Datenschutz

[Remigamus]

(Fast) Jeder ist wohl der Meinung, dass die Daten im EFA vereinsöffentlich sind. Das war auch bei uns so. Anmerkungen, der völlig offen und ungesichert herumstehende Rechner mit EFA unter Windows könnte sich zum Datenschutzproblem mausern, wurden selbstverständlich abgewunken: „Was der bloß immer hat....!“

Nun machten sich zwei Unglücksraben – einer von denen als Sys-Admin – daran, auf der Basis einer Sicherheitskopie die Eingaben zu überprüfen, weil bei einigen Eintragungen der Verdacht auf 'corriger la fortune' bestand. --- Riesen-Aufschrei! –--- Die Rauchwolke hat sich noch immer nicht ganz verzogen.

Es stellte sich auf einmal doch heraus, dass die Daten ganz fürchterlich geschützt sind, und der Skandal entwickelte sich.

Lehren:

1. Als Personendaten sollten nur Name und Vorname, sowie maximal das Geburtsjahr gespeichert sein. Stichwort: Datensparsamkeit.

2. Der Vorstand sollte den Mitgliedern gegenüber erklären, welche Daten im EFA gespeichert sind.

3. Der Vorstand sollte erklären, dass die Daten vereinsöffentlich sind, möglichst auch die aus vorangegangenen Jahren, und sich von den Alt-Mitgliedern unterschreiben lassen, dass sie damit einverstanden sind. Neu-Mitglieder sollen auf dem Aufnahmeantrag darauf hingewiesen werden und ihr Einverständnis damit (gesondert) unterschreiben.

4. Der Zugang zum EFA-Rechner soll soweit beschränkt werden, dass normale Mitglieder nur an Bildschirm, Maus und Tastatur rankommen. Der Zugang zu USB-Anschlüssen und CD-ROM-Laufwerk ist zu blockieren (abschließbarer Schrank), um unerlaubte Kopien zu vermeiden. Dito ist der Zugriff über einen Netzanschluss zu kontrollieren.

5. Das System ist so zu konfigurieren, dass der normale Nutzer nur das EFA sieht und nicht ins Betriebssystem kommt. Das zeigt für mich auf das EFA-Live oder ein anderes Kiosksystem unter Linux.

So, und jetzt höre ich die Ruderwelt aufstöhnen. - Der Datenschutz treibt eben Blüten.

Remigamus

PS: Der Beitrag ist trotz des Datums leider kein Aprilscherz

[nick]

Hallo Remigamus,

ich stimme dir vollständig zu, und halte das auch nicht für übertrieben. Auch wenn die Daten vielleicht nicht so sensibel wie Bankkonten oder Krankheitsakten sind, sollte damit gewissenhaft umgegangen werden, und unberechtigter Zugriff so weit wie möglich unterbunden werden. Um Vereine vor dieser Komplexität weitestgehend zu befreien, hat Kay efaLive entwickelt, und beschreibt in der efaLive-Dokumentation auch weitere Schritte, wie der PC zusätzlich abgesichert werden sollte. Viele Vereine haben vorbildliche Lösungen gefunden, in der der PC auch physikalisch vor unberechtigtem Zugriff geschützt ist.

Gruß,
Nick