Seminar Datenschutz und Compliance bei Identity Proofing und PID

Der Kurs verbindet Datenschutz, eIDAS-bezogene Vertrauensanforderungen, Nachweisführung und operative Governance für digitale Identitätsprüfungen. Im Mittelpunkt stehen Zweckbindung, Datenminimierung, Einwilligung, Aufbewahrung, Rollenmodelle und prüfbare Entscheidungen.

Der Aufbau führt von der fachlichen und technischen Einordnung über klar definierte Entscheidungs- und Integrationsschritte bis zu überprüfbaren Arbeitsartefakten. Jeder Themenblock wird schrittweise erläutert und in einer praktischen Aufgabe angewendet.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Modul 1: Verarbeitungskontext und Rollen
6. Modul 2: Datenminimierung und Selective Disclosure
7. Modul 3: Transparenz, Einwilligung und Betroffenenprozesse
8. Modul 4: Speicherung, Löschung und Nachweisführung
9. Modul 5: Compliance-by-Design und Kontrollsystem
10. Praxisübungen

Einordnung und Zielsetzung

Der Kurs verbindet Datenschutz, eIDAS-bezogene Vertrauensanforderungen, Nachweisführung und operative Governance für digitale Identitätsprüfungen. Im Mittelpunkt stehen Zweckbindung, Datenminimierung, Einwilligung, Aufbewahrung, Rollenmodelle und prüfbare Entscheidungen.

Im Mittelpunkt stehen nachvollziehbare Entscheidungen, sichere technische Übergaben, datensparsame Verarbeitung und ein belastbarer Betrieb. Die Seminarergebnisse werden als Modelle, Entscheidungstabellen, Testfälle oder Umsetzungsskizzen dokumentiert.

Zielgruppe

Datenschutz, Compliance, Informationssicherheit, IAM-Governance, Digital Onboarding, Facharchitektur und interne Revision

Voraussetzungen

Grundverständnis von Identity Proofing, digitalen Identitäten und betrieblichen Kontrollsystemen

Lernziele

• Verarbeitungskontext und Rollen fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Datenminimierung und Selective Disclosure fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Transparenz, Einwilligung und Betroffenenprozesse fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Speicherung, Löschung und Nachweisführung fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Compliance-by-Design und Kontrollsystem fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Abhängigkeiten zwischen Identitätsprüfung, Wallet, Gateway und IAM erkennen und in ein konsistentes Zielbild überführen.
• Sicherheits-, Datenschutz-, Betriebs- und Interoperabilitätsanforderungen in Abnahmekriterien übersetzen.

Seminarinhalte

Modul 1: Verarbeitungskontext und Rollen

Akteure, Zwecke, Rechtsgrundlagen und Verantwortlichkeiten werden für Issuer-, Wallet-, Gateway- und Relying-Party-Szenarien strukturiert.

1. Schritt 1: Geschäftsprozess und Identitätsreise abgrenzen.
2. Schritt 2: Verarbeitungsrollen und Verantwortungsübergänge zuordnen.
3. Schritt 3: Zwecke, Datenkategorien und Empfänger erfassen.
4. Schritt 4: Offene Rechts- und Governance-Fragen in einem Entscheidungsregister dokumentieren.

Modul 2: Datenminimierung und Selective Disclosure

Attributanforderungen werden auf das erforderliche Minimum reduziert und nachweisbar begründet.

1. Schritt 1: Entscheidungszweck je Journey-Schritt definieren.
2. Schritt 2: Rohattribute, abgeleitete Aussagen und Pseudonyme vergleichen.
3. Schritt 3: Minimale Claim-Sätze und zulässige Alternativen festlegen.
4. Schritt 4: Anforderung, Einwilligung und Weitergabe auf Konsistenz prüfen.

Modul 3: Transparenz, Einwilligung und Betroffenenprozesse

Benutzerinformationen und Wahlmöglichkeiten werden mit technischen Abläufen abgestimmt.

1. Schritt 1: Informationszeitpunkte und verständliche Inhalte bestimmen.
2. Schritt 2: Einwilligungs- und Freigabeschritte in der Journey verorten.
3. Schritt 3: Widerruf, Auskunft, Berichtigung und Löschung operationalisieren.
4. Schritt 4: Support- und Eskalationswege mit Fristen dokumentieren.

Modul 4: Speicherung, Löschung und Nachweisführung

Identitätsdaten, Prüfergebnisse und Auditinformationen erhalten getrennte Lebenszyklen.

1. Schritt 1: Datenobjekte und Speicherorte inventarisieren.
2. Schritt 2: Aufbewahrungs- und Löschregeln nach Zweck festlegen.
3. Schritt 3: Nachweise datensparsam und revisionsfest gestalten.
4. Schritt 4: Löschläufe, Ausnahmen und Kontrollen testbar definieren.

Modul 5: Compliance-by-Design und Kontrollsystem

Anforderungen werden in überprüfbare technische und organisatorische Kontrollen überführt.

1. Schritt 1: Risiken und Kontrollziele je Prozessphase bestimmen.
2. Schritt 2: Präventive, detektive und korrigierende Kontrollen zuordnen.
3. Schritt 3: Kontrollverantwortung, Frequenz und Evidenz festlegen.
4. Schritt 4: Kontrollwirksamkeit anhand eines Beispiels prüfen.

Praxisübungen

1. Übung 1: Erstellung eines Datenfluss- und Rollenmodells. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.
2. Übung 2: Reduktion eines umfangreichen Claim-Satzes. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.
3. Übung 3: Entwurf einer Aufbewahrungs- und Löschmatrix. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.
4. Übung 4: Aufbau eines Kontroll- und Evidenzkatalogs. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.