Datenschutzbeauftragter, VVT und DSFA
Datenschutz funktioniert nicht von selbst. Hinter jedem gut funktionierenden Datenschutzsystem stehen drei Werkzeuge: eine verantwortliche Person (der Datenschutzbeauftragte), eine vollständige Dokumentation aller Verarbeitungen (das Verzeichnis von Verarbeitungstätigkeiten, VVT) und eine vorausschauende Risikobewertung für besonders heikle Verarbeitungen (die Datenschutzfolgenabschätzung, DSFA). Alle drei sind Instrumente der Rechenschaftspflicht – sie beweisen, dass ein Unternehmen Datenschutz ernst nimmt.
1) Der Datenschutzbeauftragte (DSB)
Der DSB ist die zentrale Ansprechperson für alle datenschutzrechtlichen Fragen – intern für Mitarbeitende und Geschäftsführung, extern für Betroffene und Aufsichtsbehörden. Er ist kein Kontrolleur, sondern ein Berater und Vermittler.
2) Das Verzeichnis von Verarbeitungstätigkeiten (VVT)
Das VVT (Art. 30 DSGVO) ist die schriftliche Dokumentation aller Verarbeitungen personenbezogener Daten im Unternehmen. Es ist kein abstraktes Bürokratiedokument, sondern ein praxisnahes Inventar: Was verarbeiten wir, warum, wie und mit wem? Für die meisten Unternehmen ab 250 Mitarbeitenden ist es Pflicht – für kleinere bei Risikoverarbeitungen ebenfalls.
3) Datenschutzfolgenabschätzung (DSFA)
Die DSFA (Art. 35 DSGVO) ist eine vertiefte Risikoanalyse für Verarbeitungen, die „voraussichtlich ein hohes Risiko" für die Rechte und Freiheiten von Personen darstellen. Sie muss vor der Inbetriebnahme der Verarbeitung durchgeführt werden. Typische Auslöser sind systematische Überwachung öffentlicher Bereiche (Videoüberwachung), Verarbeitung besonderer Datenkategorien in großem Maßstab, oder neue Technologien mit unklarem Risikoprofil (z.B. KI-Systeme).
| DSFA-Schritt | Was passiert |
|---|---|
| 1. Beschreibung | Was wird verarbeitet, für wen, wie? |
| 2. Notwendigkeit prüfen | Ist die Verarbeitung notwendig und verhältnismäßig? |
| 3. Risikobewertung | Welche Risiken entstehen für Betroffene? Wie wahrscheinlich, wie schwerwiegend? |
| 4. Maßnahmen | Welche TOMs reduzieren das Risiko auf ein akzeptables Niveau? |
| 5. DSB konsultieren | DSB muss einbezogen werden |
| 6. Ggf. Behörde konsultieren | Bei verbleibendem hohem Risiko: vorherige Konsultation der Aufsichtsbehörde (Art. 36) |
Zusammenfassung
Der Datenschutzbeauftragte (DSB) ist ab 20 datenverarbeitenden Personen Pflicht, weisungsfrei und Ansprechpartner für alle Datenschutzfragen. Das VVT dokumentiert alle Verarbeitungstätigkeiten mit Zweck, Datenkategorien, Empfängern, Löschfristen und TOMs. Die DSFA bewertet vor der Einführung hochriskanter Verarbeitungen systematisch die Risiken und notwendigen Maßnahmen. Alle drei Instrumente dienen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO – sie sind Nachweise, keine bloßen Absichtserklärungen.