DSGVO-DatenverarbeitungsmodellDurchführung und Fortschreibung von Datenschutz-Folgenabschätzungen

Durch: Maj Ref DE API Rest

Organisation: PrivatOrganisation: ÖffentlichFunktion: Recht und Compliance

Diese Verarbeitungstätigkeit betrifft die Schwellwertanalyse zur Erforderlichkeit einer Datenschutz-Folgenabschätzung (DSFA), deren Durchführung durch ein interdisziplinäres Team unter Beratung durch den Datenschutzbeauftragten, die vorherige Konsultation der Aufsichtsbehörde bei hohem Restrisiko sowie die Umsetzung, Überprüfung und Fortschreibung der Maßnahmen.

Zwecke (4)

Der Zweck einer Verarbeitung ist das Hauptziel der Nutzung personenbezogener Daten. Diese Daten müssen für einen klar definierten und legitimen Zweck erhoben werden und dürfen nicht später in einer Weise verarbeitet werden, die mit diesem ursprünglichen Ziel unvereinbar ist.

Schwellwertanalyse zur Erforderlichkeit einer DSFA

Abschätzung der Risiken des Verarbeitungsvorgangs anhand von Art. 35 Abs. 3 DSGVO, der Kriterien des WP248 rev.01 und der Muss-Liste der zuständigen Aufsichtsbehörde; schriftliche Dokumentation der Entscheidung mit den maßgeblichen Gründen.

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 35 Abs. 1, 3 und 4 sowie Art. 5 Abs. 2 DSGVO

Durchführung der DSFA und Beratung durch den Datenschutzbeauftragten

Systematische Beschreibung der Verarbeitung, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Risikobeurteilung, Auswahl der Abhilfemaßnahmen und Erstellung des DSFA-Berichts; gegebenenfalls Einholung des Standpunkts der betroffenen Personen oder ihrer Vertreter, z. B. des Betriebsrats.

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 35 Abs. 2, 7 und 9 DSGVO und Art. 39 Abs. 1 lit. c DSGVO

Vorherige Konsultation der Aufsichtsbehörde

Konsultation der zuständigen Aufsichtsbehörde vor Beginn der Verarbeitung, wenn trotz Abhilfemaßnahmen ein hohes Restrisiko verbleibt, mit Übermittlung der DSFA und der vorgeschriebenen Angaben.

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 36 Abs. 1 und 3 DSGVO

Umsetzung, Überprüfung und Fortschreibung

Nachverfolgung und Test der Abhilfemaßnahmen, formale Freigabe, Überprüfung bei Änderung des Risikos und Führung eines Verzeichnisses der DSFA.

Gesetzliche Verpflichtung

Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 35 Abs. 11 und Art. 5 Abs. 2 DSGVO

Daten (3)

Artikel 30 der DSGVO verlangt die Registrierung der verarbeiteten Datenkategorien. Hierbei geht es darum, die Kategorien der verarbeiteten Daten zu definieren. Diese können als gewöhnlich oder sensibel bezeichnet werden.

Schwellwertanalyse

Details der Daten

Bewertete Verarbeitungstätigkeit und fachlich verantwortliche Personoptional

Erfüllte Kriterien und Bezug zur Muss-Listeoptional

Entscheidung und maßgebliche Gründeoptional

Aufbewahrungsregeln

Aktiver Bestand:

Für die Dauer der bewerteten Verarbeitungstätigkeit

Endgültige Sortierung

DSFA-Bericht

Details der Daten

Mitglieder des DSFA-Teams und ihre Funktionoptional

Beschreibung der Verarbeitung, Bewertung von Notwendigkeit und Verhältnismäßigkeitoptional

Risiken, Restrisiko und Abhilfemaßnahmenoptional

Stellungnahme des Datenschutzbeauftragten und gegebenenfalls der Vertreter der betroffenen Personenoptional

Schriftwechsel mit der Aufsichtsbehörde (Konsultation)optional

Aufbewahrungsregeln

Aktiver Bestand:

Für die Dauer der bewerteten Verarbeitungstätigkeit

Endgültige Sortierung

Maßnahmenplan und DSFA-Verzeichnis

Details der Daten

Maßnahme, verantwortliche Person und Fristoptional

Datum der Freigabe und der nächsten Überprüfungoptional

Version der DSFA und Entscheidungshistorieoptional

Aufbewahrungsregeln

Aktiver Bestand:

Für die Dauer der bewerteten Verarbeitungstätigkeit

Endgültige Sortierung

Betroffene Personen (3)

Eine betroffene Person ist jede Person, deren Daten durch die betreffende Datenverarbeitung gesammelt, gespeichert oder verarbeitet werden. Zum Beispiel: Im Rahmen einer Rekrutierungsverarbeitung stellt jeder Bewerber für die betreffende Stelle eine betroffene Person dar.