MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Die Erstellung einer Datenschutz-Folgenabschätzung (DSFA) folgt festgelegten Schritten: Sie beschreiben die Verarbeitung, prüfen Notwendigkeit und Verhältnismäßigkeit, identifizieren die Risiken für die betroffenen Personen und dokumentieren die Maßnahmen zur Risikokontrolle. Artikel 35 Absatz 7 DSGVO legt die Mindestbestandteile fest, die in der DSFA enthalten sein müssen. Bei sorgfältiger Durchführung erhalten Sie nicht nur ein obligatorisches Dokument, sondern auch einen konkreten Überblick über die notwendigen Vorbereitungen vor Beginn der Verarbeitung.
Die kurze Antwort
- Beschreiben Sie die Verarbeitung: Zweck, Art, Umfang, Kontext und die beteiligten Daten.
- Prüfung der Notwendigkeit und Verhältnismäßigkeit: Ist die Verarbeitung notwendig und verhältnismäßig im Hinblick auf den Zweck?
- Beurteilen Sie die Risiken für die Rechte und Freiheiten der betroffenen Personen.
- Ermitteln Sie Maßnahmen zur Reduzierung dieser Risiken (technischer und organisatorischer Art).
- Falls Sie einen Datenschutzbeauftragten haben, lassen Sie sich von diesem beraten (Artikel 35 Absatz 2 DSGVO)
- Ermitteln Sie die nächsten Schritte: Starten, Ändern oder Rücksprache mit der Aufsichtsbehörde (Artikel 36 DSGVO).
Erstellung einer Datenschutz-Folgenabschätzung: die obligatorischen Komponenten
Artikel 35 Absatz 7 der DSGVO nennt vier Bestandteile, die mindestens in die Datenschutz-Folgenabschätzung aufgenommen werden müssen. Diese bilden das Rückgrat des Dokuments:
- Eine systematische Beschreibung der beabsichtigten Verarbeitungsvorgänge und der Zwecke, einschließlich des berechtigten Interesses, falls Sie dieses als Rechtsgrundlage verwenden.
- Eine Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung im Hinblick auf die Zwecke.
- Eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen.
- Die geplanten Maßnahmen zur Bewältigung dieser Risiken, einschließlich Schutz- und Sicherheitsvorkehrungen zum Nachweis des Schutzes personenbezogener Daten.
Diese vier Bestandteile stellen das Minimum dar. In der Praxis ergänzt man das Dokument um eine Beschreibung der beteiligten Parteien, die Aufbewahrungsfristen und die Rechtsgrundlage für jede Verarbeitungstätigkeit, sodass es auch als Nachweis gegenüber der Aufsichtsbehörde dient.
Schritte 1 und 2: Verarbeitung beschreiben und Notwendigkeit prüfen
Beginnen Sie mit einer sachlichen Beschreibung. Welche personenbezogenen Daten verarbeiten Sie, von wem, zu welchem Zweck, auf welcher Rechtsgrundlage (Artikel 6 DSGVO) und wie lange speichern Sie diese? Beschreiben Sie außerdem die Datenflüsse: Wer hat Zugriff, welche Auftragsverarbeiter sind beteiligt und werden Daten außerhalb des Europäischen Wirtschaftsraums übermittelt?
Prüfen Sie anschließend Notwendigkeit und Verhältnismäßigkeit. Lässt sich das Ziel mit weniger Daten oder mit weniger eingreifenden Mitteln erreichen? Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) ist hierbei zentral. Wenn eine weniger eingreifende Alternative denselben Zweck erfüllt, ist die umfangreichere Datenverarbeitung unverhältnismäßig.
Schritte 3 und 4: Risiken einschätzen und Maßnahmen festlegen
Bewerten Sie die Risiken aus der Perspektive der betroffenen Person, nicht aus der Ihres Unternehmens. Berücksichtigen Sie Identitätsdiebstahl, Diskriminierung, Reputationsschäden, Datenverlust und finanzielle Schäden. Wägen Sie sowohl die Eintrittswahrscheinlichkeit als auch die potenziellen Auswirkungen ab. Legen Sie für jedes Risiko Maßnahmen fest: technische (Verschlüsselung, Pseudonymisierung, Zugriffskontrolle) und organisatorische (Autorisierungsrichtlinie, Aufbewahrungsfristen, Datenverarbeitungsvereinbarungen, Schulungen).
Ziel ist es, das Restrisiko auf ein akzeptables Niveau zu reduzieren. Dokumentieren Sie für jedes Risiko, welche Maßnahmen Sie ergreifen und welches Restrisiko verbleibt. Diese Verknüpfung macht die Datenschutz-Folgenabschätzung (DSFA) nachvollziehbar und belegt, dass Sie eine bewusste Risikobewertung vorgenommen haben.
Schritte 5 und 6: FG-Beratung und Nachverfolgung festlegen
Wenn Sie einen Datenschutzbeauftragten haben, müssen Sie dessen Rat bei der Erstellung der Datenschutzerklärung einholen (Art. 35 Abs. 2 DSGVO). Dokumentieren Sie diesen Rat und Ihre Maßnahmen. Holen Sie gegebenenfalls auch die Meinung der betroffenen Personen oder ihrer Vertreter, z. B. des Betriebsrats, zu Verarbeitungsvorgängen ein, die die Beschäftigten betreffen.
Ergibt die Datenschutz-Folgenabschätzung (DSFA), dass trotz Ihrer Maßnahmen ein hohes Restrisiko verbleibt, sind Sie gemäß Artikel 36 DSGVO verpflichtet, vor Beginn der Maßnahmen die Datenschutzbehörde zu konsultieren. Ist das Restrisiko weiterhin akzeptabel, können Sie beginnen und müssen die DSFA fortlaufend aktualisieren.
Ein praktisches Beispiel: Ein mittelständischer Onlineshop möchte das Kundenverhalten mit externen Daten verknüpfen, um zielgerichtete Profile zu erstellen. Bei der Vorbereitung der Datenschutz-Folgenabschätzung (DSFA) stellt sich heraus, dass die Profilerstellung über das für den Zweck Notwendige hinausgeht. Das Unternehmen beschränkt den Datensatz und entfernt eine externe Datenquelle. Anschließend ist das Restrisiko akzeptabel und eine Rücksprache mit der Aufsichtsbehörde nicht mehr erforderlich.
Ehrliche Empfehlung
Sie benötigen nicht immer einen Anwalt, um eine Datenschutz-Folgenabschätzung (DSFA) zu erstellen. Bei unkomplizierten Verarbeitungen mit klarem Zweck und begrenzten Datenmengen können Sie die vier Bestandteile von Artikel 35 Absatz 7 DSGVO mithilfe einer geeigneten Vorlage und der Hinweise der niederländischen Datenschutzbehörde selbst ausfüllen. Wird die Situation jedoch komplexer – beispielsweise bei besonderen Kategorien personenbezogener Daten, Profiling, Datenübermittlungen außerhalb des EWR oder neuen Technologien –, empfiehlt es sich, den Prozess von einem Anwalt prüfen zu lassen. Die Beurteilung der Notwendigkeit und Verhältnismäßigkeit ist oft der schwierigste Teil, und genau hier treten in der Praxis häufig Probleme auf.
Sie möchten mehr erfahren? Sehen Sie sich die Datenschutz-Folgenabschätzung (DSFA), lesen Sie die Erklärung, was eine DSFA ist und wie man eine DSFA erstellen lässt.
Häufig gestellte Fragen
Artikel 35(7) der DSGVO nennt vier Komponenten: eine Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die betroffenen Personen und die Maßnahmen zur Bewältigung dieser Risiken.
Beginnen Sie mit einer sachlichen Beschreibung der Datenverarbeitung: Welche Daten werden von wem, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeitet? Stellen Sie außerdem die Datenflüsse, die Auftragsverarbeiter und jegliche Übermittlungen außerhalb des EWR dar.
Sie prüfen, ob die Verarbeitung notwendig und verhältnismäßig ist. Lässt sich der Zweck mit weniger Daten oder weniger eingreifenden Mitteln erreichen, ist die umfangreichere Verarbeitung unverhältnismäßig. Die Datenminimierung (Artikel 5 DSGVO) ist von zentraler Bedeutung.
Betrachten Sie die Situation aus der Perspektive der betroffenen Person, nicht aus der Perspektive Ihres Unternehmens. Berücksichtigen Sie Identitätsdiebstahl, Diskriminierung, Reputationsschäden oder Kontrollverlust. Wägen Sie sowohl die Wahrscheinlichkeit als auch die Auswirkungen ab und verknüpfen Sie jedes Risiko mit einer konkreten Maßnahme.
Wenn Ihre Organisation einen Datenschutzbeauftragten (DSB) hat, müssen Sie dessen Rat bei der Erstellung des DSB einholen (Artikel 35 Absatz 2 DSGVO). Dokumentieren Sie diesen Rat und beschreiben Sie, wie Sie ihn umgesetzt haben. Der DSB berät, die letztendliche Verantwortung trägt jedoch der Verantwortliche.
In diesem Fall konsultieren Sie vor Beginn die niederländische Datenschutzbehörde (Artikel 36 DSGVO). Bleibt das Restrisiko nach Ihren Maßnahmen akzeptabel, können Sie mit der Datenschutz-Folgenabschätzung beginnen und diese fortlaufend aktualisieren.
Bei unkomplizierter Verarbeitung können Sie die vier Abschnitte mithilfe einer geeigneten Vorlage selbst ausfüllen. Für besondere Datenkategorien, Profiling, Datenübermittlungen außerhalb des EWR oder neue Technologien ist rechtliche Beratung ratsam, insbesondere hinsichtlich der Beurteilung von Notwendigkeit und Verhältnismäßigkeit.
