Nami Connector für CardDAV Server

[derweili]

Ich habe einen Connector gebaut, der die Mitglieder aus der Nami an einen CardDAV Server pusht.
Dadurch haben die Leiter immer die aktuellsten Kontaktdaten der Kinder auf ihren Smartphones mit dabei.

https://github.com/derweili/Nami-CardDav-Connector

Der Importer wird täglich über einen Cronjob ausgeführt. In einem ersten Schritt werden alle vorhanden Kontakte auf dem CardDAV Server gelöscht. Anschließend werden die Mitgliederdaten von der NAMI gezogen und als Kontakte auf den CardDAV Server gepusht.

[Fabian]

Hallo Julian,
schön zu sehen, dass du mit der NaMi-API zurechtgekommen bist und wie du mit ziemlich wenigen Codezeilen eine sinnvolle Anwendung geschrieben hast. Auch die Wahl von CardDAV als Austauschformat finde ich gut.

Ich stelle mir allerdings schon auch die Frage, wie es auf einem Smartphone denn um den Datenschutz bestellt ist. Auf einem Desktop-PC haben die meisten Leute das ja hoffentlich halbwegs im Griff (wobei auch da viel Unwissen vorhanden ist). Viele Leute haben ja nunmal Messenger auf dem Smartphone installiert, die regelmäßig das gesamte Adressbuch an irgendwelche Dienste schicken (deren Server auch häufig außerhalb der EU stehen). Wenn auf diesem Weg die kompletten Mitgliederdaten des Stammes auf einem ausländischen Server landen, dann dürfte das ziemlich sicher den deutschen Datenschutzbestimmungen widersprechen.

Viele Grüße,
Fabian

[derweili]

Hallo Fabian,

da hast du recht, da muss man sich Gedanken darüber machen. Ich sehe das Problem aber nicht nur an dieser Anwendung. Es beginnt ja schon damit, wenn die Mitglieder Liste als Excel exportiert und der Einfachheit wegen in Dropbox, Google Drive oder ähnlichem speichert. Oder diese per Mail über einen Amerikanischen Mailserver, z.B. Gmail, versendet. Da haben wir das selbe Problem.

Von diesem Bericht in Panorama, Anfang des Monats ganz zu schweigen, hier würde nämlich bei einem einfachen Nami Login womöglich sämtliche Daten an ausländische Server übertragen.

Das kann man immer tiefer gehen und ich weiß nicht wo man da anfangen und aufhören soll.

[daniel]

Hallo zusammen,

ich nehme aus dieser Diskussion mal mit, dass es zu dem Themenkomplex „Datenschutz bei der Benutzung von NaMi-Daten“ noch ein bisschen Hintergrundinfo etc. geben sollte.

Fakt ist, dass wir mit NaMi personenbezogene Daten speichern und damit deren Verwendung den jeweiligen Datenschutzrichtlinien unterliegt.
Für den Systembetrieb von NaMi hat der Bund eine Datenschutzfreigabe von der für die DPSG in diesem Zusammenhang zuständigen Erzdiözese Köln.

Die Freigabe der API für alle Nutzer im System ab NaMi 2.2 bedeutet nur, dass es einen zusätzlichen technischen Zugangsweg auf die selben Daten zu den selben Rahmenbedingungen gibt.
(u.a. Jeder Benutzer muss in die Datenschutzbestimmungen einwilligen)

Genaugenommen wird es schon in dem Moment schwierig, wo der StaVo oder der NaMi-Admin eine Liste mit NaMi-Daten an Leiterinnen und Leiter weitergibt, die selbst keinen NaMi-Zugang haben und damit nicht die Datenschutzbestimmungen eingewilligt haben.

Die Kunst ist jetzt, einen Weg zu gehen, der die Realität im Auge behält (weil z.B. Leiterinnen und Leiter diese Adresslisten für ihre Arbeit einfach brauchen), der aber auch gegenüber einem Datenschützer (das sind zumeist Juristen) verargumentierbar ist.

Daher müssen wir uns alle immer wieder überlegen, welche Auswirkungen auf den Datenschutz bestimmte Anwendungsformen der API und des Zugriffs auf NaMi haben. Zugriff auf die Daten ist dabei oft besser als Kopieren/syncen der Daten in ein weiteres System. Und wenn Daten kopiert werden (ob per CardDav Sync oder Excel-Tabelle) muss man auch im Blick behalten, was mit diesen Daten geschieht, wo sie wie verwendet werden und wann sie auch wieder gelöscht werden.

So wäre es durchaus sinnvoll, wenn z.B. der NaMi-Admin die Gruppenleiter dafür sensibilisiert, nach dem Sommerlager die nicht mehr benötigten Daten auch wieder zu vernichten. Denn sind wir mal ehrlich: das was vor Ort in manchen Anmeldebögen abgefragt wird (Krankenkasse, Vorerkrankungen, Medikamente,…) sind nochmal weit sensiblere Daten als die die in der NaMi stehen.

Viele Grüße & Gut Pfad
Daniel

[Autor]

Beiträge