Ablauf

Datenschutz in einem neuen IT-Vorhaben

Datenschutz gehört in ein neues Vorhaben von Anfang an und nicht in die Abnahme. Wer ihn erst am Ende aufruft, verschiebt keine Aufgabe, sondern verliert die Gestaltungsspielräume, die vorher offenstanden. Einzelne Zeitpunkte stehen zudem im Gesetz und nicht im Projektplan. Sie richten sich nicht nach dem Termin für die Inbetriebnahme.

Der Datenschutz kommt zuletzt

Die Entscheidung für das System ist gefallen, der Vertrag liegt beim Einkauf, der Termin für die Inbetriebnahme steht im Projektplan. Ob datenschutzrechtlich etwas zu tun ist, hat bisher niemand beantwortet. Damit beginnt der Zeitdruck an der falschen Stelle, denn die Prüfung hält ein Vorhaben auf, in dem sie nicht vorgesehen war. Zugleich sind die Mittel, ein datenschutzrechtliches Problem zu vermeiden, mit der Auswahl weitgehend verbraucht. Nach einem Rollout kostet jede Änderung zusätzlich Migration und Ausfall.

Der Ablauf, der Nacharbeit erspart

Wann der Datenschutz in ein Vorhaben gehört, beantwortet der Ablauf selbst. Fünf Schritte stehen ohnehin an. In jedem von ihnen fällt eine Entscheidung, die dort weniger kostet als später.

Ein Vorhaben, in dem der Datenschutz mitläuft

Bedarf beschreiben
Welche Aufgabe das System lösen soll und welche Daten es dafür braucht. Was es nicht braucht, gehört ebenso in die Beschreibung.
Anforderungen festlegen
Datenkategorien, Verarbeitungsort, Speicherfristen, Löschroutinen und Rollenrechte werden Teil der Ausschreibung. Art. 25 Abs. 1 DSGVO verlangt die Maßnahmen zum Zeitpunkt der Festlegung der Mittel.
Anbieter prüfen
Nach Art. 28 Abs. 1 DSGVO darf nur mit Auftragsverarbeitern gearbeitet werden, die hinreichende Garantien bieten. Die Prüfung gehört hierher, denn hier gibt es noch eine Alternative.
Vertrag schließen
Der Vertrag nach Art. 28 Abs. 3 DSGVO wird vor dem Beginn der Verarbeitung geschlossen. Sein Entwurf ist vor der Zusage zu lesen.
Konfigurieren und in Betrieb nehmen
Die Voreinstellungen nach Art. 25 Abs. 2 DSGVO werden gesetzt, die Folgenabschätzung ist abgeschlossen und der Eintrag im Verzeichnis nach Art. 30 Abs. 1 DSGVO steht.

Wer erst nach der Auswahl einsteigt, überspringt die ersten drei Schritte. Was dann noch offensteht, fällt kleiner aus als erwartet.

Was wann noch offen ist

Vor der Auswahl	Merkmal	Nach der Auswahl
WählbarZwischen zwei Erzeugnissen liegen oft ganze Datenkategorien, etwa Standort, Nutzungsprotokoll oder biometrische Merkmale.	Welche Daten überhaupt anfallen	Gegeben
WählbarRechenzentrum, Unterauftragnehmer und Fernwartung folgen dem Erzeugnis und lassen sich später selten ändern.	Wo verarbeitet wird	Meist gegeben
WählbarOb ein Erzeugnis Speicherfristen, Sichtbarkeiten und Löschroutinen überhaupt kennt, entscheidet sich mit ihm.	Speicherfristen und Sichtbarkeiten	Nur soweit vorgesehenArt. 25 Abs. 2 DSGVO verlangt datenschutzfreundliche Voreinstellungen. Einstellen lässt sich aber nur, was das Erzeugnis vorsieht. Eine Löschroutine fehlt häufig ganz. Dann bleibt allein das Löschen von Hand.
Ein AuswahlkriteriumWer den Vertragsentwurf vor der Auswahl liest, kann ihn gegen den eines anderen Anbieters abwägen.	Weisungen und Kontrollrechte	Oft vorgegebenDer Vertrag nach Art. 28 Abs. 3 DSGVO ist zu schließen. Verhandelbar ist er damit nicht. Anbieter von Standardsoftware legen ihn als Bedingung vor.

Nach Art. 28 Abs. 1 DSGVO darf nur mit Auftragsverarbeitern gearbeitet werden, die hinreichend Garantien bieten. Diese Beurteilung gehört deshalb in die Auswahl und nicht in die Abnahme.

Eine Zertifizierung des Anbieters nimmt diese Beurteilung nicht ab. Art. 28 Abs. 5 DSGVO bestimmt, dass sie als Faktor herangezogen werden kann, um hinreichende Garantien nachzuweisen. Sie ersetzt die Beurteilung nicht. Über die Konfiguration im eigenen Betrieb sagt sie nichts.

Was ein Zeitplan nicht verhandelt

Welche Fristen der Zeitplan nicht verschieben kann, ist die Frage, deren Antwort in Projektplänen am häufigsten fehlt. Drei Zeitpunkte stehen in der Verordnung und nicht im Projekt. Sie hängen nicht voneinander ab, sondern jeder an einer eigenen Vorschrift.

Frühzeitige Einbindung

Art. 38 Abs. 1 DSGVO verlangt, die Datenschutzbeauftragten frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen einzubinden. Eine Vorlage zur Abnahme erfüllt das nicht.

Folgenabschätzung vorab

Art. 35 Abs. 1 DSGVO verlangt sie vor der Verarbeitung. Nach den Leitlinien der Aufsichtsbehörden beginnt sie so früh wie praktikabel, auch wenn einzelne Vorgänge noch offen sind.

Bis zu 14 Wochen für die Konsultation

Bleibt ein hohes Risiko, ist die Aufsichtsbehörde nach Art. 36 Abs. 1 DSGVO vor der Verarbeitung zu konsultieren. Sie hat acht Wochen, verlängerbar um sechs. Diese Dauer liegt nicht im eigenen Betrieb.

Der häufigste Einwand gegen eine frühe Prüfung lautet, es stehe noch nicht genug fest. Die Leitlinien der Aufsichtsbehörden beantworten ihn ausdrücklich. Dass die Abschätzung später fortzuschreiben ist, ist kein Grund, sie aufzuschieben. Ob die Konsultation überhaupt eintritt, zeigt erst die Abschätzung. Deshalb hängt der Zeitplan an ihrem Beginn und nicht an ihrem Ende.

Häufige Fragen

Wann ist es für eine Prüfung zu spät?

Für eine wirksame Gestaltung ist der späteste Zeitpunkt die Auswahl, denn Art. 25 Abs. 1 DSGVO knüpft die Maßnahmen an die Festlegung der Mittel. Für die Rechtmäßigkeit ist der späteste Zeitpunkt der Beginn der Verarbeitung. Danach lässt sich beides nachholen, aber der Zeitraum dazwischen bleibt ungedeckt und steht in der Rechenschaftspflicht.

Genügt die Zertifizierung des Anbieters?

Als Nachweis genügt sie nicht. Art. 28 Abs. 5 DSGVO bestimmt, dass ein genehmigtes Zertifizierungsverfahren als Faktor herangezogen werden kann, um hinreichende Garantien nachzuweisen. Die Beurteilung bleibt beim Verantwortlichen. Sie hängt an der konkreten Konfiguration und den vereinbarten Weisungen.

Muss die Folgenabschätzung fertig sein, bevor das Vorhaben beginnt?

Sie muss vor der Verarbeitung durchgeführt sein, nicht vor dem Projektbeginn. Nach den Leitlinien der Aufsichtsbehörden ist sie so früh wie praktikabel zu beginnen, auch wenn einzelne Verarbeitungsvorgänge noch nicht feststehen. Sie wird im Laufe des Vorhabens fortgeschrieben. Dass später eine Aktualisierung nötig wird, ist ausdrücklich kein Grund, sie aufzuschieben.

Was passiert, wenn die Abschätzung ein hohes Risiko ergibt?

Bleibt das hohe Risiko trotz Abhilfemaßnahmen bestehen, ist die Aufsichtsbehörde nach Art. 36 Abs. 1 DSGVO vor der Verarbeitung zu konsultieren. Sie hat dafür bis zu acht Wochen. Die Frist kann um sechs Wochen verlängert werden. Ein Zeitplan, der diesen Fall nicht vorsieht, hat ihn nicht abgeschafft.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.