Welche personenbezogenen Daten verarbeitet Ihre Organisation, zu welchem Zweck und mit welchen Risiken? Das Verzeichnis von Verarbeitungstätigkeiten (VVT) schafft den Überblick. Die Datenschutz-Folgenabschätzung (DSFA) bewertet bei voraussichtlich hohem Risiko die Folgen für betroffene Personen und legt geeignete Schutzmaßnahmen fest. Zusammen liefern beide Instrumente eine Grundlage, um Datenschutzanforderungen gezielt in die Praxis umzusetzen, statt sie nur zu dokumentieren.
Verantwortung braucht klare Rollen
Die Verantwortung für eine rechtmäßige Verarbeitung liegt beim Verantwortlichen, in der Regel der Organisation, die über Zwecke und Mittel der Verarbeitung entscheidet. Wer was beiträgt:
Beschreiben ihre Abläufe, Daten und Empfänger.
Bringen die technischen und organisatorischen Schutzmaßnahmen ein.
Berät und überwacht unabhängig. Ist er benannt, muss bei der Durchführung einer DSFA sein Rat eingeholt werden.
Trägt die Verantwortung für die rechtmäßige Verarbeitung und entscheidet über Zwecke und Mittel.
Klare Zuständigkeiten stellen sicher, dass Bewertungen nicht zwischen den Beteiligten liegen bleiben.
Das VVT: mehr als eine Liste von Anwendungen
Das VVT nach Art. 30 DSGVO erfasst Verarbeitungstätigkeiten wie Personalabrechnung, Bewerbungsmanagement oder Kundenbetreuung.
Es ist kein Anwendungskatalog: Eine Verarbeitungstätigkeit kann mehrere Systeme und Dienstleister umfassen. Maßgeblich für die Abgrenzung sind ihre Zwecke und die tatsächlichen Abläufe.
Was das VVT eines Verantwortlichen enthält
Das VVT eines Verantwortlichen enthält insbesondere:
- Namen und Kontaktdaten des Verantwortlichen sowie gegebenenfalls der gemeinsam Verantwortlichen, seines Vertreters und des Datenschutzbeauftragten
- die Verarbeitungszwecke
- die Kategorien betroffener Personen und personenbezogener Daten
- die Empfängerkategorien
- gegebenenfalls Drittlandübermittlungen unter Angabe des Drittlands oder der internationalen Organisation
- soweit möglich die vorgesehenen Löschfristen
- soweit möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen
Das Verzeichnis ist schriftlich, auch elektronisch, zu führen und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.
Für die praktische Arbeit empfiehlt es sich, Rechtsgrundlagen und fachliche Zuständigkeiten ergänzend festzuhalten. Ein Abgleich mit den tatsächlichen Datenflüssen, Empfängern, Löschregeln und Schutzmaßnahmen zeigt, wo Angaben fehlen oder Maßnahmen nachgebessert werden müssen.
Das VVT macht Handlungsbedarf sichtbar, belegt für sich allein aber noch keine rechtmäßige Verarbeitung.
Wann ist eine Datenschutz-Folgenabschätzung erforderlich?
Eine DSFA nach Art. 35 DSGVO ist vor Beginn einer Verarbeitung durchzuführen, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Beispiele sind:
- die umfangreiche Verarbeitung von Gesundheitsdaten
- die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche
Nicht jede neue Anwendung erfordert daher automatisch eine DSFA: Entscheidend sind Art, Umfang, Umstände und Zwecke der konkreten Verarbeitung.
Die Vorprüfung: so klären Sie den DSFA-Bedarf
Eine nachvollziehbar dokumentierte Vorprüfung klärt den DSFA-Bedarf anhand der gesetzlichen Vorgaben, der einschlägigen behördlichen Listen und der europäischen Leitlinien. Auch die Entscheidung, keine DSFA durchzuführen, sollte begründet festgehalten werden.
Im Mittelpunkt stehen mögliche Beeinträchtigungen der Rechte und Freiheiten betroffener Menschen, nicht die wirtschaftlichen Risiken der Organisation.
Was eine belastbare DSFA leisten muss
Eine belastbare DSFA umfasst vier Kernelemente:
- die systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke, gegebenenfalls einschließlich der verfolgten berechtigten Interessen
- die Bewertung von Notwendigkeit und Verhältnismäßigkeit
- die Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen
- die geplanten Maßnahmen zur Bewältigung dieser Risiken und zum Nachweis der Einhaltung der DSGVO
Bei der Risikobewertung werden Eintrittswahrscheinlichkeit und Schwere möglicher Schäden betrachtet. Datenminimierung, abgestufte Zugriffsrechte oder überprüfbare Löschregeln müssen auf die konkrete Verarbeitung zugeschnitten sein.
Umsetzung der Maßnahmen und verbleibendes Risiko
Für die Umsetzung der Maßnahmen werden Zuständigkeiten und Termine festgelegt. Anschließend ist zu bewerten, welches Risiko bei wirksamer Umsetzung verbleibt.
Eine DSFA schafft keine Rechtsgrundlage und entbindet nicht von anderen Datenschutzpflichten. Gegebenenfalls ist auch der Standpunkt der betroffenen Personen oder ihrer Vertreter einzuholen, ohne dabei geschützte Interessen oder die Sicherheit der Verarbeitung zu beeinträchtigen.
Wichtig: Lässt sich ein hohes Risiko durch geeignete Maßnahmen nicht ausreichend eindämmen, muss der Verantwortliche vor Beginn der Verarbeitung die Aufsichtsbehörde nach Art. 36 DSGVO konsultieren. Eine rein interne Akzeptanz dieses Risikos genügt nicht.
VVT und DSFA: vom Überblick zur Umsetzung
Das VVT und die DSFA sollten nicht getrennt voneinander gepflegt werden. Die im VVT beschriebenen Verarbeitungstätigkeiten bilden eine wichtige Informationsbasis für die DSFA-Vorprüfung und eine gegebenenfalls anschließende Folgenabschätzung. Deren Ergebnisse müssen in die praktische Gestaltung der Verarbeitung einfließen.
Diese drei Ebenen müssen zusammenpassen.
Aktualität entsteht durch feste Anlässe und Zuständigkeiten
Folgende Veränderungen können eine erneute Prüfung erforderlich machen:
- neue Zwecke
- zusätzliche Datenkategorien
- andere Dienstleister
Datenschutz sollte deshalb frühzeitig in Projektstarts, Beschaffungen und Änderungen eingebunden werden. Eine DSFA ist erforderlichenfalls daraufhin zu überprüfen, ob die Verarbeitung ihren Ergebnissen entspricht, mindestens dann, wenn sich das mit der Verarbeitung verbundene Risiko ändert.
Pflegeverfahren und Prüfturnus
Ein praktikables Pflegeverfahren legt fest, wer
- Änderungen meldet,
- das VVT aktualisiert und
- die Umsetzung sowie Wirksamkeit der Maßnahmen kontrolliert.
Ergänzende regelmäßige Überprüfungen helfen, übersehene Änderungen zu erkennen. Einen pauschalen jährlichen oder dreijährlichen Prüfturnus für alle VVT-Einträge und DSFA schreibt die DSGVO nicht vor; interne Fristen sollten sich am jeweiligen Handlungsbedarf und Risiko orientieren.
So unterstützt WG-DATA bei VVT und DSFA
WG-DATA unterstützt Sie dabei,
- VVT-Einträge zu prüfen und zu vervollständigen,
- den DSFA-Bedarf nachvollziehbar zu bewerten und
- erforderliche Folgenabschätzungen durchzuführen.
Gemeinsam mit Ihren Fachbereichen erarbeiten wir konkrete Maßnahmen und praktikable Abläufe für die laufende Pflege. Dabei begleiten wir Sie intensiv bei der Umsetzung im Tool RIMAGO. Auch wenn Sie andere Tools einsetzen, unterstützt WG-DATA Sie bei der fachlichen und praktischen Umsetzung von VVT und DSFA. Ob punktuelle Qualitätssicherung oder umfassende Überarbeitung: Der Umfang richtet sich nach Ihrem tatsächlichen Handlungsbedarf.
Ist Ihr VVT aktuell und der DSFA-Bedarf Ihrer Verarbeitungstätigkeiten geklärt? Sprechen Sie mit WG-DATA. Gemeinsam identifizieren wir die wesentlichen Lücken und legen die nächsten Schritte fest.
Ihr Ansprechpartner
Ergün Canbay
Manager
Risiken und Compliance
erguen.canbay@wg-data.de
