Zum Hauptinhalt springen

Datenschutz-Folgenabschätzung abschließen: Maßnahmen und Bericht (Teil 16 der Reihe DSGVO-Dokumentation)

Teil 16 der Video-Reihe "DSGVO-Dokumentation mit preeco": Abhilfemaßnahmen zu den Risiken planen, KI-Vorschläge prüfen, den Bericht schreiben, den Standpunkt des Datenschutzbeauftragten festhalten und die Folgenabschätzung mit dem Status Akzeptabel abschließen.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video planen Sie in preeco | datenschutz die Maßnahmen Ihrer Datenschutz-Folgenabschätzung und schließen sie mit Bericht und dem Standpunkt des Datenschutzbeauftragten ab. Was tun wir gegen die Risiken, und reicht das? Fünf Risiken hat Kaltenbach bewertet. Zwei davon gelten als hoch. Eines davon ist die Weitergabe: Ein Kunde gibt den Standort aus der App an andere Personen weiter. Gegen die Risiken plant Lea unter Bewältigung der Risiken die Maßnahmen. Die erste kommt von Murat: Die Ortung lässt sich erst nach einer Diebstahlmeldung einschalten. Das Schutzziel ist Nichtverkettbarkeit und Zweckbindung. Die Standortdaten dienen nur der Suche nach dem Rad. Jede Maßnahme bezieht sich auf ein Risiko, diese auf das Bewegungsprofil. Was genau umgesetzt wird, beschreibt ein Textbaustein. Dazu kommen, wer die Maßnahme umsetzt, bis wann, und wie weit sie ist. Mit einem Namen und einem Termin lässt sich prüfen, ob eine Maßnahme umgesetzt ist. Weitere Maßnahmen schlägt die KI vor, passend zu den Risiken. Dafür gehen die Daten der Folgenabschätzung an den KI-Anbieter. Die Vorschläge kommen ins Formular, Lea prüft sie vor dem Speichern. Fünf Vorschläge stehen im Formular. Jeder ist schon einem Risiko zugeordnet. Lea öffnet den Vorschlag zur Weitergabe. Als Zuständigkeit nennt die KI nur Abteilungen. Lea trägt eine Person und einen Termin ein. Das kann nur Kaltenbach wissen. Mit Speichern stehen die Maßnahmen in der Folgenabschätzung. In der Detailansicht steht jede Maßnahme mit ihrem Risiko, der Zuständigkeit und dem Stand. Bleibt trotz der Maßnahmen ein hohes Risiko, muss Kaltenbach vor dem Start die Aufsichtsbehörde konsultieren. Im Bericht fasst Lea das Ergebnis zusammen: Mit den Maßnahmen ist das verbleibende Risiko begrenzt. Thomas Wendler hat die Folgenabschätzung gelesen. Seinen Standpunkt trägt Lea beim Akteur ein. Er hält das Restrisiko für vertretbar, solange die Ortung erst nach einer Meldung startet. In zwölf Monaten will er die Bewertung wiedersehen. Zum Schluss setzt Lea den Status auf Akzeptabel. Bleibt ein Risiko zu hoch, wäre es Handeln und Prüfen oder Inakzeptabel. Status und Standpunkt halten fest, wie die Folgenabschätzung ausgegangen ist. Eine Wiedervorlage erinnert in einem Jahr an die Überprüfung. Ändert sich die Verarbeitung, prüfen Sie die Folgenabschätzung erneut, auch vor dem Termin. Über Aktionen laden Sie die Folgenabschätzung als PDF herunter. Das Dokument enthält alle Abschnitte, die Risikokartierung und die Maßnahmen. Auch die Standpunkte stehen darin, der des Datenschutzbeauftragten und der der Testnutzer. Beginnen Sie die Folgenabschätzung, bevor die Funktion fertig gebaut ist. Dann können die Maßnahmen noch in die App einfließen. Im nächsten Teil geht es um den Newsletter und die Daten, die dafür in die USA gehen.

Fünf Risiken hat die Velomanufaktur Kaltenbach für die Diebstahlortung der App Kaltenbach Ride bewertet, zwei davon hoch. In diesem Teil plant sie in preeco | datenschutz die Maßnahmen dagegen. Weitere Maßnahmen schlägt die KI vor, und Lea Brandner prüft sie, bevor sie speichert. Danach fasst sie das Ergebnis im Bericht zusammen, trägt den Standpunkt des Datenschutzbeauftragten ein und schließt die Folgenabschätzung mit dem Status "Akzeptabel" ab. Dieser Artikel ist Teil 16 der Video-Reihe "DSGVO-Dokumentation mit preeco".

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Die Datenschutz-Folgenabschätzung ist angelegt, mit Kontext, Beschreibung und bewerteten Risiken (Teil 15 der Reihe).
  • Für "Abhilfemaßnahmen ergänzen" ist in Ihrem Team die KI-Integration eingerichtet.

Worum es geht

Zur Folgenabschätzung gehören die Maßnahmen, mit denen Sie den Risiken begegnen wollen, einschließlich Garantien und Sicherheitsvorkehrungen (Art. 35 Abs. 7 lit. d DSGVO). Bleibt trotz der Maßnahmen ein hohes Risiko, konsultieren Sie vor Beginn der Verarbeitung die Aufsichtsbehörde (Art. 36 Abs. 1 DSGVO).

Eine Maßnahme anlegen

  1. Öffnen Sie die Folgenabschätzung und klicken Sie auf Bearbeiten. Im Abschnitt Bewältigung der Risiken klicken Sie unter Maßnahmen auf Neu.
  2. Geben Sie eine Bezeichnung ein und wählen Sie das Schutzziel, etwa "Nichtverkettbarkeit und Zweckbindung".
  3. Wählen Sie unter Bezieht sich auf folgendes Risiko das Risiko, gegen das die Maßnahme wirkt.
  4. Beschreiben Sie unter Maßnahmen mit einem Textbaustein, was genau umgesetzt wird.
  5. Tragen Sie die Zuständigkeit für die Umsetzung, die Planung der Umsetzung bis und den Status der Umsetzung ein und klicken Sie auf Übernehmen.

Bei Kaltenbach kommt die erste Maßnahme von IT-Leiter Murat Aydın: Die Ortung lässt sich erst nach einer Diebstahlmeldung einschalten. Mit einem Namen und einem Termin lässt sich später prüfen, ob eine Maßnahme umgesetzt ist.

Weitere Maßnahmen per KI vorschlagen lassen

  1. Klicken Sie unter Maßnahmen auf KI-Aktionen und dann auf Abhilfemaßnahmen ergänzen. "Abhilfemaßnahmen vollständig überarbeiten" ersetzt die vorhandenen Maßnahmen.
  2. Die Daten der Folgenabschätzung gehen dabei an den KI-Anbieter. Klicken Sie auf Ja, Abhilfemaßnahmen ergänzen.
  3. Nach einigen Sekunden stehen die Vorschläge im Formular, jeder mit Schutzziel, Risiko und Textbausteinen. Gespeichert ist noch nichts.
  4. Öffnen Sie jeden Vorschlag und prüfen Sie ihn. Als Zuständigkeit nennt die KI nur Abteilungen. Lea trägt beim Vorschlag zur Weitergabe des Standorts eine Person und einen Termin ein, denn das kann nur das Unternehmen selbst wissen.
  5. Klicken Sie auf Speichern. In der Detailansicht steht dann jede Maßnahme mit ihrem Risiko, der Zuständigkeit und dem Stand.

Die Vorschläge der KI sind ein Entwurf. Ob eine Maßnahme passt und umsetzbar ist, entscheidet ein Mensch.

Bericht, Standpunkt und Status

  1. Klicken Sie im Abschnitt Bericht unter Berichte auf Neu. Fassen Sie unter Beschreibung das Ergebnis zusammen und klicken Sie auf Übernehmen. Name und Datum setzt preeco selbst.
  2. Öffnen Sie unter Kontext bei Akteure und betroffene Personen den Datenschutzbeauftragten und tragen Sie unter Standpunkt des Akteurs seine Einschätzung ein. Bei Kaltenbach hält Thomas Wendler das Restrisiko für vertretbar, solange die Ortung erst nach einer Meldung startet, und möchte die Bewertung in zwölf Monaten wiedersehen.
  3. Setzen Sie unter Allgemein den Status auf Akzeptabel. Bleibt ein Risiko zu hoch, wählen Sie "Handeln / Prüfen" oder "Inakzeptabel".
  4. Klicken Sie auf Speichern. Status und Standpunkt halten fest, wie die Folgenabschätzung ausgegangen ist.

Wiedervorlage und Dokument

  1. Klicken Sie auf der Karte Wiedervorlage auf das Menü. Wählen Sie Status Aktiv, ein Datum in einem Jahr, die Wiederholung Jährlich und unter Zugewiesen an die zuständige Person. Bei Fälligkeit entsteht eine Aufgabe.
  2. Über Aktionen und Download als PDF laden Sie die Folgenabschätzung herunter. Das Dokument enthält alle Abschnitte, die Risikokartierung, die Maßnahmen und die Standpunkte der Akteure.

Ändert sich die Verarbeitung, prüfen Sie die Folgenabschätzung erneut, auch vor dem Termin (Art. 35 Abs. 11 DSGVO).

So machen es Praktiker

Beginnen Sie die Folgenabschätzung, bevor die Funktion fertig gebaut ist. Dann können die Maßnahmen noch in die App einfließen.

Nächster Schritt

Im nächsten Teil geht es um den Newsletter und die Daten, die dafür in die USA gehen.

Alle Teile der Reihe

← Teil 15: DSFA: Kontext und Risiken · Teil 17: Drittlandtransfer prüfen →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen
  13. Teil 12: Schutzbedarf ermitteln
  14. Teil 13: Löschkonzept und Löschklassen
  15. Teil 14: Löschregeln und Durchführer
  16. Teil 15: DSFA: Kontext und Risiken
  17. Teil 16: DSFA: Maßnahmen und Bericht (dieser Artikel)
  18. Teil 17: Drittlandtransfer prüfen
  19. Teil 18: Gemeinsame Verantwortlichkeit
  20. Teil 19: Kaltenbach als Auftragsverarbeiter
  21. Teil 20: Betroffenenanfrage bearbeiten
  22. Teil 21: Vorfall erfassen und melden
  23. Teil 22: Aus einem Vorfall lernen
  24. Teil 23: Einwilligungen einholen
  25. Teil 24: Datenschutzschulung durchführen
  26. Teil 25: Cookie-Banner und Datenschutzerklärung
  27. Teil 26: Wiedervorlagen, Aufgaben, Workflows
  28. Teil 27: Anfrage der Aufsichtsbehörde

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Unterlagen für eine Anfrage der Aufsichtsbehörde zusammenstellen (Teil 27 der Reihe DSGVO-Dokumentation) Wiedervorlagen, Aufgaben und Status-Workflows im Alltag (Teil 26 der Reihe DSGVO-Dokumentation) Cookie-Banner und Datenschutzerklärung der Website einrichten (Teil 25 der Reihe DSGVO-Dokumentation) Die jährliche Datenschutzschulung durchführen (Teil 24 der Reihe DSGVO-Dokumentation)
Zurück zu den Kurzanleitungen