DSFA, Löschkonzept und Verzeichnis

Start › IT-Recht › Datenschutz › DSFA, Löschkonzept und Verzeichnis

Datenschutz-Folgenabschätzung, Verzeichnis der Verarbeitungstätigkeiten und Löschkonzept sind die Dokumente, die Aufsichtsbehörden zuerst anfordern. Sie sind zugleich das Fundament, um die eigene Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu erfüllen. Wir erstellen und prüfen diese Unterlagen gemeinsam mit Fachabteilung, IT und Datenschutzbeauftragtem.

Datenschutz-Folgenabschätzung nach Art. 35 DSGVO

Eine DSFA ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen hat. Die DSGVO nennt drei Regelbeispiele: systematische und umfassende Bewertung persönlicher Aspekte mit Rechtswirkung, umfangreiche Verarbeitung besonderer Kategorien von Daten und systematische umfangreiche Überwachung öffentlicher Bereiche. Die deutschen Aufsichtsbehörden haben zusätzlich eine Liste von Verarbeitungen veröffentlicht, für die stets eine DSFA nötig ist (Muss-Liste nach Art. 35 Abs. 4).

Typische Anlässe sind KI-Systeme mit Personenbezug, Microsoft 365 Copilot, umfangreiche Mitarbeiterüberwachung, Scoring, Videoüberwachung, Gesundheits-Apps, Ortungsdaten und Bewerbermanagement mit automatisierter Vorauswahl. Für Hochrisiko-KI-Systeme verlangt die KI-Verordnung von bestimmten Betreibern zusätzlich eine Grundrechte-Folgenabschätzung; beide Prüfungen lassen sich verbinden.

Ablauf einer DSFA

1. Schwellwertanalyse: Ist eine DSFA überhaupt erforderlich? Ergebnis dokumentieren.
2. Systematische Beschreibung der Verarbeitung, Zwecke und berechtigten Interessen.
3. Bewertung von Notwendigkeit und Verhältnismäßigkeit.
4. Risikoanalyse nach Eintrittswahrscheinlichkeit und Schwere.
5. Abhilfemaßnahmen festlegen und Restrisiko bewerten.
6. Stellungnahme des Datenschutzbeauftragten einholen, bei verbleibendem hohem Risiko die Aufsichtsbehörde konsultieren (Art. 36).

Die DSFA ist vor Beginn der Verarbeitung durchzuführen und bei wesentlichen Änderungen zu aktualisieren. Eine fehlende DSFA ist ein eigenständiger Verstoß mit Bußgeldrahmen nach Art. 83 Abs. 4.

Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Jeder Verantwortliche und jeder Auftragsverarbeiter führt ein Verzeichnis. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift praktisch kaum, weil sie nicht gilt, sobald regelmäßig verarbeitet wird; das ist bei Personal- und Kundendaten immer der Fall. Für jede Verarbeitungstätigkeit gehören hinein:

• Zwecke und Rechtsgrundlage;
• Kategorien betroffener Personen und Daten;
• Empfänger einschließlich Auftragsverarbeitern;
• Drittlandübermittlungen und Garantien;
• Löschfristen;
• allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage vorzulegen. Ein gut gepflegtes Verzeichnis erleichtert zudem die Beantwortung von Auskunftsersuchen und die Bewertung von Datenpannen erheblich.

Löschkonzept nach DIN 66398

Personenbezogene Daten sind zu löschen, sobald sie für den Zweck nicht mehr erforderlich sind (Art. 17, Art. 5 Abs. 1 lit. e DSGVO). Gleichzeitig verlangen Handels- und Steuerrecht Aufbewahrung, in der Regel sechs, acht oder zehn Jahre nach § 257 HGB und § 147 AO. Ein Löschkonzept bringt beides zusammen. Bewährt hat sich die Methodik der DIN 66398: Datenarten bilden, Löschklassen mit Regelfristen und Startzeitpunkten zuordnen, Verantwortliche und Umsetzung je System festlegen.

Schwierig sind meist Backups, Altsysteme ohne Löschfunktion, E-Mail-Archive und Cloud-Dienste. Hier sind technische Lösungen wie Sperrung, Verschlüsselung oder Löschung beim Rückspielen zu dokumentieren. Behörden haben in der Vergangenheit hohe Bußgelder gerade wegen fehlender Löschroutinen verhängt.

So gehen wir vor

• Bestandsaufnahme in Workshops mit Fachabteilungen und IT.
• Erstellung oder Überarbeitung von Verzeichnis, Löschkonzept und DSFA, auf Wunsch in Ihrem bestehenden Tool.
• Rechtliche Bewertung von Risiken und Abhilfemaßnahmen, Vorbereitung einer Konsultation nach Art. 36.
• Prüfung vorhandener Dokumentation vor einer Behördenprüfung oder Due Diligence.

Häufige Fragen

Wer führt die DSFA durch?

Verantwortlich ist das Unternehmen selbst. Der Datenschutzbeauftragte berät und überwacht, schreibt die DSFA aber nicht allein. Auftragsverarbeiter müssen unterstützen.

Gibt es eine Vorlage für das Verzeichnis?

Die Aufsichtsbehörden stellen Muster bereit. Sie sind ein guter Ausgangspunkt, müssen aber auf die tatsächlichen Prozesse zugeschnitten werden.

Wie oft muss die Dokumentation aktualisiert werden?

Bei jeder wesentlichen Änderung, etwa neuer Software oder neuem Dienstleister, und unabhängig davon in regelmäßigen Abständen, sinnvollerweise jährlich.

Verwandte Themen

• Microsoft 365 und Copilot
• KI im Unternehmen einsetzen
• Beschäftigtendatenschutz
• Auftragsverarbeitung
• Compliance