Datenschutz und Forschung? Das geht!

Das »National Single Window (NSW)« ist ein zentrales behördliches Meldesystem für den deutschen Seeschiffsverkehr. Die datenschutz-cert GmbH darf als Partner die datenschutzrechtlichen Aspekte bzgl. der Anwender- und Nutzungsdaten im Forschungsprojekt NSW-Plus rechtlich begutachten.

Das erweiterte National Single Window dient als Basis für eine neue Dienstleistung zur maritimen Prozessoptimierung. Hinter dem Projekt stehen gemeinsam folgende Partner:

• ISL
• msc
• TFG-Transfracht
• B/S/H/
• BESITEC-global technologies
• datenschutz cert GmbH
• Fraunhofer FKIE
• Bundesministerium für Verkehr und digitale Infrastruktur
• Havarie Kommando
• Hansestadt Bremisches Hafenamt
• VDR-Verband Deutscher Reeder

Was steht hinter dem Projekt?

Hafentelematiksysteme dienen dem Zweck, den reibungslosen Ablauf beim Ladungsumschlag zu gewährleisten und stellen die zentrale Datendrehscheibe zwischen den am Seeverkehr beteiligten Unternehmen und öffentlichen Stellen dar. Dabei werden elektronisch Daten verarbeitet und zwischen den Beteiligten übermittelt (z.B. Reeder, Speditionen, Terminals, Bahnoperateure oder Zoll). Einst mussten viele einzelne Papierunterlagen für die jeweils beteiligten Akteure ausgefüllt werden, dann erfolgte die elektronische Übermittlung an die jeweiligen Stellen, bis das National Single Window (NSW) erstmalig eine Schnittstelle für die wichtigsten Meldeklassen anbot. In einem nicht unerheblichen Maß werden dabei auch personenbezogene Daten von Beschäftigten, Crewmitgliedern oder Passagieren mitverarbeitet. Die Daten werden von externen Anwendungen (Hafeninformationssysteme, Web-Meldeclient) an das Kernsystem geleitet bzw. von Behördenseite in Form von Nachrichten abgerufen.

Das Projekt NSW-Plus verfolgt darauf aufbauend den Ansatz, das bestehende Maritime National Single Window (NSW) für Deutschland um Funktionen und zusätzliche Transport-Meldeklassen zu erweitern und so eine neue Dienstleistung für die maritime Wirtschaft zu entwickeln, die eine verbesserte Planung und Steuerung von Transporten ermöglicht. Dabei soll das NSW sowohl um sicherheitsrelevante Daten als auch um kommerzielle Daten zu Transporten im maritimen Umfeld angereichert werden. Dazu wurde ein Kernsystem spezifiziert, das aus einem Webserver, einem Datenbanksystem und einer Programmierschnittstelle (API) besteht. Die API kann von Anbietern genutzt werden, um eigene Anwendungen zur Dateneingabe und -ausgabe zu entwickeln. Um hierbei die Einhaltung der Schnittstellen- und Sicherheitsstandards sicherzustellen, werden neue Anwendungen vom NSW-Plus Betreiber zertifiziert. Das Ergebnis ist eine neue Dienstleistung, die der deutschen maritimen Wirtschaft erhebliche Vorteile bietet und als Blaupause für andere europäische Länder dienen kann. Bislang werden im Wesentlichen administrative Daten meldepflichtiger Unternehmen und Behörden im NSW erfasst. Doch auch Akteure des maritimen Transports benötigen Daten, beispielsweise um Vor- und Nachlauf besser planen zu können. Ziel von NSW-Plus ist es, dass Stakeholder alle für einen maritimen Transport relevanten Informationen nur einmal zur Verfügung stellen müssen, unabhängig von Mitgliedsstaaten, Häfen und sonstigen Beteiligten. Hierfür wird das bestehende NSW für Deutschland um sicherheitsrelevante und operative Daten zu maritimen Transporten angereichert und zentral zur Verfügung gestellt.

Im Gegensatz zur gesetzlich vorgegebenen Funktionalität des NSW besteht auf Seite des NSW-Plus ausgangsseitig erheblich mehr Flexibilität. Für eine Weiterverarbeitung können Daten über eine Datenschnittstelle für andere Systeme direkt abrufbar gemacht werden (machine to machine, M2M). Mittels eines Frontends, bspw. einer Webanwendung oder einer lokal installierten Anwendung, können die Daten für Anzeige oder Auswertung aufbereitet werden.

Ein Beispiel für eine solche Anwendung ist das vom FKIE entwickelte Human-Machine-Interface (HMI) für das Havariekommando, welches in einem sog. „Demonstrator“ für die Pilotanwendung „Integration von Ladungsdaten Import/Export“ umgesetzt ist. Er kann im Krisenfall den Einsatzkräften ad hoc, d.h. sofort, und unter enormer Zeitersparnis für die Einsatzstelle des Havariekommandos im Hafen die relevanten Informationen bereitstellen. Dies geschieht mittels einer interaktiven Nutzeroberfläche, die Ansichten des Schiffs und seiner Ladung aus unterschiedlichen, je nach Lage erforderlich werdenden Perspektiven (von oben, Bug-/Heckseite etc.) bietet. Die Einsatzleitung im Hafen kann sich so räumlich durch die Ladeflächen über und unter Deck navigieren und Informationen ziehen. Letztere können zudem situationsabhängig gefiltert und sortiert werden, sodass sie nicht nur zur Verfügung stehen, sondern direkt im System bearbeitet werden können.

Erfolgreich live getestet wurde die praktische Anwendbarkeit des Demonstrators schließlich während einer Havarie-Übung im Januar 2020 im Hafen von Cuxhaven, bei dem ein Containerbrand fingiert wurde.

Das Frauenhofer FKIE hat dazu eine anschauliche Pressemitteilung herausgegeben, die unter folgendem Link abrufbar ist:
https://www.fkie.fraunhofer.de/de/Pressemeldungen/nsw-plus_uebung_havariekommando.html

Was gibt es datenschutzrechtlich zu bewerten?

Die existierenden rechtlichen Rahmenbedingungen bilden eine unabdingbare Grundlage für die Umsetzung des NSW-Plus. Die Zusammenstellung relevanter rechtlicher Aspekte zu Data Governance, Data Ownership, Datenschutz und Datensicherheit werden aufgrund der Erfahrung im Bereich Datenschutz mit Bezug zur Informationssicherheit von der datenschutz cert GmbH geleitet. Die datenschutzrechtlichen Anforderungen an NSW-Plus wurden im Projektzeitraum untersucht und Anforderungen und Handlungshilfen entwickelt. So sind die im Rahmen des NSW-Plus verarbeiteten personenbezogenen Daten rechtlich zu definieren und abzugrenzen gegenüber anderen Daten der Systemumgebung ohne Bezug zu personenbezogenen Daten. Beschäftigtendaten sind von Kundendaten mit Personenbezug abzugrenzen. Ferner sind die für die Verarbeitung dieser Daten einschlägigen datenschutzrechtlichen Grundlagen zu ermitteln und im Sinne der europäischen Rechtsprechung und Auslegung durch Aufsichtsbehörden anzuwenden. Für die Betreiber und Anwender von NSW-Plus werden anhand der gesetzlichen Grundlagen Anforderungen definiert und dargestellt, wie etwa Aspekte der Datensparsamkeit, der organisatorischen Datenschutzmaßnahmen (z.B. Meldepflichten, Verfahrensverzeichnis, Datenschutzmanagement), der Umsetzung von Datenschutzrechten der Betroffenen (z.B. Recht auf Information, Transparenz) sowie Datensicherheit in Bezug auf die Schutzziele Vertraulichkeit und Integrität (Schutz der Daten vor unbefugtem Zugriff und beabsichtigter Manipulation, Verhinderung von unbeabsichtigter Änderung).

Es wurde im Laufe des Projektes ermittelt und festgestellt, dass ausschließlich zusätzliche Ladedaten ohne Personenbezug gesendet und weitergeleitet werden sollen über das NSW-Plus (NSW-Plus Meldeklassen). Dies bedeutet jedoch nicht, dass es keine Feststellungen zu personenbezogenen Daten im Anwendungsbereich NSW-Plus gibt. 
So verbleiben je nach Auswahl des Betreiber- sowie des Rechte- und Rollenkonzepts im NSW-Plus jedenfalls personenbezogene Daten in Form von Bestands- und Nutzungsdaten i. S. d. §§ 14, 15 Telemediengesetzes (TMG), § 3 Nr. 3 Telekommunikationsgesetz (TKG), wie etwa IP-Adressen von Zugriffsrechnern, ggf. technisch erforderliche oder analytische Cookies, Logfiles, Javascript-Tags, Protokoll-, und andere User-/Anwenderdaten. Zudem fallen personenbezogene Daten auf dem Web-Client bzw. bei dem autorisierten oder zertifizierten Unternehmen an, welches Daten direkt in das Kernsystem NSW-Plus, in dessen Webserver oder in die Datenbank vom NSW-Plus einspeisen wird. Schließlich gilt dies gleichermaßen für die Entnahmeschnittstelle (Behörden, Wasserschutzpolizei, Havariekommando).

Der Betreiber des NSW-Plus, Unternehmen an der Eingabeschnittstelle sowie die Behörden an der Entnahmeschnittstelle sind verantwortliche Stellen der Datenverarbeitung (Verantwortliche). Sie alle müssen die Einhaltung des Datenschutzes sicherstellen und haften hierfür.

Dienstleister, die für den Verantwortlichen personenbezogene Daten verarbeiten oder die IT-Systeme hosten oder IT-Support leisten, sind Auftragsverarbeiter. Sie sind an die Weisungen des Verantwortlichen gebunden und haften ebenfalls für Datenschutzverletzungen im Rahmen ihrer Tätigkeiten.

Art. 5 DSGVO legt die Anforderungen zur Datenverarbeitung an Verantwortliche fest. Zusammengefasst sind die wesentlichen Aspekte für das NSW-Plus folgende:

• Es dürfen personenbezogene Daten nur in rechtmäßiger Art und Weise verarbeitet werden. Rechtmäßig wird die Datenverarbeitung, wenn eine der in Art. 6 Abs. 1 a-f DSGVO genannten Bedingungen erfüllt sind (z.B. Einwilligung des Betroffenen, Vertragserfüllung, Erfüllung einer rechtlichen Verpflichtung, Wahrnehmung einer Aufgabe im öffentlichen Interesse) oder das BDSG (§ 26), Landesschutzgesetze oder Spezialregelungen zur     (Hafen-)Sicherheit die Verarbeitung von personenbezogenen Daten vorsehen.
• Der Betreiber muss dem Transparenzgebot nachkommen, d.h. er muss über die Verarbeitung der bei NSW-Plus relevanten personenbezogenen Daten, deren Rechtsgrundlage, Zweck und Löschfristen die betroffenen Personen informieren, was über die Datenschutzerklärung erfolgen kann.
• Die Verarbeitung personenbezogener Daten ist auf die Zwecke des NSW-Plus begrenzt. Nur für den hiermit verbundenen, durch eine Rechtsgrundlage legitimierten und eindeutig bestimmbaren Zweck dürfen die Daten verwendet werden.
• Die Grundsätze der Datenminimierung können eingehalten werden durch Anonymisierung und Pseudonymisierung z.B. der IP-Adressen.
• Die Speicherbegrenzung durch Aufbewahrungs- und Löschfristen von Nutzungsdaten sind ebenfalls zu beachten (z.B. dürfen IP-Adressen nicht länger als 7 Tage aufbewahrt werden).
• Um die Sicherheit der personenbezogenen Daten zu gewährleisten, sie vor Schäden und unrechtmäßiger Verarbeitung zu schützen und die ständige Verfügbarkeit sicherzustellen, sind geeignete technische und organisatorische Maßnahmen wie z.B. eine TLS- Verschlüsselung im NSW-Plus zu implementieren.
• Der Rechenschaftsnachweispflicht kann durch ein unabhängiges Datenschutzkonzept nachgekommen werden, in dem die Datenverarbeitung einem branchenspezifischen Sicherheitsstandard für Kritische Infrastrukturen nach dem IT-Sicherheitsgesetz unterliegt, der auf die konkrete Umsetzung beim Verantwortlichen hin geprüft wird (hier zu beachten: IT-Grundschutz-Profil für Reedereien - Mindest-Absicherung für den Schiffsbetrieb zur Minimierung von Cyber-Risiken, vom Verein Hanseatischer Transportversicherer e.V. herausgegeben und durch das BSI veröffentlicht). Beispielsweise können z.B. Zertifizierungen gemäß ISO/IEC 27001 als Nachweis dienen. Für den Fall, dass ein Auftragsverarbeiter im Rahmen des Hostings durch den Betreiber eingesetzt werden sollte, sollte die Vorlage eines ISO 27001- Zertifikat vom Betreiber verlangt werden. Ferner können geeignete Nachweise auch durch die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO oder eines Zertifizierungsverfahrens gemäß Art. 42 DSGVO erfolgen.

Erkenntnisse und Empfehlungen für den Betreiber an das Datenschutz-Management:

• Zum Kern des Datenschutzmanagements zählt die Bestellung eines / einer betrieblichen bzw. behördlichen Datenschutzbeauftragten. Hierzu sind gemäß § 38 BDSG i.V.m. Art. 37 Abs. 1 lit. b und c DSGVO Verantwortliche und Auftragsverarbeiter z.B. verpflichtet, sofern mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese/r ist in der Datenschutzerklärung aufzuführen.
• Der Betreiber des NSW-Plus hat ein Verarbeitungsverzeichnis nach Art. 30 Abs. 1 DSGVO zu erstellen. Dienstleister, die im Auftrag personenbezogene Daten verarbeiten, haben ebenfalls ein Verzeichnis zu führen.
• Der Betreiber des NSW-Plus muss die bei ihm tätigen Mitarbeiter auf die Einhaltung des Datenschutzes verpflichten und diese dahingehend sensibilisieren.
• Es kann festgehalten werden, dass die Datenverarbeitungen über das NSW-Plus nicht zu den genannten Kategorien gehören, die eine Datenschutzfolgeabschätzung (DSFA) zwingend erforderlich machen.
• Im Falle von Datenpannen müssen die vorgeschriebenen Meldepflichten eingehalten werden. Der Betreiber des NSW-Plus muss Mechanismen etablieren, die den Umgang mit Datenpannen regeln. Die Meldung muss unverzüglich abgearbeitet werden können. 72 Stunden sind hier gegebenenfalls das Maß bis zur Einschaltung einer Aufsichtsbehörde. Der Umgang mit Datenpannen ist vergleichbar mit den Prozessen eines Incident Managements, welches im Rahmen eines ISMS etabliert werden kann.
• Der Betreiber des NSW-Plus hat zudem eine Auswahl- und Kontrollpflicht gegenüber den beauftragten Auftragsverarbeitern, die er sorgfältig auswählen muss. Mit diesen Dienstleistern ist ein Vertrag zur Auftragsverarbeitung mit den Pflichtinhalten des Art. 28 Abs. 3 DSGVO abzuschließen.
• Schließlich hat der Betreiber in seiner Datenschutzerklärung sämtliche Betroffenenrechte anzuführen (z.B. Widerrufs- und Widerspruchsrechte, Auskunfts-, Berichtigungs- oder Löschanspruchsrechte).

Autorin: Ilka Schaarschmidt