Datenschutzkonformer Umgang mit personenbezogenen Daten in Atlassian Jira

Ohne Jira läuft bei brainbits nichts - dementsprechend finden sich auch viele personenbezogene Daten im System. Hier beschreibt Patrick Schuh, Atlassian Consultant und Geschäftsführer von brainbits, wie wir das Erfassen und zuverlässige, automatische Löschen personenbezogener Daten für uns - und viele unserer Kunden - gelöst haben.

Dank der DSGVO ploppen in den letzten Monaten ununterbrochen neue Baustellen auf, an denen der Umgang mit personenbezogenen Daten danach verlangt, anders oder überhaupt mal geregelt zu werden. Ich bin ehrlich: das nervt schon ganz gehörig. Nimmt man den Datenschutz ernst – und was bleibt einem moralisch und rechtlich anderes übrig – kostet das jede Menge Zeit, die dann anderswo fehlt. Andererseits erwische ich mich immer wieder dabei, dass das Entwickeln entsprechender Konzepte zum Umgang mit personenbezogenen Daten sogar Spaß machen kann. Mit dem Thema datenschutzkonformer Umgang mit personenbezogenen Daten in Jira ging es mir auf jeden Fall so.

Als IT-Dienstleister sind wir bei unseren Kunden in der Regel auch Auftragsverarbeiter. Und damit zum Führen eines Verzeichnisses unserer Verarbeitungstätigkeiten verpflichtet. Beim Durchforsten unserer Prozesse stießen wir ziemlich früh auf unser Ticketsystem Jira.

Jira ist bei uns der organisatorische Dreh- und Angelpunkt. Ohne dieses System geht praktisch nichts. Wir koordinieren nicht nur unser Entwicklungs- und Support-Arbeit über Tickets, sondern praktisch unsere gesamten organisatorischen Prozesse: vom Bewerbungsmanagement, über den Einkauf bis hin zum Reiseantrag – alles sind bei uns Tickets im Ticketsystem. Dementsprechend hoch ist die Bandbreite der Daten, die im System zusammengetragen werden.

Im Zuge unserer Vorbereitung auf die DSGVO wurde uns dann schnell klar, dass wir uns Gedanken darübermachen müssen, wie wir Daten im Ticketsystem, die wir nicht mehr brauchen, effizient wieder aus dem System herausbekommen. Unserem - hart erarbeiteten - Verständnis der drei DSGVO nach sehen wir uns mit Blick auf die Grundprinzipien „Zweckbindung“, „Datenminimierung“ und „Speicherbegrenzung“ dazu verpflichtet, personenbezogene Daten, für die wir keinen Verarbeitungszweck mehr haben (weil das Ticket erledigt ist), aus dem System zu entfernen.

Und zu diesem Zweck, haben wir folgende Lösung implementiert:

Für personenbezogene Daten stehen in unseren Tickets nun spezifische Felder bereit. In normalen Support-Tickets ist das beispielsweise eine mehrzeilige Textbox, in unseren Bewerbungstickets mehrere einzeilige Textfelder für Name, Vorname, Adresse und so weiter. Das besondere an diesen Feldern: sie schreiben keine Daten in die Historie – dazu später mehr.

Zusätzlich haben wir über eine App aus dem Atlassian-Marketplace eine Funktion zur Kategorisierung von Ticketanhängen installiert. Die Erweiterung erlaubt es, ein Attachment wie gewohnt per Drag-and-Drop auf die Ticketmaske zu ziehen, stellt aber dann für jede konfigurierte Kategorie einen separaten „Drop-Bereich“ zur Verfügung. Je nachdem, wo der Anhang fallen gelassen wird, wird er der einen oder andren Kategorie zugeordnet. Wir haben für unseren Einsatzfall zwei Kategorien definiert: „Anhänge mit personenbezogene Daten“ und „Sonstige Anhänge“.

Durch die spezifischen Felder und die Kategorisierung der Anhänge können wir nun also personenbezogene Daten in Tickets identifizieren. Das funktioniert natürlich nur, wenn sich alle Anwender des Systems an die Spielregeln halten und die Daten brav an der richtigen Stelle einsortieren. Deshalb finden sich sowohl auf der Startseite unseres JIRA-Systems als auch in unserem Verzeichnis unserer Verarbeitungstätigkeiten entsprechende Hinweise.

So haben wir nun die Möglichkeit, alle personenbezogenen Daten mit einer Frist von beispielsweise 6 Monaten nach Abschluss des Tickets automatisch zu löschen. Normalerweise werden alle Änderungen an den Ticketdaten in der Tickethistorie mit altem und neuem Wert protokolliert. Diese Historie ist für jeden Einsehbar und würde also auch nach dem Löschen der Daten die Rekonstruktion erlauben. Aus diesem Grund setzen wir hier also besondere Feldtypen ein, die außer dem Hinweis „Feld ‚personenbezogene Daten‘ wurde geändert“ keine weiteren Informationen in die Historie schreiben.

Sie setzen ebenfalls Jira ein und möchten das System datenschutzkonform betreiben? Als Atlassian Gold Solution Partner unterstützen wir Sie gerne bei der Entwicklung und Umsetzung entsprechender Konzepte. Rufe Sie uns einfach unter der Telefonnummer 0221-986530-0 an oder senden Sie eine E-Mail an team.atlas@brainbits.net.