Checkliste Vorabkontrolle
Hilfsmittel zur Durchführung
Die Checkliste zur Durchführung der Vorabkontrolle wurde von der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg [1] bereitgestellt und enthält auch Vorarbeiten und Empfehlungen der Datenschutzbeauftragten anderer Bundesländer.
Um eine möglichst allen gerecht werdende Liste zur Verfügung zu stellen, wurden die Hinweise inhaltlich nur in Bezug auf die Paragraphen des Bundesdatenschutzgesetzes angepasst. Einzelne Kriterien sind gem. der Verpflichtungen anzupassen; gleiches gilt bei der Berücksichtigung landesdatenschutzgesetzlicher Vorschriften (zu prüfende Paragraphen sind mit einem * gekennzeichnet). Ebenso sind die Besonderheiten eines konkreten Verfahrens bzw. seines beabsichtigten Einsatzes zu beachten und sowohl Checkliste als auch die Prüfungskriterien entsprechend anzupassen.
Zur Gewährleistung einer vollständigen Dokumentation empfiehlt es sich, die Checkliste inkl. Anmerkungen als Anlage dem Verfahrensverzeichnis beizufügen.
Checkliste
Vorabkontrolle gemäß § 4d BDSG* | |||
Vorabkontrolle (Bezeichnung, Aktenzeichen etc.): ... | |||
Daten verarbeitende Stelle: ... | |||
Geprüftes Verfahren (Bezeichnung, Aktenzeichen etc.): ... | |||
Datenschutzbeauftragter: ... | |||
Zeitraum der Vorabkontrolle: ... | |||
Anlage (Mängelliste etc): ... | |||
1 | Prüfung der Vollständigkeit der Angaben zum Verfahrensverzeichnis gemäß § 4e Nr. 1 bis 9 BDSG* | ||
1.1 | Ist die Bezeichnung des Verfahrens angegeben? | √ Ja oder √ Nein | |
1.2 | Liegen Name und Anschrift der Daten verarbeitenden Stelle vor? | ... Ja | ... Nein |
1.3 | Sind Zweckbestimmung und Rechtsgrundlage der Datenverarbeitung benannt? | ... Ja | ... Nein |
1.4 | Sind die betroffenen Personengruppen und die verarbeiteten Daten oder Datenkategorien aufgeführt? | ... Ja | ... Nein |
1.5 | Sind die Empfänger oder Kategorien der Empfänger, denen die Daten mitgeteilt werden, aufgezählt? | ... Ja | ... Nein |
1.6 | Sind die geplanten Datenübermittlungen an ausländische und internationale Stellen nach § 4b Abs. 2 BDSG* (d.h. andere Stellen als Mitgliedstaaten der EU, Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum oder anderer Organe und Einrichtungen der Union) aufgeführt? | ... Ja | ... Nein |
1.7 | Sind im Falle einer Datenverarbeitung im Auftrag nach § 11 BDSG* die Auftragnehmer genannt? | ... Ja | ... Nein |
1.8 | Sind Regelfristen für die Sperrung und Löschung der Daten dokumentiert? | ... Ja | ... Nein |
1.9 | Sind die technischen und organisatorischen Maßnahmen nach § 9 und Anlage (zu § 9 Satz 1) BDSG* zur Sicherstellung des Schutzes der automatisiert verarbeiteten personenbezogenen Daten aufgeführt? | ... Ja | ... Nein |
1.10 | Sind die eingesetzten Datenverarbeitungsanlagen und die verwendete Software inkl. Versionsstände benannt? | ... Ja | ... Nein |
2 | Allgemeine Prüfung der Angaben zum Verfahrensverzeichnis | ||
2.1 | Ist die Verarbeitung der personenbezogenen Daten des Betroffenen durch die benannte Rechtsgrundlage bzw. die Einwilligung gedeckt? | ... Ja | ... Nein |
2.2 | Sind im Falle der Einwilligungslösung die gesetzlichen Anforderungen an die Wirksamkeit der Einwilligung gem. § 4a BDSG* erfüllt? | ... Ja | ... Nein |
2.3 | Ist die Datenverarbeitung auf die in der Rechtsgrundlage oder Einwilligungserklärung genannten Zwecke beschränkt? | ... Ja | ... Nein |
2.4 | Wurde auf den Grundsatz der Datensparsamkeit gem. § 3a BDSG geachtet? Werden nur die erforderlichen Daten verarbeitet? | ... Ja | ... Nein |
2.5 | Werden - falls möglich – eine Pseudonymisierung oder Anonymisierung personenbezogener Daten verwendet? | ... Ja | ... Nein |
2.6 | Werden personenbezogene Daten nach Gruppen von Betroffenen und nach Zwecken der Datenverarbeitung getrennt verarbeitet (informationelle Gewaltenteilung)? | ... Ja | ... Nein |
2.7 | Ist die Weitergabe von Daten an die jeweils benannten Empfänger rechtlich zulässig? | ... Ja | ... Nein |
2.8 | Liegen die Voraussetzungen für die Übermittlung von Daten an die jeweils benannten ausländischen und internationalen Stellen vor? | ... Ja | ... Nein |
2.9 | Sind die Regelfristen für die Löschung bzw. Sperrung von Daten nachvollziehbar bzw. rechtlich begründet? | ... Ja | ... Nein |
2.10 | Liegt im Falle einer Datenverarbeitung im Auftrag ein schriftlicher Vertrag zwischen Auftraggeber und Auftragnehmer vor? | ... Ja | ... Nein |
2.11 | Erfüllt der Vertrag über die Datenverarbeitung im Auftrag die gesetzlichen Anforderungen? | ... Ja | ... Nein |
3 | Prüfung der Gewährleistung der Rechte der Betroffenen | ||
3.1 | Können Betroffene über die zu ihrer Person gespeicherten Daten erhalten? Wie wird das Auskunftsrecht gem. § 34 BDSG* umgesetzt? | ... Ja | ... Nein |
3.2 | Können Betroffene unrichtige Daten gem. § 35 BDSG* berichtigen lassen? Ist das Verfahren hierzu geregelt? | ... Ja | ... Nein |
3.3 | Werden die Regelfristen für die Löschung bzw. Sperrung von Daten im Verfahren wirksam eingehalten? | ... Ja | ... Nein |
4 | Prüfung der Verfahrensdokumentation | ||
4.1 | Liegt eine hinreichend aussagekräftige und nachvollziehbare Verfahrensdokumentation vor? | ... Ja | ... Nein |
4.2 | Sind die eingesetzten Programme (Hersteller, Version, evtl. Quellcode) dokumentiert? | ... Ja | ... Nein |
4.3 | Sind die Schnittstellen zu anderen Programmen bzw. Verfahren benannt? | ... Ja | ... Nein |
4.4 | Ist für jede Schnittstelle der Umfang und die Richtung der ausgetauschten Daten festgehalten? | ... Ja | ... Nein |
4.5 | Wurde ein aussagekräftiges Betriebshandbuch für das Verfahren erarbeitet? | ... Ja | ... Nein |
4.6 | Existiert eine Benutzerdokumentation für das Verfahren? | ... Ja | ... Nein |
4.7 | Gibt es ein Administrationshandbuch? | ... Ja | ... Nein |
4.8 | Enthält die Dokumentation Anforderungen bzw. Empfehlungen zum datenschutzgerechten Einsatz des Verfahrens? Wurden diese im konkreten Fall beachtet? | ... Ja | ... Nein |
5 | Prüfung der technischen und organisatorischen Maßnahmen zur Gewährleistung des Datenschutzes nach nach § 9 und Anlage § 9 Satz 1 BDSG* | ||
5.1 | Liegen Risikoanalyse und Sicherheitskonzept gem. * vor? | ... Ja | ... Nein |
5.2 | Ist der angegebene Schutzbedarf für die personenbezogenen Daten realistisch und nachvollziehbar? | ... Ja | ... Nein |
5.3 | Wurden Risiken der Datenverarbeitung bzw. des Missbrauchs der Daten im Hinblick auf die Schutzziele (Vertraulichkeit, Integrität, Verfügbarkeit, ...) betrachtet? | ... Ja | ... Nein |
5.4 | Wurden mögliche Folgen der Verletzung der Schutzziele anhand von Schadensszenarien identifiziert und bewertet (z. B. Nachteile für Betroffene, Schadensersatzansprüche, finanzielle Schäden für Daten verarbeitende Stelle, Imageverlust)? | ... Ja | ... Nein |
5.5 | Wurde das Sicherheitskonzept systematisch erarbeitet? Ist es vollständig? | ... Ja | ... Nein |
5.6 | Wird gewährleistet, dass nur Befugte Daten zur Kenntnis nehmen können (Vertraulichkeit)? | ... Ja | ... Nein |
5.7 | Wird gewährleistet, dass Daten während der Verarbeitung unversehrt, vollständig und aktuell bleiben (Integrität)? | ... Ja | ... Nein |
5.8 | Wird gewährleistet, dass Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet werden können (Verfügbarkeit)? | ... Ja | ... Nein |
5.9 | Wird gewährleistet, dass Daten jederzeit ihrem Ursprung zugeordnet werden können (Authentizität)? | ... Ja | ... Nein |
5.10 | Wird gewährleistet, dass festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat (Revisionsfähigkeit)? | ... Ja | ... Nein |
5.11 | Wird gewährleistet, dass die Verfahrensweisen bei der Verarbeitung der Daten vollständig, aktuell und so dokumentiert sind, dass sie in zumutbarer Zeit nachvollzogen werden können (Transparenz)? | ... Ja | ... Nein |
5.12 | Sind die technischen und organisatorischen Maßnahmen zur Beherrschung der Risiken geeignet und angemessen? | ... Ja | ... Nein |
5.13 | Wurden im Falle hohen oder sehr hohen Schutzbedarfs ergänzende Sicherheitsmaßnahmen vorgesehen? | ... Ja | ... Nein |
5.14 | Entsprechen die aus den Risiken abgeleiteten Maßnahmen dem aktuellen Stand der Technik? | ... Ja | ... Nein |
5.15 | Sind die einzelnen Maßnahmen umgesetzt bzw. existiert ein Realisierungsplan für noch nicht umgesetzte Maßnahmen? | ... Ja | ... Nein |
5.16 | Können die identifizierten Risiken mit den abgeleiteten und umgesetzten Maßnahmen beherrscht werden? | ... Ja | ... Nein |
5.17 | Wurde das verbleibende Restrisiko abgeschätzt? | ... Ja | ... Nein |
5.18 | Ist das verbleibende Restrisiko tragbar? | ... Ja | ... Nein |
6 | Prüfung der Angaben zur Erprobung des Verfahrens | ||
6.1 | Wurde das Verfahren vor der Aufnahme der Verarbeitung personenbezogener Daten erprobt/getestet? | ... Ja | ... Nein |
6.2 | Sind die Ergebnisse der Verfahrenstests dokumentiert und nachvollziehbar? | ... Ja | ... Nein |
6.3 | Sind alle Mängel, die während der Tests erkannt wurden, abgestellt? | ... Ja | ... Nein |
6.4 | Wurden nach Änderungen des Verfahrens alle erforderlichen Tests erneut durchgeführt? | ... Ja | ... Nein |
7 | Abschluss der Vorabkontrolle | ||
7.1 | Die Vorabkontrolle lieferte ein positives Ergebnis. Die geplante Verarbeitung personenbezogener Daten ist rechtlich zulässig und die ergriffenen Sicherheitsmaßnahmen sind zur Beherrschung der vorhandenen Risiken geeignet und angemessen. Die Anforderungen des Bundesdatenschutzgesetzes* werden erfüllt. | ... Ja | ... Nein |
7.2 | Die Vorabkontrolle lieferte ein negatives Ergebnis. Die geplante Verarbeitung personenbezogener Daten ist rechtlich nicht zulässig oder die ergriffenen Sicherheitsmaßnahmen sind zur Beherrschung der vorhandenen Risiken nicht ausreichend. Das Verfahren darf nicht freigegeben werden. | ... Ja | ... Nein |
7.3 | Das Ergebnis der Vorabkontrolle wird zum Ausgangspunkt für eine Beseitigung der festgestellten Mängel genommen. Bis zur Beseitigung der Mängel wird das Verfahren nicht eingesetzt. Zu gegebener Zeit ist die Vorabkontrolle zu wiederholen. | ... Ja | ... Nein |
8 | Freigabe des Verfahrens | ||
8.1 | Das Verfahren kann nach positiv abgeschlossener Vorabkontrolle durch die Daten verarbeitende Stelle freigegeben werden. | ... Ja | ... Nein |
Anmerkungen, Mängelliste
Für die Zwecke der vollständigen Dokumentation kann, sofern die Bemerkungen oder Mängel nicht in der Checkliste gepflegt werden sollen, eine eigenständige Liste mit Anmerkungen oder Mängeln angefertigt werden.
Mängelliste zur Vorabkontrolle gemäß § 4d BDSG* | |||||
Anlage Nr. ... | |||||
Vorabkontrolle (Bezeichnung, Aktenzeichen etc.): ... | |||||
Geprüftes Verfahren (Bezeichnung, Aktenzeichen etc.): ... | |||||
Zeitraum der Vorabkontrolle: ... | |||||
Zeitraum für Beseitigung der Mängel: ... | |||||
1 | Prüfung der Vollständigkeit der Angaben zum Verfahrensverzeichnis gemäß § 4e Nr. 1 bis 9 BDSG* | ||||
1.1 | Bemerkungen zu Mängeln, Hindernissen; Begründungen ... | beseitigt: √ Ja oder √ Nein, Datum | |||
1.3 | Zweckbestimmung: Konkretisierung muss erfolgen, Betroffenenkreis und regelmäßig wesentliche Auswirkungen anschließend neu einschätzen | ... Ja | √ Nein | 30.05.2013 | |
... weitere Auflistung je nach Erforderlichkeit. |
Weitere Infos
Verfahrensverzeichnisse und Meldepflichten
Einzelnachweise
- ^ Checklisten der LDA Brandenburg zu den Themen Vorabkontrolle, Datenverarbeitung im Auftrag, Wartung durch externe Dritte, zuletzt abgerufen 19.04.2016
Online-Kommentare
§ 4d BDSG Kommentar Absatz 5 bis 6
Dieser Text wurde aus dem Datenschutz-Wiki der BfDI übernommen. Bearbeitungen vor dem 16.April 2016 stehen unter der Lizenz Creative Commons Namensnennung 3.0 Deutschland.