Wozu Datenklassen dienen
Nicht alle Inhalte eines Betriebs sind gleich schutzbedürftig. Eine Preisliste auf der Website ist etwas anderes als Lohnunterlagen oder Vertragsverhandlungen. Ohne Einteilung wird entweder alles gleich streng behandelt, was die Arbeit lähmt, oder alles gleich locker, was riskant ist. Datenklassen schaffen eine einfache Regel: Zuerst wird festgelegt, wie schutzwürdig ein Inhalt ist, daraus folgt, was mit ihm geschehen darf.
Ein einfaches Schema
Für die meisten kleineren Betriebe reichen drei oder vier Stufen. Öffentlich sind Inhalte, die ohnehin nach außen gehen. Intern sind alltägliche Arbeitsinhalte, die nicht für Dritte bestimmt sind, deren Bekanntwerden aber keinen großen Schaden anrichten würde. Vertraulich sind Inhalte mit Bezug zu Kunden, Verträgen oder Personen. Streng vertraulich sind besonders sensible Inhalte, etwa Personalakten oder Geschäftsgeheimnisse. Für jede Stufe wird festgelegt, wer Zugriff hat und welche Verarbeitung zulässig ist.
Datenklassen und automatische Verarbeitung
Sobald Inhalte automatisch ausgewertet oder von KI-Systemen verarbeitet werden, werden Datenklassen besonders wichtig. Sie legen fest, welche Inhalte in eine Auswertung einfließen dürfen, welche nur in Teilen und welche gar nicht. Ein typischer Fall: Kundenanfragen der Stufe „intern“ dürfen zur Erkennung wiederkehrender Anliegen genutzt werden, Inhalte der höchsten Stufe bleiben von jeder automatischen Verarbeitung ausgeschlossen. Diese Regeln sollten vor dem Anbinden einer Quelle feststehen, nicht nachträglich.
Wie man Inhalte einstuft
Am einfachsten ist die Einstufung über Quellen und Ablagen: Ein bestimmtes Postfach oder ein Ordner erhält eine Stufe, die für alles darin gilt. Das ist grob, aber praktikabel. Feinere Einstufungen nach Inhalt sind möglich, erfordern aber Regeln und Kontrolle. Wichtig ist, dass im Zweifel die höhere Stufe gilt und dass jemand namentlich für die Einstufung zuständig ist.
Grenzen und Einordnung
Datenklassen sind ein organisatorisches Werkzeug; sie ersetzen weder technische Schutzmaßnahmen noch die Abstimmung mit der für Datenschutz zuständigen Stelle. Bei KheepU werden Schutzstufen gemeinsam mit dem Betrieb festgelegt, bevor eine Quelle angebunden wird, und bestimmen, was verarbeitet werden darf. Details zu den technischen Maßnahmen stehen auf unserer Sicherheitsseite.