Datenschutz-Folgenabschätzung (DSFA)

0 Kurzkarte: Eine DSFA in 5 Schritten

1. Anlegen – Öffnen Sie Datenschutz → DSFA, klicken Sie auf Neu, geben Sie eine Bezeichnung ein und klicken Sie auf Speichern. Öffnen Sie die neue DSFA mit dem Stift-Symbol.
2. Stammdaten und Beschreibung – Wählen Sie im Reiter Stammdaten den Durchführungsverantwortlichen und den Freigabeverantwortlichen. Beschreiben Sie im Reiter Beschreibung die Verarbeitung und verknüpfen Sie die betroffenen Verarbeitungstätigkeiten.
3. Bewerten – Füllen Sie Anspruchsgruppen, Datenschutzgrundsätze und Betroffenenrechte aus und verknüpfen Sie im Reiter Risiken mindestens ein Risiko. Klicken Sie auf Speichern.
4. Zur Prüfung einreichen – Klicken Sie auf Zur Prüfung einreichen. Der Datenschutzbeauftragte bewertet sieben Prüfpunkte und schließt die Prüfung ab.
5. Freigeben – Der Freigabeverantwortliche dokumentiert im Reiter Freigabe seine Entscheidung und klickt auf Freigeben oder Ablehnen.

Wichtig: Schließen Sie die DSFA vor Beginn der Verarbeitung ab (Art. 35 Abs. 1 DS-GVO). Bleibt trotz der Maßnahmen ein hohes Risiko, konsultieren Sie vor dem Start die Aufsichtsbehörde (Art. 36 DS-GVO).

Tipp: Die DSFA speichert nicht automatisch. Klicken Sie nach jedem größeren Arbeitsschritt auf Speichern.

1 Einführung

1.1 Wofür ist das Modul da?

Eine Datenschutz-Folgenabschätzung (DSFA) ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen hat, z. B. bei Videoüberwachung, Scoring, umfangreicher Verarbeitung von Gesundheitsdaten oder dem Einsatz neuer Technologien.

Im Modul DSFA dokumentieren Sie die gesamte Folgenabschätzung an einer Stelle. Das Modul

• übernimmt Zwecke, Betroffene, Datenkategorien, Speicherfristen, Empfänger, Auftragsverarbeiter und Assets aus den verknüpften Verarbeitungstätigkeiten,
• führt durch die Bewertung von Notwendigkeit und Verhältnismäßigkeit, der Betroffenenrechte und der Risiken,
• nutzt für die Risiken das Risikomanagement mit den dort verknüpften Maßnahmen (TOM),
• lässt die DSFA vom Datenschutzbeauftragten anhand von sieben Prüfpunkten prüfen, angelehnt an das Kurzpapier Nr. 5 der Datenschutzkonferenz,
• dokumentiert die Entscheidung des Verantwortlichen, eine etwaige Konsultation der Aufsichtsbehörde und die Freigabe und
• erzeugt einen DSFA-Bericht als Word- oder PDF-Datei für den Nachweis.

1.2 Brauche ich eine DSFA?

Ob eine DSFA nötig ist, klären Sie in der Verarbeitungstätigkeit im Abschnitt DSFA + Risiken (siehe Handbuch Verarbeitungstätigkeiten). Dort prüfen Sie zuerst Muss-Listen und Ausnahmen und beantworten dann in der Schwellwertbestimmung elf Kriterien. Ab 2,0 Risikopunkten empfiehlt das System eine DSFA.

Abbildung 1: Schwellwertbestimmung in der Verarbeitungstätigkeit

Aus demselben Abschnitt legen Sie mit DSFA anlegen eine neue DSFA an oder verknüpfen über Risiko oder DSFA verknüpfen eine vorhandene.

1.3 Begriffe

1.4 Der Ablauf im Überblick

Abbildung 2: Übersicht der Datenschutz-Folgenabschätzungen

1.5 Rollen und Rechte

Zusätzlich gilt:

• Wer im Reiter Stammdaten als Durchführungsverantwortlicher eingetragen ist, bearbeitet diese DSFA auch mit dem Recht Lesen und kann in der Übersicht Schlagwörter und Massenaktionen für sie nutzen.
• Den Reiter Freigabe bearbeitet nur der eingetragene Freigabeverantwortliche, und erst, wenn die DSFA den Status zur Freigabe hat.
• Massenaktionen → Prüfung zurücknehmen erscheint nur mit einem eigenen Sonderrecht.

Die Rechte vergibt die Administration in der Rollenverwaltung des Mandanten.

2 Eine DSFA erstellen

Dieses Kapitel richtet sich an Durchführungsverantwortliche und Mitglieder des DSFA-Teams.

2.1 Die Übersicht

Sie öffnen das Modul in der Navigation über Datenschutz → DSFA. Die Übersicht Datenschutz-Folgenabschätzungen zeigt je DSFA:

Mit dem Auge-Symbol öffnen Sie eine DSFA zum Lesen, mit dem Stift-Symbol zum Bearbeiten. Aus der Nur-Lese-Ansicht wechseln Sie mit Bearbeiten in die Bearbeitung. Das Suchfeld Suche in Tabelle durchsucht die angezeigten Einträge.

Über Filter grenzen Sie die Liste ein nach Bezeichnung, Status, Durchführung, Prüfstatus, VT (Mit VT verknüpft oder Ohne VT-Verknüpfung), Risiko (Risikostufe oder Kein Risiko) und Schlagwörter. Im Filter Prüfstatus zeigen Zur Prüfung (automatisch) und Zur Prüfung (durch Benutzer), wie eine DSFA eingereicht wurde; zur Aktualisierung zeigt DSFAs mit fälliger Aktualisierung. Führt Ihr Mandant eigene Prüfstatus, stehen sie ebenfalls zur Auswahl. Mit Filter anwenden grenzen Sie ein, mit Filter zurücksetzen heben Sie den Filter auf.

Abbildung 3: Filter in der Übersicht

Archivierte DSFAs stehen im Reiter Archiv.

2.2 DSFA anlegen

1. Klicken Sie in der Übersicht auf Neu.
2. Geben Sie im Fenster Neue DSFA anlegen eine aussagekräftige Bezeichnung ein, z. B. „DSFA Bewerbermanagement-System".
3. Klicken Sie auf Speichern. Die DSFA erscheint mit dem Status Entwurf in der Übersicht.
4. Öffnen Sie sie mit dem Stift-Symbol.

Abbildung 4: Neue DSFA anlegen

Tipp: Mit Weiteren Datensatz anlegen bleibt das Fenster offen, und Sie legen gleich die nächste DSFA an.

2.3 Die Bearbeitungsseite

Oben steht die Werkzeugleiste mit Speichern, Zur Prüfung einreichen, Vorschau, Exportieren und Abbrechen. Darunter stehen zehn Reiter: Stammdaten, Beschreibung, Anspruchsgruppen, Datenschutzgrundsätze, Betroffenenrechte, Risiken, Ergebnis, Freigabe, Dokumente und Einstellungen.

Alle Bereiche stehen untereinander auf einer Seite; ein Klick auf einen Reiter springt zum Bereich. Arbeiten Sie die Reiter von links nach rechts ab.

Speichern sichert alle Bereiche auf einmal. Verlassen Sie die Seite mit ungespeicherten Änderungen über Abbrechen, fragt das Fenster Änderungen verwerfen nach.

2.4 Stammdaten

1. Prüfen Sie die Bezeichnung und wählen Sie die Art der DSFA: Erstdurchführung oder Folgedurchführung / Aktualisierung.
2. Wählen Sie den Durchführungsverantwortlichen und den Freigabeverantwortlichen.
3. Tragen Sie unter DSFA-Team (Benutzer) weitere Beteiligte mit Benutzerkonto ein, unter DSFA-Team (Personal) Beteiligte aus dem Personalverzeichnis, z. B. einen externen Berater.
4. Nennen Sie unter Informationsempfänger Personen oder Stellen, die über die DSFA informiert werden, z. B. „Geschäftsführung, Betriebsrat".
5. Wählen Sie unter Verantwortlicher oder Gemeinsam Verantwortliche für die Verarbeitung Ihren Mandanten oder die gemeinsam Verantwortlichen.

Das Feld Status setzt der Ablauf; Sie können es nicht ändern.

Abbildung 5: Reiter Stammdaten

2.5 Beschreibung

Im Reiter Beschreibung beschreiben Sie die Verarbeitung systematisch (Art. 35 Abs. 7 lit. a DS-GVO). Vieles übernimmt das System aus den verknüpften Verarbeitungstätigkeiten.

1. Beschreiben Sie unter Welche Verarbeitung ist geplant bzw. Gegenstand der DSFA? den Gegenstand in eigenen Worten.
2. Klicken Sie bei Verknüpfte Verarbeitungstätigkeiten auf Hinzufügen. Wählen Sie im Fenster VVT verknüpfen eine oder mehrere Verarbeitungstätigkeiten und klicken Sie auf Speichern.

Abbildung 6: Verarbeitungstätigkeit verknüpfen

1. Die Tabellen darunter füllen sich aus den Verarbeitungstätigkeiten: Zwecke, betroffene Personengruppen und Datenkategorien, Speicherfristen, Empfänger und Zugriffsberechtigte. Ergänzen Sie in den Feldern Ergänzungen zu …, was dort fehlt, und erläutern Sie unter Erläuterungen zu (gemeinsamen) Verantwortlichen die Verantwortlichkeiten.
2. Unter An der Verarbeitung beteiligte Auftragsverarbeiter und Für die Verarbeitung notwendige Betriebsmittel und Systeme stehen die Einträge aus den Verarbeitungstätigkeiten mit der Quelle Abgeleitet. Weitere ordnen Sie über Hinzufügen direkt zu (Direkt zugeordnet).
3. Beschreiben Sie den Prozess und Daten-Lebenszyklus, gegebenenfalls die berechtigten Interessen und die Gesetze, Normen und Standards, die die Verarbeitung beeinflussen.

Abbildung 7: Reiter Beschreibung

Eine Verknüpfung lösen Sie, indem Sie die Zeile markieren und auf Entfernen klicken.

Hinweis: Abgeleitete Angaben ändern Sie in der Verarbeitungstätigkeit, nicht in der DSFA. Die DSFA zeigt immer den aktuellen Stand der verknüpften Verarbeitungstätigkeiten.

2.6 Anspruchsgruppen

Nach Art. 35 Abs. 9 DS-GVO holen Sie gegebenenfalls den Standpunkt der Betroffenen oder ihrer Vertreter ein. Im Reiter Anspruchsgruppen stehen die Personengruppen aus den verknüpften Verarbeitungstätigkeiten mit dem Kennzeichen Abgeleitet.

1. Ergänzen Sie weitere Gruppen, z. B. den Betriebsrat, über Hinzufügen.
2. Klicken Sie in der Zeile einer Gruppe auf das Stift-Symbol. Dokumentieren Sie im Fenster Konsultation bearbeiten Kontaktperson / -stelle, Art der Konsultation, Ergebnis / Rückmeldung, Bewertung / Umgang und das Konsultationsdatum.
3. Die Spalte Status zeigt mit einem Haken, dass die Konsultation dokumentiert ist.

Abbildung 8: Reiter Anspruchsgruppen

Abbildung 9: Konsultation bearbeiten

Selbst hinzugefügte Gruppen entfernen Sie über Entfernen. Abgeleitete Gruppen entfernen Sie in der Verarbeitungstätigkeit.

2.7 Datenschutzgrundsätze

Im Reiter Datenschutzgrundsätze bewerten Sie Notwendigkeit und Verhältnismäßigkeit (Art. 35 Abs. 7 lit. b DS-GVO) anhand von sieben Fragen: Zweckbindung, Verhältnismäßigkeit, Datenminimierung, Richtigkeit, Speicherbegrenzung, Auftragsverarbeitung und gemeinsame Verantwortlichkeit sowie Drittlandtransfers.

1. Wählen Sie je Frage Gewährleistet, Eingeschränkt oder Nicht anwendbar.
2. Begründen Sie die Bewertung im Textfeld konkret, z. B. „Zugriff nur für die Personalabteilung über das Rollenkonzept".
3. Die Kacheln oben zählen, wie viele Fragen Gewährleistet, Eingeschränkt, Nicht anwendbar oder Nicht bewertet sind.

Abbildung 10: Reiter Datenschutzgrundsätze

Tipp: „Ist gewährleistet" reicht als Begründung nicht. Beschreiben Sie, wie der Grundsatz umgesetzt wird.

2.8 Betroffenenrechte

Im Reiter Betroffenenrechte gehen Sie genauso vor, für neun Rechte: Transparenz, Einwilligung, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und automatisierte Entscheidungen.

Abbildung 11: Reiter Betroffenenrechte

Tipp: Jede Einschränkung eines Betroffenenrechts prüft der Datenschutzbeauftragte besonders genau. Nennen Sie den Grund und die rechtliche Grundlage.

2.9 Risiken

Die Risiken bewerten Sie im Risikomanagement; die DSFA verknüpft sie (Art. 35 Abs. 7 lit. c und d DS-GVO).

1. Wechseln Sie in den Reiter Risiken.
2. Klicken Sie auf Anlegen, um eine neue Risikobewertung anzulegen. Geben Sie eine Bezeichnung ein und klicken Sie auf Speichern. Das Risiko entsteht im Risikomanagement mit der Kategorie Datenschutz-Folgenabschätzung (DSFA) und ist sofort verknüpft.

Abbildung 12: Neue Risikobewertung anlegen

1. Oder klicken Sie auf Hinzufügen, um ein oder mehrere vorhandene Risiken zu verknüpfen.
2. Bewerten Sie das Risiko im Risikomanagement. Das Symbol In neuem Tab öffnen am Zeilenende öffnet es dort.
3. Die Tabelle zeigt danach Kategorie, Brutto, Netto, die Maßnahmen (Verringern) und die Strategien. Über den Pfeil am Zeilenanfang klappen Sie die verknüpften Maßnahmen (TOM) mit ihrem Umsetzungsstatus auf.
4. Unter Verbleibendes Risiko zeigt das System das höchste Netto-Risiko. Beschreiben Sie es darunter unter Beschreibung des verbleibenden Risikos in eigenen Worten. Bei hohem verbleibendem Risiko erscheint der Hinweis Konsultation empfohlen.

Abbildung 13: Reiter Risiken mit verknüpften Risikobewertungen

Wichtig: Zur Prüfung einreichen können Sie erst, wenn mindestens ein Risiko der Kategorie Datenschutz oder Datenschutz-Folgenabschätzung (DSFA) verknüpft ist.

2.10 Dokumente, Einstellungen und Vorschau

• Im Reiter Dokumente laden Sie Nachweise hoch, z. B. Stellungnahmen, Gutachten oder Protokolle. Ziehen Sie die Datei in das Feld oder klicken Sie hinein. Eine Datei darf bis zu 50 MB groß sein.
• Im Reiter Einstellungen geben Sie die DSFA für Ihre Unternehmensgruppe frei (siehe DSFA in der Unternehmensgruppe freigeben).
• Vorschau zeigt die DSFA rechts als druckbares Dokument, so wie der DSFA-Bericht sie ausgibt. Aktualisieren lädt sie nach einer Änderung neu, Vorschau schließen blendet sie aus.

Abbildung 14: Vorschau der DSFA

2.11 Zur Prüfung einreichen

1. Speichern Sie Ihre Änderungen.
2. Klicken Sie in der Werkzeugleiste auf Zur Prüfung einreichen.
3. Die DSFA erhält den Status zur Prüfung und den Prüfstatus Eingereicht. Der Standard-Prüfer aus der Konfiguration erhält eine Aufgabe; ist keiner hinterlegt, entsteht die Aufgabe ohne Zuweisung.

Fehlt noch etwas, zeigt der Reiter Stammdaten oben den Hinweis Die DSFA kann noch nicht zur Prüfung eingereicht werden: mit den offenen Punkten, z. B. „Es muss mindestens ein Risiko der Kategorie Datenschutz oder Datenschutz-Folgenabschätzung verknüpft sein."

Hinweis: Zur Prüfung einreichen erscheint nur, wenn die Administration den Prüfworkflow eingeschaltet hat (siehe Kapitel Konfiguration). Archivierte DSFAs lassen sich nicht einreichen.

3 Prüfung durch den Datenschutzbeauftragten

Für Datenschutzbeauftragte. Die Prüfansicht öffnet, wer im Modul das Sonderrecht hat oder als Prüfer zugewiesen ist.

3.1 Prüfansicht öffnen

Öffnen Sie die eingereichte DSFA, z. B. aus der Prüfaufgabe, und klicken Sie in der Werkzeugleiste auf Prüfansicht. Auch der Reiter Ergebnis bietet Prüfansicht an, solange die Prüfung läuft.

Die Prüfansicht trägt den Titel Prüfung: mit der Bezeichnung der DSFA. Sie zeigt die Inhalte schreibgeschützt in den Reitern Stammdaten, Beschreibung, Anspruchsgruppen, Datenschutzgrundsätze, Betroffenenrechte, Risiken und Endergebnis. Rechts neben den Inhalten stehen je Prüfpunkt die Felder Prüfergebnis und Anmerkungen zur Prüfung. Sobald Sie in der Prüfansicht zum ersten Mal speichern, wechselt der Prüfstatus auf In Prüfung.

Abbildung 15: Prüfansicht

3.2 Die sieben Prüfpunkte bewerten

Wählen Sie je Prüfpunkt unter Prüfergebnis In Ordnung, Nachbesserung empfohlen oder Erhebliche Mängel und schreiben Sie bei Abweichungen unter Anmerkungen zur Prüfung einen konkreten Hinweis, was nachzubessern ist. Mit Speichern sichern Sie einen Zwischenstand und setzen die Prüfung später fort.

3.3 Endergebnis und Abschluss

1. Wechseln Sie in den Reiter Endergebnis.
2. Formulieren Sie den Rat des DSB an den Verantwortlichen.
3. Wählen Sie unter Nach Durchführung der DSFA sind aus Sicht des DSB Keine weiteren Maßnahmen notwendig. oder Der Rat des DSB zu berücksichtigen und die DSFA erneut durchzuführen.
4. Wählen Sie unter Status das Gesamtergebnis: Geprüft (OK) oder Geprüft (Mängel). Bei Geprüft (Mängel) wählen Sie zusätzlich den Empfänger der Mängel-Aufgabe und die Frist zur Behebung.
5. Fassen Sie Ihre Bewertung unter Anmerkung zusammen. Bei Geprüft (Mängel) ist die Anmerkung Pflicht.
6. Klicken Sie auf Prüfung abschließen. Die Schaltfläche wird aktiv, sobald ein Status gewählt ist.

Abbildung 16: Endergebnis der Prüfung

Die DSFA erhält danach den Status zur Freigabe und den Prüfstatus Geprüft (OK) bzw. Geprüft (Mängel). Bei Geprüft (OK) erhält der Freigabeverantwortliche eine Aufgabe, bei Geprüft (Mängel) der gewählte Empfänger eine Mängel-Aufgabe.

Im Reiter Ergebnis der DSFA stehen danach der Rat des DSB und seine Empfehlung schreibgeschützt.

Abbildung 17: Reiter Ergebnis mit der Sicht des DSB

3.4 Prüfhistorie

Im rechten Bereich der DSFA zeigt die Prüfhistorie jede Einreichung und jede abgeschlossene Prüfung. Über die Symbole öffnen Sie das Prüfungsergebnis schreibgeschützt oder laden es als PDF herunter.

Abbildung 18: Prüfhistorie im rechten Bereich

3.5 Prüfung zurücknehmen

Eine versehentlich eingereichte DSFA nehmen Sie in der Übersicht aus dem Ablauf: Markieren Sie sie und wählen Sie Massenaktionen → Prüfung zurücknehmen. Der Prüfstatus geht auf den Stand vor der Einreichung zurück, und die Prüfaufgabe wird geschlossen. Die Aktion braucht ein eigenes Sonderrecht.

4 Freigabe durch den Verantwortlichen

Für Freigabeverantwortliche, z. B. die Geschäftsführung.

Nach der Prüfung entscheidet der Verantwortliche, ob die Verarbeitung durchgeführt wird. Den Reiter Freigabe bearbeitet nur der im Reiter Stammdaten eingetragene Freigabeverantwortliche, solange die DSFA den Status zur Freigabe hat. Alle anderen sehen ihn schreibgeschützt.

1. Öffnen Sie die DSFA, z. B. aus der Aufgabe „DSFA zur Freigabe bereit", und wechseln Sie in den Reiter Freigabe.
2. Schalten Sie Der Verantwortliche folgt dem Rat des DSB. ein, wenn Sie dem Rat folgen.
3. Wählen Sie unter Nach Durchführung der DSFA bestehen aus Sicht des Verantwortlichen:
   • Kein hohes Risiko — Verarbeitung durchführen oder
   • Hohes Risiko — Konsultation nach Art. 36 DS-GVO erforderlich.
4. Begründen Sie Ihre Entscheidung unter Stellungnahme des Verantwortlichen.
5. Legen Sie das Datum der nächsten Aktualisierung fest. Der Durchführungsverantwortliche erhält dazu eine Aufgabe „DSFA aktualisieren", die an diesem Datum fällig ist.
6. Klicken Sie auf Freigeben, oder auf Ablehnen, wenn die DSFA überarbeitet werden muss, und bestätigen Sie die Rückfrage.

Abbildung 19: Reiter Freigabe

Die DSFA erhält den Status Freigegeben bzw. Abgelehnt. Offene Aufgaben zur DSFA, z. B. „DSFA zur Freigabe bereit", werden dabei geschlossen.

4.1 Konsultation der Aufsichtsbehörde (Art. 36 DS-GVO)

Wählen Sie Hohes Risiko — Konsultation nach Art. 36 DS-GVO erforderlich, erscheint im Reiter Freigabe der Bereich Konsultation der Aufsichtsbehörde:

Abbildung 20: Konsultation der Aufsichtsbehörde

Mit dieser Entscheidung entsteht eine Aufgabe zur Konsultation. Sie wird erledigt, sobald der Status der Konsultation auf Beantwortet, Genehmigt oder Abgelehnt steht.

Achtung: Der audatis MANAGER übermittelt nichts an die Behörde. Sie konsultieren die Behörde auf dem dort vorgesehenen Weg und dokumentieren den Vorgang hier.

4.2 Eine freigegebene DSFA ändern

Ändert sich die Verarbeitung, passen Sie die DSFA an. Öffnen Sie eine freigegebene DSFA zum Bearbeiten, fragt das Fenster DSFA bearbeiten nach: Mit Bearbeiten wird der Status auf Entwurf zurückgesetzt, und Prüfung und Freigabe beginnen erneut. Mit Abbrechen wechseln Sie in die Nur-Lese-Ansicht.

Abbildung 21: Rückfrage beim Bearbeiten einer freigegebenen DSFA

4.3 Aktualisierung abschließen

Nur wenn in der Konfiguration der *Aktualisierungsworkflow** eingeschaltet ist.*

Wurde eine DSFA länger als das Aktualisierungsintervall nicht geändert, erhält der Durchführungsverantwortliche eine Aufgabe, und die Spalte Prüfstatus der Übersicht zeigt zur Aktualisierung.

1. Öffnen Sie die DSFA zur Bearbeitung, prüfen Sie alle Reiter und speichern Sie Ihre Änderungen.
2. Klicken Sie auf Aktualisierung abgeschlossen und wählen Sie im Fenster Aktualisierung abschließen:
   • Datensatz ist aktuell – keine relevanten Änderungen. Der bisherige Prüfstatus bleibt erhalten.
   • Datensatz wurde aktualisiert – relevante inhaltliche Änderungen. Die DSFA gilt danach als nicht geprüft.
3. Klicken Sie auf Abschließen. Die zugehörige Aufgabe wird erledigt.

5 Übersicht, Massenaktionen und Export

5.1 Exportieren

Über Exportieren erstellen Sie Nachweise: in der Übersicht für mehrere DSFAs, in der Bearbeitungsseite für die geöffnete. Der Export-Assistent fragt nacheinander:

1. Umfang – in der Übersicht Alle, Auswahl (die markierten DSFAs) oder Gefiltert (die nach dem Filter angezeigten); im Reiter Archiv beziehen sich alle Optionen auf das Archiv. In der Bearbeitungsseite gilt der Export immer für die geöffnete DSFA.
2. Exportform – Datenliste (Tabelle der DSFAs) oder DSFA-Bericht (vollständiger Bericht je DSFA).
3. Format – bei der Datenliste CSV, JSON oder XML, beim Bericht Word (.docx) oder PDF. Mehrere Berichte erhalten Sie als ZIP-Datei.

Mit Weiter und Zurück wechseln Sie zwischen den Schritten, Exportieren startet den Download.

Abbildung 22: Export-Assistent, Schritt Umfang

Abbildung 23: Export-Assistent, Schritt Exportform

Tipp: Der DSFA-Bericht gibt immer den aktuellen Stand wieder. Nutzen Sie ihn als Nachweis gegenüber der Aufsichtsbehörde.

5.2 Massenaktionen

Markieren Sie DSFAs in der Übersicht über die Kontrollkästchen. Dann stehen in der Werkzeugleiste zur Verfügung:

• Löschen – entfernt die DSFAs nach Rückfrage (nur mit dem Recht Löschen),
• Schlagwörter – Schlagwörter zuweisen oder entfernen,
• Massenaktionen mit Prüfung zurücknehmen (Sonderrecht), Auf Mandant kopieren und Archivieren.

Abbildung 24: Massenaktionen

Archivierte DSFAs holen Sie im Reiter Archiv über Massenaktionen → Wiederherstellen zurück. Eine DSFA löschen Sie nur in der Übersicht; in der Bearbeitungsseite gibt es dafür keine Schaltfläche.

5.3 Auf Mandant kopieren

Auf Mandant kopieren rollt DSFAs als Vorlage auf andere Mandanten aus, für die Sie berechtigt sind. Der Assistent DSFA-Vorlage auf Mandanten ausrollen führt durch drei Schritte:

1. Mandanten – Wählen Sie die Zielmandanten.
2. Abgleich – Das System prüft, welche Risiko-Kategorien, Stakeholder und Konsultationsgruppen im Zielmandanten schon vorhanden sind. Für ähnliche Treffer wählen Sie Vorhandene wählen oder Neu anlegen. Mit Entscheidungen für alle Mandanten übernehmen gilt Ihre Wahl für alle Zielmandanten.
3. Zusammenfassung – Prüfen Sie, was wiederverwendet und was neu angelegt wird, und klicken Sie auf Ausrollen.

Abbildung 25: Auf Mandant kopieren

5.4 Rechter Bereich: Aufgaben, Kommentare, Verlauf

Über die Schaltfläche am rechten Rand der Werkzeugleiste öffnen Sie den rechten Bereich der DSFA. Die Symbole oben wechseln zwischen Aufgaben, Schlagwörter, Prüfhistorie (bei eingeschaltetem Prüfworkflow), Kommentare, Links zu Dokumenten aus anderen Modulen und Aktivitätslog mit dem Änderungsverlauf.

5.5 DSFA in der Unternehmensgruppe freigeben

Nur wenn Ihr Mandant zu einer Unternehmensgruppe gehört.

Schalten Sie im Reiter Einstellungen der DSFA DSFA für Unternehmensgruppe freigeben ein und speichern Sie. Andere Mandanten der Gruppe sehen die DSFA dann schreibgeschützt und können sie verknüpfen. Gehört Ihr Mandant keiner Gruppe an, steht im Reiter Dieser Mandant gehört keiner Unternehmensgruppe an.

5.6 Die Hilfe

Mit dem Fragezeichen oben rechts öffnen Sie die Hilfe. Sie erklärt in der Übersicht, in der Bearbeitungsseite und in der Prüfansicht die Felder und Schritte.

Ist für die DSFA eine geführte Tour eingerichtet, startet sie beim ersten Aufruf der Übersicht von selbst. Danach starten Sie sie in der Hilfe über das Symbol Tour erneut starten neu.

6 Konfiguration

Zugriff: Die Konfiguration öffnen und ändern Benutzer mit dem Sonderrecht im Modul DSFA, meist der Datenschutzbeauftragte. Sie erreichen sie in der Übersicht über DSFA konfigurieren oben rechts.

Die Seite hat zwei Reiter: Schlagwörter und Einstellungen. Empfohlene Reihenfolge bei der Einrichtung:

1. Einstellungen: Prüfworkflow und Standard-Prüfer, Aktualisierungsworkflow, Pflichtfeld Durchführungsverantwortlicher.
2. Schlagwörter anlegen.

6.1 Einstellungen

Abbildung 26: DSFA konfigurieren – Einstellungen

Ändern Sie die Schalter und Felder und klicken Sie in der Werkzeugleiste auf Speichern. Abbrechen verwirft die Änderungen.

Wichtig: Ohne Prüfworkflow lassen sich DSFAs weder prüfen noch freigeben. Schalten Sie ihn bei der Einrichtung ein und hinterlegen Sie einen Standard-Prüfer, in der Regel den Datenschutzbeauftragten.

Ob eine fällige Prüfung automatisch eingereicht wird, legt die Mandanteneinstellung Bei fälliger Prüfung automatisch zur Prüfung einreichen fest (Mandanteneinstellungen, Reiter Sonstiges). Sie gilt für alle Module mit Prüfworkflow.

6.2 Schlagwörter

Im Reiter Schlagwörter legen Sie über Neu modulbezogene Schlagwörter an, bearbeiten und löschen sie. Schlagwörter ordnen DSFAs thematisch, z. B. nach Standort oder Projekt, und dienen in der Übersicht als Filter.

7 Glossar

8 Häufige Fragen

Woher weiß ich, ob ich eine DSFA brauche? Beantworten Sie in der Verarbeitungstätigkeit im Abschnitt DSFA + Risiken die Schwellwertbestimmung. Ab 2,0 Risikopunkten empfiehlt das System eine DSFA; steht die Verarbeitung auf einer Muss-Liste, ist sie immer nötig.

Warum sind die Tabellen im Reiter Beschreibung leer? Es ist noch keine Verarbeitungstätigkeit verknüpft. Verknüpfen Sie sie unter Verknüpfte Verarbeitungstätigkeiten über Hinzufügen.

Warum kann ich nicht zur Prüfung einreichen? Der Hinweis im Reiter Stammdaten nennt die Gründe, meist fehlt ein verknüpftes Risiko der Kategorie Datenschutz oder Datenschutz-Folgenabschätzung (DSFA). Fehlt die Schaltfläche ganz, ist der Prüfworkflow nicht eingeschaltet.

Warum kann ich im Reiter Freigabe nichts eintragen? Den Reiter bearbeitet nur der eingetragene Freigabeverantwortliche, und erst, wenn die Prüfung abgeschlossen ist (Status zur Freigabe).

Was passiert, wenn ich eine freigegebene DSFA ändere? Der Status geht auf Entwurf zurück. Die DSFA muss erneut geprüft und freigegeben werden.

Wie weise ich die DSFA gegenüber der Aufsichtsbehörde nach? Mit dem DSFA-Bericht über Exportieren (Word oder PDF).