Welche Daten gehören niemals auf einen Ausweis?
Alles, was Sie nicht auf die Vorderseite drucken würden. Ein Ausweis wird den ganzen Tag in der Öffentlichkeit getragen, ist für jeden lesbar, der mit einem Telefon nahe genug herankommt, und er verlässt das Haus in einer Tasche. Der Chip ist kein privates Fach.
Die Annahme, die aufzugeben ist
Menschen halten den Chip für ein verborgenes Fach, weil sein Inhalt nicht sichtbar ist. Er ist nicht verborgen, er ist unbeschriftet.
Jeder mit einem Telefon kann einen Ausweis aus wenigen Zentimetern lesen, und das ist in einer vollen Halle, in einem Aufzug oder in einer Schlange der übliche Abstand zwischen zwei Menschen.
Das Lesen hinterlässt keine Spur und verlangt kein Zutun, der Träger hat also keine Möglichkeit zu wissen, dass es geschehen ist.
Die richtige Vorstellung ist, dass der Chip eine zweite bedruckte Seite ist, lesbar für jeden, der nahe genug herankommt, ohne zu fragen.
Was niemals darauf gehört
Persönliche Kontaktdaten im Klartext: Mobilnummer, private Adresse für elektronische Post, Wohnanschrift.
Alles über die Person, was nicht ohnehin auf der bedruckten Vorderseite steht: die Heikelkeit einer Rolle, Angaben zur Ernährung oder Gesundheit, Bedarf an Barrierefreiheit.
Alles, was anderswo als Nachweis dient: eine Personalnummer für den Gebäudezutritt, eine Kontoreferenz, eine Buchungsnummer, die ein Hotelzimmer benennt.
Und alles über andere Menschen, etwa die Angaben eines Kollegen, mit in einen Firmenausweis gepackt.
Stattdessen eine Kennung
Schreiben Sie eine undurchsichtige Kennung, die außerhalb Ihres Veranstaltungssystems nichts bedeutet. Wer den Ausweis liest, erfährt eine Nummer.
Alles über die Person wohnt dann im System, hinter der Zugangskontrolle, die Sie darauf anwenden, und es lässt sich berichtigen, beschränken und löschen.
Machen Sie die Kennung undurchsichtig und nicht fortlaufend. Eine hochzählende Nummer sagt einem Leser, wie viele Teilnehmer es gibt, und erlaubt es, benachbarte Ausweise zu erraten.
Und sagen Sie den Teilnehmern, was der Ausweis trägt und was beim Lesen festgehalten wird. Das ist gute Praxis und zugleich das, wofür ein Datenschutzhinweis da ist.
Er überlebt die Veranstaltung
Ausweise gehen in Taschen nach Hause und liegen jahrelang in Schubladen. Ein Ausweis mit persönlichen Angaben ist ein kleines Datenleck mit unbestimmter Lebensdauer, außerhalb Ihrer Kontrolle und außerhalb der Aufmerksamkeit des Trägers.
Eine Kennung ist träge, sobald sie ungültig gesetzt ist, und das ist das stärkste praktische Argument für diese Anlage.
Wurden Ausweise mit persönlichem Inhalt beschrieben und sind sie nicht gesperrt, löschen Sie sie bei der Rücknahme. Sind sie gesperrt, lassen sie sich nicht löschen, und das ist ein Grund mehr, Veranstaltungsausweise nicht zu sperren.
Und setzen Sie am Ende der Veranstaltung ohnehin jede Kennung ungültig, denn ein Ausweis, der noch auflöst, ist noch ein Nachweis.
Häufige Fragen
Kann jemand meinen Ausweis lesen, ohne dass ich es merke?
Ja, aus wenigen Zentimetern und ohne Spur. Das ist die Annahme, um die herum zu entwerfen ist, und kein unwahrscheinlicher Angriff.
Ist ein Name auf dem Chip ein Problem?
Weniger als Kontaktdaten, und er steht ohnehin auf der bedruckten Vorderseite. Die Probe lautet, ob Sie ihn dort drucken würden.
Warum sollte die Kennung undurchsichtig sein?
Eine fortlaufende Nummer verrät den Umfang der Veranstaltung und erlaubt es, andere Ausweise zu erraten. Ein undurchsichtiger Wert verrät nichts.
Und Ausweise, die nach der Veranstaltung behalten werden?
Sie behalten auf unbestimmte Zeit, was auf sie geschrieben wurde. Eine Kennung wird bedeutungslos, sobald sie ungültig gesetzt ist, personenbezogene Daten werden es nicht.