Datenschutz-Folgenabschätzung

Für eine jede Verarbeitungstätigkeit (VT) muss, laut DSGVO, dokumentiert entschieden werden, ob eine Datenschutz-Folgeabschätzung (DSFA) durchzuführen ist. Dies erfolgt im Zuge einer sogenannten DSFA-Erforderlichkeitsprüfung.

Für verwandte VTs kann auch ein und dieselbe DSFA-Erforderlichkeitsprüfung gelten um zu erklären, dass eine DSFA für die VTs notwendig ist oder nicht.

Eine DSFA in HITGuard kombiniert die DSFA-Erforderlichkeitsprüfung und die folgende DSFA in einem. Zuerst wird die Erforderlichkeitsprüfung durchgeführt und anschließend je nach Ergebnis dieser muss im Anschluss eine DSFA durchgeführt werden oder nicht.

In HITGuard sind diese DSFA's unter dem Menüpunkt "Datenschutz → DSFA" zu finden und zu verwalten.

DSFA

Screenshot von der Übersicht der DSFA's

Um eine DSFA zu erstellen muss in der Übersicht der DSFA's ("Datenschutz → DSFA") der "Plus"-Button geklickt werden.

Um eine DSFA zu bearbeiten muss auf die gewünschte DSFA doppelt geklickt werden.

Überprüfungsdetails

Im Nachfolgenden, werden die Überprüfungsdetails einer DSFA näher beschrieben.

Screenshot Step 1

Bezeichnung:

Hier wird eine Bezeichnung für die DSFA vergeben.

Bestätiger:

Sachbearbeiter:

Hier kann eine Person eingetragen werden, welche die DSFA durchführen soll.

Prüfer:

Hier kann eine Person eingetragen werden, welche die Ausarbeitung der DSFA prüft.

Versionsdatum:

Hier muss ein Datum für die Version der DSFA eingetragen werden.

Versionsnummer:

Hier muss eine Versionsnummer für die Version der DSFA eingetragen werden. (für Historisierung)

Zugeordnete Verarbeitungstätigkeiten:

Hier können Verarbeitungstätigkeiten (VTs) zu der DSFA zugeordnet werden. Die DSFA gilt für alle zugeordneten VTs.
Eine VT kann einer DSFA nur zugeordnet werden, wenn sie noch zu keiner DSFA zugeordnet wurde.
Haupt-VT: Die Daten dieser VT werden in folge der DSFA geladen.

Erforderlichkeitsprüfung

Die Erforderlichkeitsprüfung ist der Schritt zur Erkenntnis ob für die zugeordneten VTs eine DSFA durchgeführt werden muss.

Um einzuschätzen ob eine DSFA notwendig ist, ist die Prüfung in 3 Bereiche unterteilt:

Ausnahme von der DSFA
Erforderlichkeit der DSFA vorgegeben
Schwellwertanalyse

Ausnahme von der DSFA

Hier muss ausgewählt werden, ob für die Verarbeitungstätigkeit(en), aufgrund einer Ausnahme, keine Datenschutzfolgeabschätzung durchzuführen ist. Dies kann z.b aufgrund von Whitelisting oder einer Ähnilchkeitsprüfung der Fall sein.

Wichtig:

Wird "Ja" gewählt muss begründet werden wieso keine Datenschutzfolgeabschätzung durchzuführen ist!
"ja" sperrt die folgenden Menüpunkte, da keine DSFA notwendig ist.

Screenshot

Erforderlichkeit der DSFA vorgegeben

Im Gegensatz zum vorherigen Punkt setzt dieser voraus, dass keine Ausnahme von der DSFA vorhanden ist.

In diesem Punkt kann ausgewählt werden ob eine Dateschutzfolgeabschätzung aufgrund einer Vorgabe notwendig ist. Dies kann z.b der Fall sein wenn die VT auf einer Blacklist (Muss-Liste) oder auf eine der Fallgruppen für besonders riskante Verarbeitungstätigkeiten laut Art. 35 Abs. 3 der DSGVO zutrifft.

Es kann eine Begründung für die Entscheidung dokumentiert werden.

Wichtig:

"Ja" sperrt den nächsten Punkt "Schwellwertanalyse", da die DSFA definitiv durchzuführen ist.

Screenshot

beschreibung

Schwellwertanalyse

Die Schwellwertanalyse empfiehlt je nach Bewertung der Checkboxen ob eine DSFA notwendig ist.

Um herauszufinden welche Checkboxen angehackt werden sollen, sollte zuerst das Working Paper 248 Kriterien des europäischen Datenschutzausschusses durchgegangen werden.

Wird 1 häckchen gesetzt, so wird eine DSFA empfohlen.

Werden 2 oder mehr häckchen gesetzt, so scheint eine DSFA als notwendig!

Im Anschluss muss entschieden werden ob eine DSFA durchzuführen ist. Für diese Entscheidung muss eine Begründung festgehalten werden.

Wichtig:

Existiert bereits eine Datenschutzfolgenabschätzung für die Verarbeitungstätigkeit(en), so kann diese an dieser Stelle hochgeladen werden!
Durch setzten des "DSFA bereits durchgeführt" werden die nachfolgenden Schritte der DSFA deaktiviert, da die DSFA bereits vorhanden ist.

Screenshot

Informationen zur Verarbeitung

Diese Seite gibt einen kurzen Überblick über die Verarbeitungstätigkeit.

Die Daten die hier angezeigt werden kommen aus der Haupt-Verarbeitungstätigkeit (setzbar bei Überprüfungsdetails).

Es können hier aber noch weitere Informationen zur Verarbeitung erfasst und dokumentiert werden.

Screenshot

Normen und Standards

In diesem Punkt werden Angaben zur Einhaltung von Verhaltensregeln erfasst.

Screenshot

Daten und Betriebsmittel

In diesem Punkt werden die Datenkategorien die verarbeitet werden sowie die Betriebsmittel (Ressourcen) die diese Daten verarbeiten aufgelistet. Diese kommen von der Haupt-VT.

Screenshot

Lebenszyklus von Daten und Prozessen

In diesem Punkt können detaillierte Angaben zu Funktionsweisen und Abläufen der Datenverarbeitung erfasst werden.

Existieren zu diesen Abläufen Datenflussdiagramme sollten diese in diesem Punkt hochgeladen werden.

Screenshot

Notwendigkeit und Verhältnismäßigkeit

In diesem Punkt wird die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung erklärt.

Dazu müssen mehrere Punkte geklärt werden:

Rechtmäßigkeit der Verarbeitung:

Hier werden die Rechtmäßigkeiten der Verarbeitungen der einzelnen Datenkategorien aufgelistet. (Datenkategorien aus Haupt-VT)

Zweckbindungsprinzip (Art. 5 Abs 1 b DSGVO):

Es muss erklärt werden warum die Verarbeitungszwecke bestimmt, eindeutig definiert und rechtmäßig sind.

Datenminimierung (Art. 5 Abs. 1 c DSGVO):

Es muss erklärt werden warum die erhobenen Daten erforderlich, notwendig und relevant sind.

Richtigkeit (Art. 5 Abs. 1 d DSGVO):

Es muss beschrieben werden, welche Schritte unternommen werden um die Qualität der Daten (Korrektheit, Aktualität, etc) sicherzustellen.

Speicherbegrenzung (Art. 5 Abs. 1 e DSGVO):

Es muss die Speicherdauer der Daten mit Begründung für diese angegeben werden. Dies erfolgt schon allerdings schon im Schritt "Daten und Betriebsmittel" und wird deswegen hier nichtmehr angeführt.

beschreibung

Persönlichkeitsrechte der Betroffenen

beschreibung

Risikobewertung und Maßnahmenplanung

beschreibung

Konsultationen

beschreibung