Seminar EU Business Wallet – Datenschutz, Datensouveränität und selektive Offenlegung

Das Seminar verbindet Datenschutzrecht und technische Datensparsamkeit mit den Organisationsprozessen der Business Wallet. Attributanforderungen, selektive Offenlegung, Vertreterdaten, Directory, Transaktionslogs, Aufbewahrung, Betroffenenrechte und Datenschutz-Folgenabschätzung werden an konkreten B2B- und B2G-Szenarien bearbeitet.

Inhaltsverzeichnis

• Lernziele
• Fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Personen- und Organisationsdaten in Wallet-Prozessen sauber abgrenzen.
• Minimale Attributsätze und zulässige Präsentationsrichtlinien definieren.
• Datenschutzrollen, Rechtsgrundlagen und Aufbewahrungspflichten zuordnen.
• Korrelation, Überabfrage und missbräuchliche relying parties erkennen.
• Eine DPIA mit technischen und organisatorischen Maßnahmen erstellen.

Fachliche Einordnung

Eine Organisationsidentität enthält regelmäßig auch personenbezogene Daten gesetzlicher Vertreter, Bevollmächtigter, Beschäftigter und Ansprechpartner. Gleichzeitig entstehen neue Protokoll- und Interaktionsdaten. Datenschutz lässt sich deshalb nicht auf Einwilligungsdialoge reduzieren, sondern muss Datenflüsse, Zweckbindung, Rollen, technische Kontrolle und Betriebsnachweise umfassen.

Schrittweise Seminarinhalte

1. Datenschutz und Datenschutz-Folgenabschätzung

Schwerpunkt: Rollen nach Datenschutzrecht, Rechtsgrundlagen, Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechte, Aufbewahrung und DPIA.

1. Datenverarbeitungen für Onboarding, Nachweisaustausch, Vertretung, Directory, Zustellung, Protokollierung und Support vollständig erfassen.
2. Verantwortliche, Auftragsverarbeiter, gemeinsame Verantwortlichkeit, Rechtsgrundlagen und internationale Datenflüsse bewerten.
3. Risiken für natürliche Vertreter und Beschäftigte einschließlich Korrelation, Überwachung und Fehlzuordnung in einer DPIA strukturieren.
4. Technische und organisatorische Maßnahmen, Löschregeln, Auskunftsfähigkeit und Incident-Prozesse mit Prüfkriterien hinterlegen.

Arbeitsergebnis: Eine umsetzbare Datenschutz-Folgenabschätzung mit Datenfluss- und Maßnahmenkatalog.

2. Selektive Offenlegung und Datenminimierung

Schwerpunkt: Zweckbindung, Attributauswahl, abgeleitete Aussagen, Einwilligungs- und Freigabelogik, Protokollierung und Missbrauchsschutz.

1. Für konkrete B2B- und B2G-Anfragen den minimal erforderlichen Attributsatz sowie unzulässige Mehranforderungen bestimmen.
2. Präsentationsrichtlinien für Einzelattribute, Attributgruppen und abgeleitete Aussagen mit fachlichen Freigaberegeln entwerfen.
3. Anfragen auf Zweck, requesting party, Datenkategorie, Rechtsgrundlage und Wiederverwendung prüfen und auffällige Muster blockieren.
4. Positiv- und Negativtests für Überabfrage, Korrelation, Replay, veraltete Nachweise und nicht autorisierte Weitergabe durchführen.

Arbeitsergebnis: Ein Datenschutz- und Präsentationsprofil mit minimalen Attributsätzen und Prüfregeln.

3. Relying-Party- und Verifikationsprozesse

Schwerpunkt: Registrierung, Anforderungsdefinition, Authentisierung, Präsentation, Validierung, Entscheidung, Nachweis und Datenschutz.

1. Die relying party registrieren und fachliche Zwecke, erlaubte Attribute, Aufbewahrungsfristen sowie Kontakt- und Eskalationsdaten hinterlegen.
2. Eine strukturierte Attributanforderung erstellen und die Identität sowie Berechtigung der anfragenden Stelle für den Wallet Owner prüfbar machen.
3. Präsentierte Nachweise auf Aussteller, Schema, Gültigkeit, Bindung, Status und erforderliches Vertrauensniveau validieren.
4. Entscheidung, Ablehnung, Rückfrage und Nachweisführung so protokollieren, dass keine unnötigen Attributkopien entstehen.

Arbeitsergebnis: Ein wiederholbarer Verifikationsablauf mit Datenschutz-, Entscheidungs- und Auditregeln.

4. Protokollierung, Monitoring und Nachvollziehbarkeit

Schwerpunkt: Transaktionszeit, Gegenpartei, angeforderte Daten, Ergebnis, Fehlergrund, Systemereignisse, Integrität, Vertraulichkeit und Aufbewahrung.

1. Fachliche und technische Ereignisse für Zugriff, Präsentation, Ausstellung, Zustellung, Signatur, Siegel, Mandat und Administration katalogisieren.
2. Logfelder, Korrelations-IDs, Zeitquellen, Schutzklassen, Aufbewahrung und Zugriff auf Protokolldaten festlegen.
3. Dashboards und Alarmierungen für Verfügbarkeit, Fehlerquoten, ungewöhnliche Datenanforderungen, Widerrufe und privilegierte Aktionen entwerfen.
4. Ereigniskorrelation, Nachweis einer vollständigen Transaktion und Untersuchung eines fehlgeschlagenen Prozesses praktisch durchführen.

Arbeitsergebnis: Ein Monitoring- und Logging-Konzept mit prüfbaren Transaktionsketten und Alarmregeln.

5. Mandate, Vollmachten und Vertretungsrechte

Schwerpunkt: Gesetzliche Vertretung, rechtsgeschäftliche Vollmacht, technische Mandate, administrative Delegation, Geltungsbereich, Laufzeit und Widerruf.

1. Vertretungsarten nach Rechtsquelle, Reichweite, Untervollmacht, Gültigkeitszeitraum und erforderlichem Nachweis klassifizieren.
2. Geschäftliche Vollmacht von Wallet-Administrationsrecht und technischer Benutzerberechtigung trennen und miteinander verknüpfen.
3. Erteilung, Annahme, Nutzung, Änderung, Rezertifizierung und Widerruf eines Mandats mit eindeutigem Audit-Trail durchspielen.
4. Überdelegation, Rollenkonflikt, abgelaufene Vertretung, Organisationswechsel und Notfallzugriff als blockierende Negativfälle testen.

Arbeitsergebnis: Ein interoperables Mandats- und Delegationsmodell mit Lifecycle und Kontrollregeln.

6. Stammdatenqualität und Identitätsabgleich

Schwerpunkt: Golden Record, Namensnormalisierung, Adressen, Rechtsformen, Hierarchien, Dubletten, Datenverantwortung und Korrekturprozesse.

1. Bestehende Organisationsstammdaten aus ERP, CRM, Lieferantenportal, IAM und Registern anhand eines einheitlichen Datenprofils vergleichen.
2. Normalisierungs-, Matching- und Survivorship-Regeln für Namen, Adressen, Rechtsformen, Niederlassungen und Identifikatoren festlegen.
3. Dubletten, widersprüchliche Registerinformationen und veraltete Vertretungsdaten in einem kontrollierten Bereinigungsprozess behandeln.
4. Qualitätskennzahlen, fachliche Verantwortliche, Korrekturfristen und Eskalationswege für den dauerhaften Betrieb definieren.

Arbeitsergebnis: Ein umsetzbarer Golden-Record- und Datenqualitätsprozess für Organisationsidentitäten.

7. Governance, Richtlinien und Kontrollsystem

Schwerpunkt: Entscheidungsrechte, Policies, Funktionstrennung, Kontrollziele, Rezertifizierung, Audit, Ausnahmen und Managementreporting.

1. Verantwortung für Organisationsidentität, Wallet, Mandate, Nachweise, Vertrauensdienste, Integrationen und Betrieb verbindlich zuweisen.
2. Richtlinien für Onboarding, Datenfreigabe, Signatur, Siegel, Zustellung, Provider, Logging, Datenschutz und Incident festlegen.
3. Kontrollziele, Kontrollhandlungen, Nachweise, Frequenzen, Eigentümer und Eskalationsschwellen in einem Kontrollkatalog dokumentieren.
4. Ausnahmen, Rezertifizierungen, Auditfeststellungen und Managemententscheidungen mit Fristen und Wirksamkeitskontrolle bearbeiten.

Arbeitsergebnis: Ein integriertes Governance- und Kontrollsystem für Organisationsidentität und Wallet-Betrieb.

Praxisübungen und Laborszenarien

• Ermittlung minimaler Attributsätze für Onboarding, Genehmigung und Beschaffung.
• Bewertung einer überbreiten Attributanforderung mit Korrektur der Presentation Policy.
• Erstellung eines Datenflussmodells für Vertreter-, Directory- und Transaktionsdaten.
• Durchführung einer kompakten DPIA für einen grenzüberschreitenden B2G-Use-Case.

Zielgruppe und Voraussetzungen

Zielgruppe: Datenschutz, Informationssicherheit, Compliance, IAM, Enterprise Architecture, Fachprozess- und Produktverantwortung

Voraussetzungen: Grundkenntnisse in Datenschutz, Identitätsmanagement, technischen Datenflüssen und risikobasierten Kontrollverfahren

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch strukturierte Modellierung, Demonstrationen, technische oder organisatorische Schrittfolgen, Praxisübungen und kontrollierte Negativfälle vertieft. Jede Arbeitsphase verwendet definierte Ausgangsdaten, Prüfkriterien und Dokumentationsanforderungen. Dadurch entstehen wiederholbare Ergebnisse für Architektur, Projekt, Governance und Regelbetrieb.