Source: https://www.dr-datenschutz.de/einfacher-prozess-zur-durchfuehrung-der-datenschutz-folgenabschaetzung/
Timestamp: 2020-07-10 03:12:48
Document Index: 75722611

Matched Legal Cases: ['Art. 15', 'Art. 6', 'Art. 6', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 39']

Hallo Dr. Datenschutz! Eine Frage, die sich mir bzgl. der DSFA aufdrängt: Kann man bspw. als Kunde oder Mandant die Herausgabe der DSFA oder Einsicht in diese Verlangen? Teilweise sind hier doch sehr viele potentielle Fallstricke drin, die ein Unternehmen nicht unbedingt kund tun möchte. Vielen Dank!
TB am 21. Februar 2019, 16:05 Uhr
Der Auskunftsanspruch nach Art. 15 DSGVO bezieht sich auf die personenbezogenen Daten der betroffenen Person, nicht auf Prozesse des Verantwortlichen. Die Datenschutz-Folgenabschätzung soll dem Verantwortlichen helfen, voraussichtlich hohe Risiken für die Rechte und Freiheiten natürlicher Personen vorherzusehen und mit entsprechenden Maßnahmen gegenzusteuern. Ein Kontrollrecht fällt in diesem Bereich den Aufsichtsbehörden zu, nicht einzelnen Personen.
Dr. Datenschutz am 5. März 2019, 09:30 Uhr
ich bin Geschäftsführer einer kleinen Dienstleistungsfirma. Aktuell beschäftige ich mich mit der Prüfung, ob für unsere Tätigkeiten und Verarbeitungsprozesse eine DS-FA durchzuführen ist. Der Punkt, an dem ich dabei nicht wirklich weiterkomme ist, dass mir nicht ganz klar ist wie ausführlich diese Prüfung dokumentiert werden muss. Die Prüfschritte selbst sind mir bewusst und auch bekannt. Können Sie mir vielleicht an Hand eines Beispiels einen Eindruck vermitteln wie detailliert die Prüfung und das Ergebnis dokumentiert werden muss? Ich gehe davon aus, dass es nicht ausreichend sein wird, in der Dokumentation zu schreiben: „Die Verarbeitung ist nach Art. 6 DS-GVO rechtmäßig, da Art. 6 lit. a) und b) erfüllt sind. Da hier weder eine Fallgruppe des Art. 35 Abs. 3 lit. a) – c) DS-GVO erfüllt ist und die Verarbeitung voraussichtlich auch nicht zu einem hohen Risiko gemäß Art. 35 Abs. 1 DS-GVO (WP 248 der Artikel-29-Datenschutzgruppe) führt, besteht kein hohes Risiko für die Rechte und Freiheiten natürlicher Personen.“
Vielen Dank für Ihre Hilfen und Mühen
Mad am 7. Mai 2020, 17:02 Uhr
Vielen Dank für diese durchaus praxisrelevante Nachfrage. Der erforderliche Umfang der Dokumentation richtet sich im Wesentlichen nach der konkret geprüften Verarbeitungstätigkeit. Die DSGVO trifft keine Aussage über die einer DSFA vorausgehende Prüfung, sondern legt diese Entscheidung in Art. 35 Abs. 2 und Art. 39 Abs. 1 lit. c DSGVO in die Hände der verantwortlichen Stelle, welche ggf. durch den Datenschutzbeauftragten hierbei beraten wird.
Da der Grad der Dokumentation durchaus sehr unterschiedlich ausfallen kann und über diesen Blog eine Rechtsberatung nicht möglich ist, kann eine pauschale Beantwortung hier leider nicht erfolgen. Zu empfehlen ist aber beispielsweise die entsprechende Praxishilfe des GDD e.V., welche auf Seite 6 ein schrittweises Prüfschema enthält, an welchem Sie sich grundsätzlich gut entlangarbeiten können.
Dr. Datenschutz am 11. Mai 2020, 11:41 Uhr