Was prüfen deutsche Datenschutzbeauftragte bei Freigabeprozessen?

Das Wichtigste auf einen Blick

• Aufsichtsbehörden prüfen Freigabeprozesse anhand von Prüffragen zu Rechtsgrundlage, Zweckbindung, Datenminimierung und Dokumentation.
• Der BfDI und die Landesbeauftragten für Datenschutz haben unterschiedliche Zuständigkeiten, prüfen aber nach ähnlichen Maßstäben.
• Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung der Grundsätze nachweisen können.
• Dokumentation ist kein Selbstzweck: Sie muss den tatsächlichen Prozess abbilden und aktuell sein.
• Typische Beanstandungen betreffen fehlende Rechtsgrundlagen, unklare Verantwortlichkeiten und unvollständige Löschkonzepte.
• Ein Praxisbeispiel zeigt, wie ein Freigabeprozess Schritt für Schritt DSGVO-konform aufgebaut wird.

Wer in Deutschland Freigabeprozesse datenschutzrechtlich prüft

Die Aufsicht über den Datenschutz liegt in Deutschland bei mehreren Behörden. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist zuständig für Bundesbehörden, Telekommunikations- und Postunternehmen sowie für bestimmte Bereiche der Sozialversicherung. Für private Unternehmen und öffentliche Stellen der Länder sind die Landesbeauftragten für Datenschutz und Informationsfreiheit zuständig.

Diese Aufteilung bedeutet: Je nach Branche und Sitz des Unternehmens kann eine andere Behörde prüfen. Ein Unternehmen mit Sitz in Bayern fällt unter den Bayerischen Landesbeauftragten für den Datenschutz, ein Bundesamt unter den BfDI. Die Datenschutzkonferenz (DSK), in der Bund und Länder zusammenarbeiten, sorgt für einheitliche Prüfmaßstäbe.

Freigabeprozesse sind Abläufe, in denen interne Stellen die Nutzung personenbezogener Daten oder den Einsatz von IT-Systemen genehmigen. Geprüft wird, ob diese Prozesse die Vorgaben der DSGVO einhalten. Die Behörden schauen nicht nur auf das Ergebnis, sondern auf den Weg dorthin.

Die rechtlichen Grundlagen finden sich im Grundgesetz, in der DSGVO und im Bundesdatenschutzgesetz (BDSG). Amtliche Volltexte stellt die Plattform Gesetze im Internet bereit, die als offizielle Quelle für das Datenschutzrecht dient. Ergänzend können Sie die amtliche Volltextsuche nutzen, um einzelne Normen oder auch die GoBD zu finden.

Konkrete Prüffragen der Aufsichtsbehörden

Die Aufsichtsbehörden arbeiten mit standardisierten Prüffragen. Diese Fragen zielen auf die Rechtmäßigkeit, Transparenz und Nachvollziehbarkeit von Freigabeprozessen. Die folgenden Prüffragen tauchen in vielen Prüfberichten und Orientierungshilfen auf.

1. Auf welcher Rechtsgrundlage erfolgt die Datenverarbeitung? Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Bei besonderen Kategorien gilt Art. 9 DSGVO. Die Behörde fragt, ob die Rechtsgrundlage dokumentiert und im Freigabeprozess nachvollziehbar ist.

2. Wurde der Zweck klar definiert und wird er eingehalten? Zweckbindung bedeutet, dass Daten nur für den festgelegten Zweck verwendet werden. Die Behörde prüft, ob der Freigabeprozess sicherstellt, dass keine Zweckänderung ohne neue Rechtsgrundlage stattfindet.

3. Sind die Datenminimierung und Speicherbegrenzung gewährleistet? Es ist zu prüfen, ob nur die notwendigen Daten verarbeitet werden und ob Löschfristen im Prozess verankert sind. Die Behörde fragt nach konkreten Fristen und deren Überwachung.

4. Wer ist für die Freigabe verantwortlich und wie wird das dokumentiert? Die Verantwortlichkeit muss klar sein. Die Behörde will wissen, wer die Freigabe erteilt, auf welcher Grundlage und wie der Vorgang revisionssicher dokumentiert wird.

5. Wurde eine Datenschutz-Folgenabschätzung durchgeführt, falls erforderlich? Bei hohem Risiko für die Rechte und Freiheiten natürlicher Personen ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht. Die Behörde prüft, ob der Freigabeprozess dies abfragt.

6. Wie werden Betroffenenrechte im Prozess berücksichtigt? Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch müssen gewährleistet sein. Die Behörde fragt, wie diese Rechte im Freigabeprozess gesichert werden.

7. Ist die technische und organisatorische Sicherheit angemessen? Nach Art. 32 DSGVO sind angemessene Sicherheitsmaßnahmen zu treffen. Der BSI IT-Grundschutz bietet hierfür einen anerkannten Rahmen, den Aufsichtsbehörden als Orientierung heranziehen.

8. Wie wird die Einhaltung überwacht und verbessert? Die Behörde will wissen, ob es regelmäßige Überprüfungen gibt und wie Mängel behoben werden. Ein Freigabeprozess ohne Kontrollmechanismus gilt als unzureichend.

9. Sind Auftragsverarbeiter und Dritte eingebunden und wie werden sie kontrolliert? Bei externen Dienstleistern sind Auftragsverarbeitungsverträge nach Art. 28 DSGVO erforderlich. Die Behörde prüft, ob der Freigabeprozess diese Verträge und Weisungsbefugnisse abbildet.

10. Wird die Dokumentation aktuell gehalten? Die Behörde prüft, ob das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) geführt wird und ob Freigabeentscheidungen nachvollziehbar dokumentiert sind.

Diese Prüffragen sind nicht abschließend. Je nach Branche und Verarbeitung können weitere Aspekte hinzukommen. Der DIHK-Newsletter InfoRecht informiert regelmäßig über rechtliche Entwicklungen, die für Unternehmen relevant sind.

DSGVO-Grundsätze im Design von Freigabeprozessen

Die DSGVO nennt in Art. 5 Abs. 1 sechs Grundsätze: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit. Diese Grundsätze müssen sich im Design von Freigabeprozessen wiederfinden.

Rechtmäßigkeit, Treu und Glauben, Transparenz Der Freigabeprozess muss sicherstellen, dass für jede Verarbeitung eine Rechtsgrundlage existiert und dass die betroffenen Personen informiert werden. Transparenz bedeutet auch, dass interne Entscheidungen nachvollziehbar sind.

Zweckbindung Im Prozess muss hinterlegt sein, für welchen Zweck Daten erhoben werden und dass eine anderweitige Nutzung nur mit neuer Rechtsgrundlage zulässig ist. Ein Freigabeschritt sollte prüfen, ob der Zweck mit der ursprünglichen Erhebung übereinstimmt.

Datenminimierung Der Prozess sollte abfragen, ob alle angeforderten Daten wirklich benötigt werden. Ein häufiger Fehler ist die pauschale Übernahme aller Felder aus Altsystemen.

Richtigkeit Es muss Mechanismen geben, um Daten aktuell zu halten und Fehler zu korrigieren. Der Freigabeprozess sollte vorsehen, wie Betroffene oder Mitarbeiter auf Fehler hinweisen können.

Speicherbegrenzung Löschfristen müssen definiert und im Prozess verankert sein. Automatische Löschroutinen sind zu dokumentieren.

Integrität und Vertraulichkeit Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind im Freigabeprozess zu berücksichtigen. Der BSI IT-Grundschutz liefert hierfür konkrete Anforderungen.

Diese Grundsätze sind nicht isoliert zu betrachten. Ein Freigabeprozess, der nur die Rechtsgrundlage prüft, aber Löschfristen ignoriert, ist unvollständig. Das Design muss alle Grundsätze abdecken.

Rolle des BfDI und der Landesbeauftragten

Der BfDI ist die Aufsichtsbehörde für den Bund. Er prüft die Einhaltung des Datenschutzes bei Bundesbehörden, bei Telekommunikations- und Postdiensten sowie bei Unternehmen, die in den Anwendungsbereich des BDSG fallen. Der BfDI veröffentlicht Tätigkeitsberichte und Orientierungshilfen, die auch für Unternehmen außerhalb seines Zuständigkeitsbereichs relevant sind.

Die Landesbeauftragten für Datenschutz und Informationsfreiheit sind für die privaten Unternehmen und öffentlichen Stellen in den jeweiligen Bundesländern zuständig. In Nordrhein-Westfalen ist dies die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. In Baden-Württemberg prüft der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg. In Bayern ist der Bayerische Landesbeauftragte für den Datenschutz zuständig.

In Hessen prüft der Hessische Beauftragte für Datenschutz und Informationsfreiheit. In Berlin ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig. In Sachsen prüft der Sächsische Datenschutzbeauftragte. In Niedersachsen ist die Landesbeauftragte für den Datenschutz Niedersachsen zuständig. In Hamburg prüft der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Die Behörden arbeiten in der Datenschutzkonferenz zusammen. Dort werden einheitliche Prüffragen und Orientierungshilfen entwickelt. Für Unternehmen bedeutet das: Die Prüfmaßstäbe sind weitgehend vergleichbar, auch wenn die Zuständigkeit wechselt.

Der BfDI und die Landesbeauftragten haben unterschiedliche Schwerpunkte. Der BfDI legt Wert auf Rechenschaftspflicht und Dokumentation, die Landesbehörden prüfen häufig branchenspezifisch, etwa im Gesundheitswesen oder bei Bildungseinrichtungen. Ein Freigabeprozess sollte daher sowohl die allgemeinen Anforderungen der DSGVO als auch spezifische Vorgaben der zuständigen Behörde berücksichtigen.

Freigabeprozesse gestalten: Dokumentation und Rechenschaftspflicht

Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO bedeutet, dass der Verantwortliche die Einhaltung der Grundsätze nachweisen kann. Dokumentation ist das Werkzeug dafür. Ein Freigabeprozess muss so gestaltet sein, dass er die erforderlichen Nachweise erzeugt.

Checkliste für die Dokumentation

• Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist geführt und aktuell.
• Für jede Verarbeitung ist die Rechtsgrundlage dokumentiert.
• Der Zweck der Verarbeitung ist schriftlich festgehalten.
• Löschfristen sind definiert und im Prozess hinterlegt.
• Technische und organisatorische Maßnahmen sind beschrieben.
• Auftragsverarbeitungsverträge liegen vor und sind aktuell.
• Datenschutz-Folgenabschätzung wurde durchgeführt, falls erforderlich.
• Freigabeentscheidungen sind mit Datum, Name und Begründung dokumentiert.
• Schulungen und Sensibilisierungsmaßnahmen sind nachgewiesen.
• Der Prozess wird regelmäßig überprüft und bei Änderungen angepasst.

Praktisches Beispiel: Freigabe eines neuen CRM-Systems

Ein mittelständisches Unternehmen in Nordrhein-Westfalen will ein neues CRM-System einführen. Der Freigabeprozess durchläuft folgende Schritte:

1. Die Fachabteilung beschreibt den Verarbeitungszweck und die betroffenen Datenkategorien.
2. Der Datenschutzbeauftragte prüft die Rechtsgrundlage nach Art. 6 DSGVO.
3. Es wird geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
4. Der IT-Sicherheitsbeauftragte bewertet die Maßnahmen nach Art. 32 DSGVO, orientiert am BSI IT-Grundschutz.
5. Der Einkauf prüft den Auftragsverarbeitungsvertrag mit dem Anbieter.
6. Die Freigabe wird dokumentiert und vom Geschäftsführer unterzeichnet.
7. Nach Einführung werden Löschfristen und Zugriffsrechte regelmäßig überprüft.

In diesem Beispiel sind alle Prüffragen der Aufsichtsbehörden abgedeckt. Die Dokumentation dient als Nachweis der Rechenschaftspflicht. Der DIHK-Newsletter InfoRecht kann genutzt werden, um rechtliche Änderungen zu verfolgen.

Typische Beanstandungen und wie man sie vermeidet

Die Aufsichtsbehörden beanstanden in Prüfungen immer wieder ähnliche Mängel. Wer diese kennt, kann sie im Freigabeprozess vermeiden.

Fehlende oder unklare Rechtsgrundlage Oft wird die Rechtsgrundlage nicht dokumentiert oder es wird pauschal auf berechtigtes Interesse verwiesen, ohne es zu begründen. Vermeidung: Für jede Verarbeitung die konkrete Norm angeben und die Interessenabwägung dokumentieren.

Unvollständiges Verzeichnis von Verarbeitungstätigkeiten Das Verzeichnis ist häufig veraltet oder unvollständig. Vermeidung: Regelmäßige Aktualisierung, klare Verantwortlichkeiten, Einbindung in den Freigabeprozess.

Fehlende Löschkonzepte Daten werden länger gespeichert als nötig, Löschfristen fehlen. Vermeidung: Löschfristen im Prozess verankern und technisch umsetzen.

Unzureichende Einbindung des Datenschutzbeauftragten Der DSB wird zu spät oder gar nicht beteiligt. Vermeidung: Der Freigabeprozess sieht die Beteiligung des DSB verbindlich vor.

Mangelhafte Auftragsverarbeitung Auftragsverarbeitungsverträge fehlen oder sind veraltet. Vermeidung: Verträge regelmäßig prüfen und bei Änderungen anpassen.

Fehlende Datenschutz-Folgenabschätzung Bei hohem Risiko wird die DSFA nicht durchgeführt. Vermeidung: Im Freigabeprozess eine Risikobewertung vorsehen, die zur DSFA führt.

Unklare Verantwortlichkeiten Niemand fühlt sich für die Einhaltung zuständig. Vermeidung: Klare Rollen und Verantwortlichkeiten im Prozess festlegen.

Keine regelmäßige Überprüfung Der Prozess wird nach der Einführung nicht mehr angepasst. Vermeidung: Jährliche Überprüfung und Anpassung an neue Anforderungen.

Diese Beanstandungen lassen sich vermeiden, wenn der Freigabeprozess von Anfang an alle Prüffragen berücksichtigt. Die amtlichen Volltexte der DSGVO und des BDSG finden Sie auf Gesetze im Internet. Für die Suche nach einzelnen Normen oder den GoBD nutzen Sie die amtliche Volltextsuche. Der BSI IT-Grundschutz bietet konkrete Sicherheitsanforderungen. Der DIHK-Newsletter InfoRecht informiert über rechtliche Entwicklungen.

Häufige Fragen

Welche Behörde ist für mein Unternehmen zuständig? Das hängt vom Sitz und der Branche ab. Private Unternehmen fallen unter die Landesbeauftragten für Datenschutz des jeweiligen Bundeslandes. Bundesbehörden und bestimmte Branchen unter den BfDI.

Muss jeder Freigabeprozess dokumentiert werden? Ja, die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung der Grundsätze nachweisen können. Dazu gehört die Dokumentation der Freigabeentscheidungen.

Was ist eine Datenschutz-Folgenabschätzung und wann ist sie nötig? Eine DSFA ist eine Risikoanalyse für Verarbeitungen mit hohem Risiko für Betroffene. Sie ist nach Art. 35 DSGVO durchzuführen, wenn die Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat.

Wie oft muss ich meinen Freigabeprozess überprüfen? Es gibt keine feste Frist, aber eine regelmäßige Überprüfung ist erforderlich. Bei Änderungen der Verarbeitung oder der Rechtslage müssen Sie den Prozess anpassen.

Welche Rolle spielt der BSI IT-Grundschutz? Der BSI IT-Grundschutz bietet einen anerkannten Rahmen für Sicherheitsanforderungen nach Art. 32 DSGVO. Aufsichtsbehörden ziehen ihn als Orientierung heran.

Wo finde ich die aktuellen Gesetzestexte? Die amtlichen Volltexte der DSGVO und des BDSG finden Sie auf Gesetze im Internet. Ergänzend hilft die Volltextsuche des Bundes. Sicherheitsanforderungen finden Sie im BSI IT-Grundschutz.