu nutzen. Immer dann, wenn bei der Speicherung von Unternehmensdaten auch personenbezogene Daten von Mitarbeitern oder Kunden beteiligt sind, entsteht dieses Spannungsverhältnis. Die Betriebsorganisation erfordert es auch, dass Kollegen untereinander nachvollziehen, wer sich wann womit beschäftigt hat. Es bleibt dabei nicht bei einer Zuordnung in Sachgebiete, Abteilungen oder ähnliche Untereinheiten: Der konkrete Ansprechpartner ist wichtig, also welche Person tatsächlich involviert ist.

Die dabei anfallenden Daten teilt das Datenschutzrecht in zwei Gruppen: Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Nur diese Daten sind datenschutzrechtlich relevant. Alle übrigen Daten darf die Firma uneingeschränkt speichern, verändern, übermitteln, sperren oder löschen.

Die datenschutzrechtlich relevanten personenbezogenen Daten unterteilt das Gesetz wiederum in die "normalen" und die "sensiblen": Sensibel sind rassische und ethnische Herkunft, politische Meinung, religiöse oder philosophische Überzeugung, Gewerkschaftszugehörigkeit, Gesundheit und Sexualleben. Ihre Verarbeitung setzt eine besondere, hierauf gerichtete Einwilligung durch den Arbeitnehmer oder ein ausnahmsweises, besonderes Interesse des Arbeitgebers voraus. Das kann in der Regel nur für den Gesundheitsbereich angenommen werden, wenn es Krankenstand und diesbezügliche Abrechnungs- und Meldepflichten des Arbeitgebers berührt.

Nur funktionale Daten

Identity Management kennt abstrakte Personen wie "Geschäftsführer" oder "Firmenkunde X GmbH", aber auch natürliche Personen, deren personenbezogene Daten das BDSG besonders behandelt sehen will. Soll Identity Management den Bestimmungen genügen, muss es personenbezogene Daten von funktionalen Daten trennen.

Soweit Querverknüpfungen der Daten im Identity Management neue Informationen erzeugen, ist sicherzustellen, dass sich diese nur auf die funktionale betriebliche Ebene beschränken: Profile, die etwa die Datei- oder Gerätezugriffe eines bestimmten Mitarbeiters auswerten, sind zulässig, wenn sie dazu dienen, die innerbetriebliche Organisation zu verbessern oder neue Berechtigungskonzepte zu gestalten.

Auswertungen, wann sich ein Mitarbeiter von einem Raucherzimmer aus eingeloggt hat, sind zulässig, um etwa aus dem Rauchverhalten der Mitarbeiter den Bedarf an Raucherarbeitsplätzen zu ermitteln, aber nicht, um Rückschlüsse auf den Gesundheitszustand einzelner Mitarbeiter zu ziehen. Es gilt der Grundsatz, aus dem Identity Management keine Informationen über einzelne Personen zu ermitteln.

In der Regel sind viele personenbezogene Daten von Mitarbeitern bereits länger gespeichert, als dies nach dem BDSG zulässig ist. Die Information etwa, wer welches Dokument wann bearbeitet hat, ist spätestens dann nicht mehr nötig, wenn das Dokument fertig ist, zum Beispiel ein Vertragsdokument ausgedruckt und unterzeichnet. Weil nicht mehr erforderlich, ist die weitere Speicherung des letzten schreibenden Zugriffs nach Paragraf 20 BDSG verboten.

Während eines bestehenden Arbeitsverhältnisses mag man noch argumentieren können, dass die Speicherung auch im eigenen Interesse des jeweiligen Bearbeiters liegt. Das endet jedoch spätestens mit Beendigung der Beschäftigung. Ein Identity-Managementsystem, das datenschutzrechtlich taugt, muss daher gewährleisten, dass personenbezogene Daten zuverlässig gelöscht oder gesperrt werden können, ohne dass Datenintegrität oder zulässige Information verloren gehen. Welche Probleme dabei im Einzelnen zu lösen sind, veranschaulichen die beiden folgenden Beispiele.