AuditmodellDSFA / DPIA – Datenschutz-Folgenabschätzung

Stellen Sie kurz und prägnant Folgendes vor: Name, Zweck(e), Herausforderungen (erwartete Vorteile), Anwendungskontext.

Beschreiben Sie hier, welche Verantwortlichkeiten mit der Verarbeitung verbunden sind.

• Wer ist für die Verarbeitung verantwortlich?

• Gibt es einen Mitverantwortlichen?

• Wer sind die Auftragsverarbeiter?

Geben Sie hier an, welche Referenzsysteme für die Verarbeitung gelten. Referenzsysteme bilden normative Rahmenbedingungen und helfen bei der Durchführung der Analyse. Dabei kann es sich um Referenzsysteme von Datenschutzbehörden, Empfehlungen, branchenspezifische Verhaltenskodizes oder auch Zertifizierungen handeln.

Beschreiben Sie hier den Zweck bzw. die Zwecke der Verarbeitung.

Geben Sie an, welche Vorteile sich für die für die Verarbeitung verantwortliche Stelle ergeben.

Beispiel: Verkürzung des Verkaufszyklus eines Produkts

Welche Vorteile ergeben sich für die von der Verarbeitung betroffenen Personen?

Beispiel: Bereitstellung einer neuen Dienstleistung

Welche Vorteile ergeben sich für die Gesellschaft im Allgemeinen?

Beispiel: Erleichterung des Zugangs zu einer öffentlichen Dienstleistung

Geben Sie an, welche Daten erfasst werden.

Geben Sie hier alle Stellen an, die neben den Behörden Zugriff auf die Daten haben (befugte Dritte wie beispielsweise die Datenschutzbehörde, die Kriminalpolizei im Rahmen einer strafrechtlichen Ermittlung oder die Steuerbehörde).

Dabei handelt es sich um interne Abteilungen des für die Verarbeitung Verantwortlichen (z. B. die Personalabteilung), Auftragsverarbeiter, gemeinsam Verantwortliche und andere für die Verarbeitung Verantwortliche (z. B. Geschäftspartner).

Geben Sie hier an, wer Zugriff auf die Daten hat. Manchmal haben Empfänger nicht unbedingt Zugriff auf die Daten.

Gemäß der Berechtigungsrichtlinie dürfen nur bestimmte Personen Zugriff auf unverschlüsselte Informationen haben.

Geben Sie hier Details zum Datenträger an. Zum Beispiel die Anwendung oder Software, die zur Verarbeitung der Daten verwendet wird.

Beschreiben Sie hier den Lebenszyklus der Daten.

Beginnen Sie mit der direkten oder indirekten Erhebung bei der betroffenen Person und beschreiben Sie den Weg der Daten, die Akteure, denen sie begegnen, ihre Verwendung und ihr Ende.

Sie müssen jeden durchgeführten Prozess beschreiben (z. B. die Übermittlung an einen Dienstleister, die Datenerhebung, die Archivierung oder die Löschung).

Sie können Ihrer Antwort ein Schema der Datenflüsse als Anhang beifügen.

Jeder Zweck muss festgelegt werden, d. h. ausreichend definiert sein, um die Umsetzung aller erforderlichen Datenschutzgarantien zu ermöglichen und den Umfang der Verarbeitung abzugrenzen.

Der Zweck der Erhebung muss klar und konkret angegeben werden. Der Zweck darf nicht zu vage oder allgemein gehalten sein.

Die Tatsache, dass die Informationen präzise sein müssen, bedeutet nicht, dass längere und detailliertere Spezifikationen immer notwendig oder sinnvoll sind. Tatsächlich kann eine detaillierte Beschreibung manchmal sogar kontraproduktiv sein. Dies kann insbesondere dann der Fall sein, wenn die schriftlichen und detaillierten Spezifikationen des Zwecks zu legalistisch sind und eher Warnungen als nützliche Informationen für die betroffenen Personen und andere Interessengruppen enthalten.

Die Zwecke müssen klar offengelegt, erklärt oder in verständlicher Form ausgedrückt werden.

Das letztendliche Ziel dieser Anforderung besteht darin, sicherzustellen, dass die Zwecke ohne jegliche Unklarheiten hinsichtlich ihrer Bedeutung oder Absicht angegeben werden. Die Bedeutung muss klar sein und darf keine Zweifel oder Verständnisschwierigkeiten aufkommen lassen.

Dies trägt zu Transparenz und Vorhersehbarkeit bei.

Die Anforderung der Rechtmäßigkeit bedeutet, dass die Ziele im weitesten Sinne „im Einklang mit dem Gesetz” stehen müssen.

Dies geht über die Anforderung der Rechtsgrundlage für die Verarbeitung hinaus.

Im Rahmen der gesetzlichen Bestimmungen können auch andere Faktoren wie Gepflogenheiten, Verhaltenskodizes, Ethikkodizes, vertragliche Vereinbarungen sowie der allgemeine Kontext und die Umstände der Tätigkeit berücksichtigt werden, um zu bestimmen, ob ein bestimmtes Ziel legitim ist. Dabei geht es insbesondere um die Art der zugrunde liegenden Beziehung zwischen dem für die Verarbeitung Verantwortlichen und den betroffenen Personen, unabhängig davon, ob es sich um eine geschäftliche oder eine andere Beziehung handelt.

Beispielsweise segmentiert ein Unternehmen seine Kunden anhand ihres ethnischen Profils in zwei Gruppen: Es verlangt von „weißen” Kunden höhere Preise als von „asiatischen” Kunden. In diesem Fall führt die Verarbeitung zu diskriminierenden Praktiken, was nicht legitim ist.

Kreuzen Sie die für jeden Verarbeitungszweck festgelegten Rechtsgrundlagen an.

Wenn eine gesetzliche Verpflichtung zur Aufbewahrung der Daten besteht, geben Sie dies ebenfalls an.

Ausnahmen sind möglich, wenn die Daten direkt erhoben werden, „sofern und soweit die betroffene Person bereits über diese Informationen verfügt“.

Bei indirekter Erhebung kann die Auskunft verweigert werden:

• wenn die Bereitstellung dieser Informationen unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde;

• wenn das nationale oder EU-Recht eine Ausnahme vorsieht

• oder wenn eine berufliche Schweigepflicht besteht.

Geben Sie hier die Art der Information an: Datenschutzerklärung, Informationen auf Formularen ...

Die Erhebung erfolgt indirekt, wenn die Daten nicht mit den betroffenen Personen in Verbindung stehen. Dies ist beispielsweise der Fall, wenn sie über einen Dritten erhoben werden oder aus einer öffentlichen Datenbank stammen.

Insbesondere zur Ausübung seiner Rechte.

• Können Personen über gängige Schnittstellen auf alle personenbezogenen Daten zugreifen?

• Können sie die sie betreffenden Nutzungsspuren auf sichere Weise einsehen?

• Können sie ein Archiv aller personenbezogenen Daten herunterladen?

Das Recht auf Datenübertragbarkeit gilt für Verarbeitungen, die auf der Rechtsgrundlage eines Vertrags oder einer Einwilligung beruhen und automatisiert erfolgen.

Es muss die Möglichkeit vorgesehen werden, die von der betroffenen Person bereitgestellten personenbezogenen Daten in einer leicht wiederverwendbaren Form abzurufen, um sie an einen Drittanbieter übertragen zu können.

Eine Ausnahme ist möglich in folgenden Fällen:

• Ausübung des Rechts auf freie Meinungsäußerung und Informationsfreiheit

• Einhaltung einer gesetzlichen Verpflichtung

• Gründe des öffentlichen Interesses im Bereich der Gesundheit

• Archivierung, wissenschaftliche oder historische Forschung und Statistik, wenn die Löschung die Verarbeitung unmöglich macht

• Feststellung, Ausübung oder Verteidigung eines Rechts vor Gericht

Beispielsweise können Verbindungsdaten aufgrund ihrer Beschaffenheit nicht berichtigt werden, und es kann aus zwingenden Gründen seitens des für die Verarbeitung Verantwortlichen kein Widerspruch eingelegt werden.

Wenn die Verarbeitung beispielsweise auf einer Einwilligung oder einer gesetzlichen Verpflichtung beruht, gilt das Widerspruchsrecht nicht.

Mit jedem Auftragsverarbeiter muss ein Auftragsverarbeitungsvertrag abgeschlossen werden, in dem alle in Art. 28 der DSGVO enthalten sind: Dauer, Umfang, Zweck, dokumentierte Verarbeitungsanweisungen, vorherige Genehmigung im Falle der Inanspruchnahme eines Auftragsverarbeiters, Bereitstellung aller Unterlagen zum Nachweis der Einhaltung der DSGVO, unverzügliche Meldung von Datenschutzverletzungen usw.