Datenschutz wird für den konkreten Anwendungsfall geprüft. Eine Produktbezeichnung allein liefert keine Freigabe.
1. Welche Daten gehen in die Anwendung?
Beschreiben Sie die Aufgabe und die dafür erforderlichen Informationen. Unterscheiden Sie allgemeine Texte, personenbezogene Angaben und vertrauliche Betriebsinformationen. Prüfen Sie, ob Namen oder andere Details entfallen können. Auch Ausgaben, hochgeladene Dateien und Protokolldaten gehören in die Betrachtung.
2. Welche Produktversion wird tatsächlich genutzt?
Erfassen Sie Anbieter, Tarif, Kontoart und technische Einbindung. Ein privater Webzugang, eine verwaltete Unternehmensanwendung und eine API können unterschiedliche Bedingungen haben. Auch Erweiterungen und zusätzliche Schnittstellen müssen in die Bewertung einbezogen werden. Für den Betrieb zählt die konkrete Konfiguration.
3. Wie werden Eingaben weiterverwendet?
Prüfen Sie anhand der geltenden Bedingungen, ob Inhalte für Training oder andere Zwecke verwendet werden und welche Einstellungen bestehen. Halten Sie die vertraglich zugesicherte Verwendung fest. Ein Ausschluss der Trainingsnutzung beantwortet noch nicht die Fragen nach Speicherung, Zugriff und Löschung.
4. Wo werden Daten verarbeitet und gespeichert?
Ermitteln Sie den Datenfluss einschließlich Unterauftragnehmern und zusätzlichen Diensten. Speicherung und Verarbeitung können unterschiedliche Orte betreffen. Eine gewählte Region muss zum tatsächlichen Einsatz passen. Die Datenschutzprüfung umfasst auch mögliche Übermittlungen außerhalb des Europäischen Wirtschaftsraums.
5. Wer ist verantwortlich und was ist geregelt?
Klären Sie die Rollen der Beteiligten. Liegt Auftragsverarbeitung vor, sind die Anforderungen aus Artikel 28 DSGVO zu berücksichtigen. Zweck, Rechtsgrundlage, Zugriffe, Aufbewahrung und Löschung gehören in die Dokumentation. Schutzmaßnahmen müssen zum Risiko passen. Bei voraussichtlich hohem Risiko ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
Das Ergebnis nachvollziehbar festhalten
Ein kurzes Prüfblatt kann Zweck, Datenarten, Anbieter und Version, Datenfluss, Vertragsstand, Schutzmaßnahmen sowie Zuständigkeit und Datum der Freigabe zusammenführen. Offene Fragen werden vor der betreffenden Nutzung geklärt. Das Prüfraster unterstützt die Abstimmung mit Datenschutzverantwortlichen und fachkundiger Rechtsberatung; es ersetzt keine Prüfung des Einzelfalls.
Drei Fragen für Ihren Betrieb
- Sind Zweck, Datenarten und tatsächliche Produktversion dokumentiert?
- Sind Datenfluss, Vertragsrollen und Zugriffsschutz geprüft?
- Ist die konkrete Nutzung intern bewertet und freigegeben?