Zum Hauptinhalt springen

Datenschutz-Folgenabschätzung beginnen: Kontext, Beschreibung, Risiken (Teil 15 der Reihe DSGVO-Dokumentation)

Teil 15 der Video-Reihe "DSGVO-Dokumentation mit preeco": für die Diebstahlortung einer App eine Datenschutz-Folgenabschätzung anlegen, Kontext und Akteure erfassen, die Verarbeitung systematisch beschreiben und Risiken bewerten, ergänzt durch KI-Vorschläge.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video beginnen Sie in preeco | datenschutz eine Datenschutz-Folgenabschätzung: Kontext, Beschreibung und die Bewertung der Risiken. Was kann bei der Diebstahlortung schiefgehen, und wie wahrscheinlich ist das? Eine systematische Beschreibung, die Prüfung von Notwendigkeit und Verhältnismäßigkeit, die Risiken für die Betroffenen und die Maßnahmen dagegen. Den Anstoß gab die Schwellwert-Analyse aus der ersten Staffel: hohes Risiko, eine Folgenabschätzung ist erforderlich. Angelegt wird sie unter Risiken. In der Verarbeitungstätigkeit selbst gibt es dafür keinen Knopf. Bezeichnung und Organisation genügen zum Anlegen. Die Abschnitte führen vom Kontext bis zum Bericht. Im Kontext steht zuerst der Grund, hier das Ergebnis der Schwellwert-Analyse. Darunter die Verarbeitungstätigkeit, um die es geht. Unter Akteure und betroffene Personen steht, wer an der Folgenabschätzung beteiligt ist. Murat Aydın betreibt das Backend der App. Der Datenschutzbeauftragte Thomas Wendler gibt seinen Standpunkt am Ende ab. Kaltenbach hat auch Testnutzer der App gefragt. Sie wollen, dass nur nach einer eigenen Meldung geortet wird. Den Rat des Datenschutzbeauftragten holen Sie ein. Den Standpunkt der Betroffenen, wo es angemessen ist. Die Aspekte der Schwellwert-Analyse übernimmt Lea per Datenübernahme aus der Verarbeitungstätigkeit, statt sie neu zu schreiben. Auch die Beschreibung der Verarbeitung kommt per Datenübernahme. In der systematischen Beschreibung zerlegt Murat den Ablauf in Phasen: Meldung, Ortung, Übermittlung an den Kunden und Löschung. Zu jeder Phase gehören eine Beschreibung und die Systeme, die daran beteiligt sind. Unter Schutzmaßnahmen verweist die Folgenabschätzung auf die TOMs des Unternehmens. In der Beurteilung begründen Sie, warum die Verarbeitung nötig und angemessen ist. Ohne Ortung ist ein gestohlenes Rad kaum wiederzufinden. Und geortet wird nur, wenn der Kunde es will. Dann die Risiken. Zwei hat Lea schon angelegt. Zum Beispiel ein Bewegungsprofil: Jemand ortet ein Rad, das gar nicht gestohlen ist. Die Art der Bedrohung ist ein unbefugter Zugriff. Dazu die Eintrittswahrscheinlichkeit und die Schwere der Auswirkung für die betroffene Person. Bewertet wird das Risiko für die Rechte und Freiheiten der Betroffenen. Ein Imageschaden für Kaltenbach gehört in eine andere Bewertung. Weitere Risiken schlägt die KI vor. Dafür gehen die Daten der Folgenabschätzung an den KI-Anbieter. Personenbezogene Daten gehören nicht in die Hinweise. Drei neue Risiken stehen im Formular. Gespeichert ist noch nichts. Lea liest jeden Vorschlag. Beim Ausfall der Ortung ist ihr die Schwere zu hoch angesetzt. Das Rad ist dann nur zeitweise nicht zu orten. Sie setzt die Schwere auf Begrenzt. Erst mit Speichern stehen die Risiken in der Folgenabschätzung. Die Risikokartierung ordnet alle Risiken nach Wahrscheinlichkeit und Schwere. Oben rechts liegen die hohen Risiken. Beschreiben Sie ein Risiko als Ereignis mit Folge für einen Menschen: Wer erfährt was, und was passiert dann? Ein Wort wie Datenleck lässt sich nicht bewerten. Im nächsten Teil plant Kaltenbach die Maßnahmen und schließt die Folgenabschätzung ab.

Die Schwellwert-Analyse aus der ersten Staffel hat ergeben: Für die Diebstahlortung der App Kaltenbach Ride ist eine Datenschutz-Folgenabschätzung nötig. In diesem Teil legt die Velomanufaktur Kaltenbach sie in preeco | datenschutz an und erfasst den Kontext mit den Beteiligten. Sie übernimmt die Schwellwert-Analyse und die Beschreibung aus der Verarbeitungstätigkeit, zerlegt den Ablauf in Phasen und bewertet die ersten Risiken. Weitere Risiken schlägt die KI vor, und Lea Brandner prüft sie, bevor sie speichert. Dieser Artikel ist Teil 15 der Video-Reihe "DSGVO-Dokumentation mit preeco".

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Die Verarbeitungstätigkeit ist erfasst, mit ausgefüllter Schwellwert-Analyse (Teil 5 und 6 der Reihe).
  • Ihre TOMs sind angelegt (Teil 4).
  • Für "Risikokatalog ergänzen" ist in Ihrem Team die KI-Integration eingerichtet.

Worum es geht

Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen, schätzen Sie vorher ihre Folgen ab (Art. 35 Abs. 1 DSGVO). Die Folgenabschätzung enthält mindestens eine systematische Beschreibung, die Prüfung von Notwendigkeit und Verhältnismäßigkeit, die Risiken für die Betroffenen und die Maßnahmen dagegen (Art. 35 Abs. 7 DSGVO). Die Maßnahmen und den Abschluss zeigt Teil 16.

Die Folgenabschätzung anlegen

  1. Öffnen Sie im Menü Risiken den Eintrag Datenschutz-Folgenabschätzungen. In der Verarbeitungstätigkeit selbst gibt es keinen Knopf dafür.
  2. Klicken Sie auf Neu und dann auf Datenschutz-Folgenabschätzung erstellen.
  3. Geben Sie eine Bezeichnung ein und wählen Sie unter Zugehörigkeit die Organisation. Klicken Sie auf Erstellen.
  4. Die Detailansicht ist in Abschnitte gegliedert: Kontext, Schwellwert-Analyse, Beschreibung, Beurteilung, Bewältigung der Risiken und Bericht. Inhalte ergänzen Sie über Bearbeiten.

Kontext und Beteiligte

  1. Wählen Sie unter Grund für die Durchführung einen Textbaustein oder legen Sie einen an. Bei Kaltenbach steht dort das Ergebnis der Schwellwert-Analyse.
  2. Wählen Sie unter Verarbeitungstätigkeiten die Verarbeitung, um die es geht, hier "Diebstahlortung Kaltenbach Ride".
  3. Legen Sie unter Akteure und betroffene Personen mit Neu die Beteiligten an. Jeder Akteur hat einen Typ des Akteurs, Kontaktdaten, eine Beschreibung der Rolle und einen Standpunkt des Akteurs. Über Aktionen und Aus Kontakten laden übernehmen Sie einen Kontakt.
  4. Kaltenbach erfasst vier Akteure: das Unternehmen als Verantwortlichen, den IT-Leiter Murat Aydın, der das Backend betreibt, den Datenschutzbeauftragten Thomas Wendler und die Nutzerinnen und Nutzer der App. Der Standpunkt der Testnutzer steht schon drin: Geortet werden soll nur nach einer eigenen Diebstahlmeldung. Den Standpunkt des Datenschutzbeauftragten trägt Lea erst am Ende ein.

Den Rat des Datenschutzbeauftragten holen Sie ein, den Standpunkt der Betroffenen, wo es angemessen ist (Art. 35 Abs. 2 und 9 DSGVO).

Schwellwert-Analyse und Beschreibung übernehmen

  1. Setzen Sie im Abschnitt Schwellwert-Analyse bei den risikoerhöhenden und risikoreduzierenden Aspekten das Häkchen Daten aus Verarbeitungstätigkeiten übernehmen. Notwendigkeit und Begründung tragen Sie darunter ein.
  2. Setzen Sie im Abschnitt Beschreibung der Verarbeitungstätigkeit die Häkchen zur Datenübernahme für Zweck, Datenkategorien, Rechtsgrundlage und Löschfristen. Die Felder bleiben im Formular leer, die Inhalte stehen in der Vorschau und im Dokument.
  3. Legen Sie unter Systematische Beschreibung mit Neu die Phasen des Ablaufs an, jeweils mit Name, detaillierter Beschreibung und den beteiligten Informationssystemen. Kaltenbach unterscheidet Meldung, Ortung, Übermittlung an den Kunden und Löschung.
  4. Wählen Sie unter Schutzmaßnahmen die TOMs, auf die sich die Folgenabschätzung stützt.

Risiken bewerten

  1. Begründen Sie im Abschnitt Beurteilung unter Notwendigkeit und Verhältnismäßigkeit, warum die Verarbeitung nötig und angemessen ist.
  2. Klicken Sie unter Risiken auf Neu. Geben Sie eine Bezeichnung, die Art der Bedrohung und eine Beschreibung des Risikos ein. Risikoquellen und mögliche Schäden wählen Sie als Textbausteine.
  3. Wählen Sie die Eintrittswahrscheinlichkeit und die Schwere der Auswirkung für die betroffene Person (Vernachlässigbar, Begrenzt, Wesentlich, Maximal) und klicken Sie auf Übernehmen.

Bewertet wird das Risiko für die Rechte und Freiheiten der Betroffenen. Ein Imageschaden für das Unternehmen gehört in eine andere Bewertung.

Weitere Risiken per KI vorschlagen lassen

  1. Klicken Sie im Abschnitt Risiken auf KI-Aktionen und dann auf Risikokatalog ergänzen. "Risikokatalog vollständig überarbeiten" ersetzt die vorhandenen Risiken.
  2. Die Daten der Folgenabschätzung gehen dabei an den KI-Anbieter. Unter Zusätzliche Hinweise können Sie der KI eine Richtung geben. Personenbezogene Daten gehören nicht hinein. Kaltenbach bittet darum, auch Fehlortungen, die Weitergabe des Standorts an Dritte und einen Ausfall des Backends zu berücksichtigen.
  3. Klicken Sie auf Ja, Risikokatalog ergänzen. Nach einigen Sekunden stehen die Vorschläge im Formular, mit Art der Bedrohung, Bewertung, Risikoquellen und möglichen Schäden. Gespeichert ist noch nichts.
  4. Öffnen Sie jeden Vorschlag und prüfen Sie ihn. Lea setzt beim Ausfall der Ortung die Schwere auf "Begrenzt", denn das Rad ist dann nur zeitweise nicht zu orten. Einen Vorschlag, der nicht passt, entfernen Sie über Aktionen und Löschen.
  5. Klicken Sie auf Speichern. Erst jetzt stehen die Risiken in der Folgenabschätzung.

Die Risikokartierung ordnet alle Risiken nach Eintrittswahrscheinlichkeit und Schadensausmaß. Oben rechts liegen die hohen Risiken. Die Vorschläge der KI sind ein Entwurf: Ob ein Risiko zutrifft und wie hoch es ist, entscheidet ein Mensch, im Zweifel mit dem Datenschutzbeauftragten.

So machen es Praktiker

Beschreiben Sie ein Risiko als Ereignis mit Folge für einen Menschen: Wer erfährt was, und was passiert dann? Ein Wort wie "Datenleck" lässt sich nicht bewerten.

Nächster Schritt

Im nächsten Teil plant Kaltenbach die Maßnahmen gegen die Risiken und schließt die Folgenabschätzung ab.

Alle Teile der Reihe

← Teil 14: Löschregeln und Durchführer · Teil 16: DSFA: Maßnahmen und Bericht →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen
  13. Teil 12: Schutzbedarf ermitteln
  14. Teil 13: Löschkonzept und Löschklassen
  15. Teil 14: Löschregeln und Durchführer
  16. Teil 15: DSFA: Kontext und Risiken (dieser Artikel)
  17. Teil 16: DSFA: Maßnahmen und Bericht
  18. Teil 17: Drittlandtransfer prüfen
  19. Teil 18: Gemeinsame Verantwortlichkeit
  20. Teil 19: Kaltenbach als Auftragsverarbeiter
  21. Teil 20: Betroffenenanfrage bearbeiten
  22. Teil 21: Vorfall erfassen und melden
  23. Teil 22: Aus einem Vorfall lernen
  24. Teil 23: Einwilligungen einholen
  25. Teil 24: Datenschutzschulung durchführen
  26. Teil 25: Cookie-Banner und Datenschutzerklärung
  27. Teil 26: Wiedervorlagen, Aufgaben, Workflows
  28. Teil 27: Anfrage der Aufsichtsbehörde

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Unterlagen für eine Anfrage der Aufsichtsbehörde zusammenstellen (Teil 27 der Reihe DSGVO-Dokumentation) Wiedervorlagen, Aufgaben und Status-Workflows im Alltag (Teil 26 der Reihe DSGVO-Dokumentation) Cookie-Banner und Datenschutzerklärung der Website einrichten (Teil 25 der Reihe DSGVO-Dokumentation) Die jährliche Datenschutzschulung durchführen (Teil 24 der Reihe DSGVO-Dokumentation)
Zurück zu den Kurzanleitungen