plenty | no more missing links

Die Erstellung der kompletten Dokumentation ist nicht nur zwingend vorgeschrieben, sondern auch der reguläre Beginn der Tätigkeit des Datenschutzbeauftragten, sie stellt quasi die Arbeitsgrundlage für seine Tätigkeit dar.

Da in den Kanzleien der steuer- und teilweise auch der rechtsberatenden Berufe oft die Produkte der DATEV eingesetzt werden (hier speziell DATEV-DFÜ, DATEV-Komm-Server, DATEVnet, DATEVvpn, DATEV-Fernbetreuung, DATEV-NuKo, NSM, ASP usw.) verbietet sich hier, die DATEV selbst mit den Datenschutz-Consultingarbeiten für Kanzleien zu beauftragen. Dies gilt auch für die DATEV-Systempartner, deren Installationen (Internet-Anbindungen, Heimarbeitsplatz-Einwahl, VPN-Verbindungen, Fernbetreuungs-Router, Passwortvergabe, Sicherheitseinrichtungen usw.) gerade eines der Gefährdungspotentiale bieten, welches durch einen externen Datenschutzbeauftragten erfasst und kontrolliert werden sollte. Andererseits muss aber ein externer oder interner Datenschutzbeauftragter ein DATEV-bezogenes, technisches Kanzlei-Spezialwissen haben und sich ergänzend im Standesrecht auskennen.

Vorabkontrolle nach § 4 d Abs. 5 BDSG

Bei der Vorabkontrolle werden die automatisierten Verarbeitungen bereits vor ihrem Beginn geprüft. Ihr unterliegen Verarbeitungen, die besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen. Die Entscheidung, wann diese besonderen Risiken gegeben sind, dürfte in der Praxis Probleme bereiten. Die Vorabkontrolle ist beispielsweise durchzuführen, wenn besondere Arten personenbezogener Daten (Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit- oder Sexualleben) verarbeitet werden oder die Verarbeitung personenbezogener Daten dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten einschließlich seiner Fähigkeiten, seiner Leistung oder seines Verhaltens. Um eine sachgerechte Eingrenzung der Fälle der Vorabkontrolle zu erreichen, ist sie nicht erforderlich, wenn der Datenverarbeitung eine gesetzliche Verpflichtung oder eine Einwilligung zugrunde liegt oder diese der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient.

Erstellung der internen Verarbeitungsübersicht

Die Erstellung der internen Verarbeitungsübersicht ist im Gegensatz zum Verfahrensverzeichnis für Jedermann eine sehr umfangreiche Aufgabe, die ohne entsprechendes juristisches, IT-technisches und kanzleispezifisches Hintergrundwissen und Anleitung kaum zu bewältigen ist und auch keinesfalls standardisiert erfolgen kann, da sehr spezifische Fragen zur Situation im jeweiligen Unternehmen zu beantworten sind. Hier ist z.B. auch fachliches Wissen bezüglich Gebäudesicherheit usw. gefragt - bis hin zu DIN-Normen bei einbruchsicheren Türen und Fenstern.