Vorabkontrolle: Überprüfung automatisierter Verfahren

Was ist eine Vorabkontrolle im Datenschutz?

In § 4d Absatz 5 ist im Bundesdatenschutzgesetz (BDSG) die sogenannte Vorabkontrolle für öffentliche und nicht-öffentliche Stellen festgelegt. Was ist hierunter genau zu verstehen?

Eine solche Vorabkontrolle dient dazu, die Risiken für die Rechte und Freiheiten von Personen zu überprüfen, deren Daten automatisiert verarbeitet werden.

Das Ziel der Datenschutz-Vorabkontrolle ist es, vor der Einführung von automatisierten Verfahren deren Gefahren für die Sicherheit der personenbezogenen Daten zu überprüfen.

Wann muss eine Vorabkontrolle durchgeführt werden?

Die Vorabkontrolle nach BDSG ist insbesondere in folgenden Fällen durchzuführen:

1. Bei der Verarbeitung besonderer Arten von personenbezogenen Daten nach § 3 Absatz 9 BDSG.
2. Wenn die Verarbeitung dazu dient, die Persönlichkeit der betreffenden Person (inklusive seiner Fähigkeiten, seiner Leistung und seines Verhaltens) zu bewerten

Mit den im ersten Punkt erwähnten besonderen Arten von personenbezogenen Daten sind diejenigen Informationen gemeint, die in hohem Maße sensibel und daher besonders schützenswert sind. Dazu gehören Angaben über:

• Rassische und ethnische Herkunft
• Politische Meinungen
• Religiöse oder philosophische Überzeugungen
• Gewerkschaftszugehörigkeit
• Gesundheit oder Sexualleben

Ein beispielhafter Fall, in dem es nach Auffassung der Aufsichtsbehörden nötig ist, eine Vorabkontrolle durchzuführen: Videoüberwachung. Dies jedoch nur dann, wenn diese nicht nur punktuell, sondern in größerem Umfang und mit zentraler Steuerung vorgenommen wird.

Wann ist eine Vorabkontrolle nicht notwendig?

Eine Vorabkontrolle muss nicht stattfinden, wenn für die Datenverarbeitung entweder eine gesetzliche Verpflichtung oder Einwilligung der betroffenen Person besteht oder aber die Verarbeitung erforderlich ist, um ein „rechtsgeschäftliches oder rechtsgeschäftsähnliches Schuldverhältnis“ zu beginnen, durchzuführen oder zu beenden.

Wie verläuft eine Vorabkontrolle?

Zuständig für die Durchführung der Vorabkontrolle ist laut § 4d Absatz 6 BDSG der Datenschutzbeauftragte. Zunächst muss er prüfen (z. B. anhand einer Checkliste), ob eine Vorabkontrolle für das betreffende Verfahren überhaupt notwendig ist.

Die empfohlene Gliederung für die Vorabkontrolle umfasst folgende Punkte:

1. Systembeschreibung des Verfahrens
2. Rechtsgrundlage der Datenverarbeitung
3. Gefahrenanalyse
4. Risikoanalyse
5. Datensicherungskonzept

Zur Orientierung kann bei der Vorabkontrolle im Datenschutz folgendes Muster als Beispiel dienen. Es stellt jedoch nur die grobe Gliederung der Prüfpunkte dar. Wichtig ist, dass alle überprüften Punkte stets dokumentiert werden müssen.

Vorabkontrolle im Datenschutz: Muster zum Download

Sie können sich hier für die Vorabkontrolle im Datenschutz ein Muster herunterladen. Beachten Sie: Es dient nur der Orientierung!

Download als .pdf
Download als .doc

(25 Bewertungen, Durchschnitt: 3,96 von 5)

Loading...

Über den Autor

Louisa N.

Louisa hat Informatik an der Hochschule für Technik und Wirtschaft in Berlin studiert und mehrere Jahre im Bereich IT-Sicherheit gearbeitet. Seit 2018 ist sie Redakteurin bei datenschutz.org und unterstützt unser Team mit ihrer Expertise. Ihre Texte befassen sich u. a. mit Themen wie Datenlöschung und Datenrettung.