Modul 4 von 8 · Etwa 15 Minuten
Rechenschaftspflicht: Verzeichnisse, DSFA und Auftragsverarbeiter
Die Dokumentation und Governance, mit der eine Organisation die Einhaltung nachweist.
Verzeichnis und Datenschutz durch Technikgestaltung
Artikel 30 verlangt ein Verzeichnis von Verarbeitungstätigkeiten: Zwecke, Kategorien von Daten und betroffenen Personen, Empfänger, Übermittlungen, Löschfristen und Sicherheitsmaßnahmen. Organisationen mit weniger als 250 Beschäftigten sind nur befreit, wenn die Verarbeitung gelegentlich erfolgt, kein Risiko birgt und keine sensiblen oder Strafdaten umfasst – in der Praxis brauchen die meisten ein Verzeichnis. Artikel 25 verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen: Schutzmaßnahmen von Anfang an und standardmäßig nur die erforderlichen Daten.
Datenschutz-Folgenabschätzung (DSFA)
Artikel 35 verlangt eine DSFA vor einer Verarbeitung, die voraussichtlich ein hohes Risiko für Personen birgt, insbesondere bei systematischer und umfassender Bewertung (Profiling) mit erheblichen Wirkungen, bei umfangreicher Verarbeitung sensibler oder Strafdaten und bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche. Die Aufsichtsbehörden veröffentlichen Listen von Verarbeitungen, für die eine DSFA nötig ist. Die DSFA beschreibt die Verarbeitung, bewertet Notwendigkeit und Verhältnismäßigkeit sowie die Risiken für die Betroffenen und legt Abhilfemaßnahmen fest. Der Verantwortliche holt den Rat des DSB ein. Bleibt nach der Abhilfe ein hohes Risiko, muss er vor der Verarbeitung die Aufsichtsbehörde konsultieren (Artikel 36).
Auftragsverarbeiter und gemeinsam Verantwortliche
Ein Auftragsverarbeiter handelt nur auf dokumentierte Weisung des Verantwortlichen. Artikel 28 verlangt einen verbindlichen Vertrag über Gegenstand, Dauer, Art und Zweck der Verarbeitung und die Datenarten, mit Pflichten zu Vertraulichkeit, Sicherheit, Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe am Ende sowie Überprüfungen. Gemeinsam Verantwortliche (Artikel 26) legen ihre jeweiligen Pflichten in einer Vereinbarung fest, deren wesentlicher Inhalt den Betroffenen zur Verfügung gestellt wird.
Kernaussagen
- Die meisten Organisationen brauchen ein Verarbeitungsverzeichnis, unabhängig von ihrer Größe.
- Vor einer voraussichtlich risikoreichen Verarbeitung ist eine DSFA nötig – mit Rat des DSB.
- Ein nicht beherrschbares hohes Risiko erfordert die vorherige Konsultation der Aufsichtsbehörde.
- Jede Auftragsverarbeitung braucht einen Vertrag nach Artikel 28.
Selbstkontrolle
Wer führt die DSFA durch – der DSB oder der Verantwortliche?
Antwort anzeigen: Der Verantwortliche ist zuständig; der DSB berät und überwacht die Durchführung.
Ein Cloud-Anbieter speichert Ihre Personalakten und handelt nur auf Ihre Weisung. Was ist er, und was brauchen Sie?
Antwort anzeigen: Ein Auftragsverarbeiter; Sie brauchen einen Vertrag nach Artikel 28.