Wie sich Datenschutzfolgenabschätzungen auf das Jahresbudget einer Hochschule auswirken
Die Datenschutzfolgenabschätzung, kurz DSFA, wird oft als Formalität behandelt. Ein Formular ausfüllen, abhaken, weitergehen. Doch wer die tatsächlichen Kosten betrachtet, sieht ein anderes Bild. An Hochschulen, die umfangreiche Forschungsdaten verarbeiten, kann eine einzige DSFA Wochen an Personalkosten binden und strategische IT-Entscheidungen blockieren. Wir haben uns angesehen, wie sich dieser Prozess auf das Jahresbudget auswirkt und wo sich Einsparungen realisieren lassen.
Der erste Schritt einer DSFA ist die Systembeschreibung. Klingt harmlos, ist es nicht. An einer durchschnittlichen Hochschule müssen Dutzende Verarbeitungstätigkeiten erfasst werden, von der Studierendenverwaltung über Forschungsprojekte bis hin zu Alumni-Datenbanken. Jede dieser Tätigkeiten erfordert Interviews mit den zuständigen Stellen, eine Prüfung der Rechtsgrundlagen und die Dokumentation der technischen Maßnahmen. Wir haben beobachtet, dass dieser erste Schritt allein bei einer mittleren Hochschule vierzig bis sechzig Arbeitsstunden beansprucht. Die Kosten sind nicht nur monetär. Während der DSFA laufen andere Projekte langsamer, weil die betroffenen Mitarbeitenden für Rückfragen zur Verfügung stehen müssen. Hinzu kommt die Unsicherheit: Viele Hochschulen wissen nicht genau, welche Tätigkeiten eine DSFA erfordern und welche nicht. Die vorsorgliche Durchführung bei Grenzfällen erhöht den Aufwand zusätzlich.
Der zweite Schritt, die Risikoanalyse, ist derjenige, der am häufigsten unterschätzt wird. Hier werden potenzielle Beeinträchtigungen der Rechte und Freiheiten von Betroffenen bewertet. An Hochschulen ist das besonders komplex, weil die Datenkategorien vielfältig sind: Gesundheitsdaten in medizinischen Studiengängen, Leistungsdaten in Prüfungsverfahren, biometrische Daten in Laborzugängen. Jede Kategorie erfordert eine eigene Bewertung. Wir haben Fälle gesehen, in denen eine unzureichende Risikoanalyse dazu führte, dass ein bereits beschafftes System nicht eingesetzt werden konnte. Die Kosten für die Anschaffung waren verloren, die Planung musste neu aufgesetzt werden. Die Lehre daraus: Eine gründliche Risikoanalyse im Vorfeld vermeidet teure Fehlentscheidungen. Sie kostet Zeit, aber sie spart Geld.
Eine unzureichende Risikoanalyse kann dazu führen, dass bereits beschaffte Systeme nicht eingesetzt werden dürfen
Der dritte Schritt, die Festlegung von Maßnahmen, hat direkte Budgetauswirkungen. Wenn die Risikoanalyse zeigt, dass bestehende Schutzmaßnahmen nicht ausreichen, müssen neue implementiert werden. Das können technische Maßnahmen sein wie Verschlüsselung oder Pseudonymisierung, organisatorische Maßnahmen wie Zugriffskonzepte oder personelle Maßnahmen wie zusätzliche Schulungen. Wir empfehlen Hochschulen, diese Maßnahmen nicht isoliert zu betrachten, sondern in den Kontext der gesamten IT-Strategie zu stellen. Eine Verschlüsselungslösung, die für ein Forschungsprojekt beschafft wird, kann möglicherweise auch für andere Bereiche genutzt werden. Die Budgetierung sollte deshalb Synergieeffekte berücksichtigen. Wer jede Maßnahme einzeln kalkuliert, überschätzt die Kosten. Wer die Gesamtstrategie im Blick behält, findet Effizienzpotenziale.
Maßnahmen sollten nicht isoliert, sondern im Kontext der gesamten IT-Strategie betrachtet werden
Die DSFA ist kein lästiges Übel, sondern ein Instrument zur Risikosteuerung. Wer sie ernst nimmt und die Kosten transparent macht, gewinnt Planungssicherheit und vermeidet teure Korrekturen. Das Budget einer Hochschule profitiert davon langfristig mehr, als es der initiale Aufwand kostet.