Datenschutz-Folgenabschätzung (DSFA): Vorlage für kloq (Art. 35 DSGVO, Art. 22 revDSG)

1. Zweck dieser Vorlage und Ablauf

Eine Datenschutz-Folgenabschätzung ist eine strukturierte Prüfung, die vor der Verarbeitung durchgeführt wird, wenn sie voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt (Art. 35 DSGVO; Schweiz Art. 22 revDSG). Sie besteht aus:

1. Beschreibung der Verarbeitung (Abschnitt 3).
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit (Abschnitt 4).
3. Bewertung der Risiken für die Betroffenen (Abschnitte 5 bis 8).
4. Maßnahmen zur Bewältigung der Risiken (jeweils in der Szenarien-Tabelle).
5. Konsultation (Abschnitt 9) und Freigabe (Abschnitt 11).

Die Vorlage deckt vier Szenarien ab: A Standort, B Biometrie-Terminal, C Gesundheitsdaten, D Zugriffsprotokolle. Bearbeiten Sie nur die Szenarien, die Sie einsetzen. Ein Szenario, das Sie nicht einsetzen, wird gestrichen und im Kopfteil vermerkt.

2. Allgemeine Angaben

2.1 Schwellenwertprüfung: Ist eine DSFA nötig?

Das Ergebnis trägt das Unternehmen selbst ein. Die Hinweise unten sind Fundstellen aus der Recherche, keine abschließende Aussage.

3. Beschreibung der Verarbeitung

4. Notwendigkeit und Verhältnismäßigkeit

Das Unternehmen prüft für jede Datenkategorie, ob sie erforderlich ist und ob ein milderes Mittel genügt. Eine Betriebsvereinbarung ersetzt diese Prüfung nicht: Auch Kollektivvereinbarungen müssen Art. 5, 6 und 9 DSGVO einhalten.

5. Szenario A: Standort (Geofence, NFC-Tag, GPS beim Stempeln)

5.1 Beschreibung

1. Modus: aus / nur NFC-Tag / Geofence mit Markierung / Geofence mit Durchsetzung. Gewählt: [MODUS].
2. Daten: Standortergebnis (innerhalb, außerhalb, unbekannt, nicht erhoben), Genauigkeit, Kennung des Geofence oder Tags. Koordinaten werden standardmäßig nicht gespeichert. Falls doch: [BEGRÜNDUNG, FRIST HÖCHSTENS 30 TAGE, VERSCHLÜSSELT, GETRENNTE TABELLE].
3. Abfrage nur beim Stempeln, nie im Hintergrund; keine Pflicht zur Standortfreigabe, gleichwertiger Kanal vorhanden.
4. Rechtliche Hinweise: AT Kontrollmaßnahme nach § 96 Abs. 1 Z 3 ArbVG beziehungsweise § 10 AVRAG; DE § 87 Abs. 1 Nr. 6 BetrVG; CH Art. 26 ArGV 3 (keine Verhaltensüberwachung) und Art. 328b OR.

5.2 Risiken und Maßnahmen

6. Szenario B: Biometrie-Terminal

6.1 Beschreibung

1. Biometrische Daten zur eindeutigen Identifizierung sind besondere Kategorie (Art. 9 Abs. 1 DSGVO); CH: besonders schützenswert (Art. 5 lit. c Ziff. 4 revDSG), Einwilligung ausdrücklich (Art. 6 Abs. 7 revDSG).
2. Das Merkmal bleibt im Terminal. kloq erhält nur die Personenkennung. Das Unternehmen bleibt Verantwortlicher. Terminal-Hersteller: [NAME, ROLLE].
3. Rechtsprechung: AT Fingerscan ohne Zustimmung des Betriebsrats unzulässig; DE Fingerabdruck-Zeiterfassung als nicht erforderlich beurteilt, Verweigerung ohne Abmahnungsfolge.
4. Voraussetzung: Nicht-Biometrie-Alternative ohne Nachteil.

6.2 Risiken und Maßnahmen

7. Szenario C: Gesundheitsdaten (Krankenstand, Anhänge, Schutzzeiträume)

7.1 Beschreibung

1. Gesundheitsdaten sind besondere Kategorie (Art. 9 DSGVO). Zulässig nur, soweit zur Ausübung arbeitsrechtlicher Rechte und Pflichten erforderlich (Art. 9 Abs. 2 lit. b DSGVO; DE § 26 Abs. 3 BDSG); CH Art. 328b OR.
2. Erforderlich ist regelmäßig nur die Tatsache der Arbeitsunfähigkeit, die voraussichtliche Dauer und gegebenenfalls ein Hinweis auf Arbeitsunfall. Keine Diagnose.
3. Upload eines Fotos der Bescheinigung: [AUS / EIN, BEGRÜNDUNG]. In Deutschland ruft der Arbeitgeber bei gesetzlich Versicherten die elektronische Bescheinigung ab (seit 1. Januar 2023).
4. Schwangerschaft, Stillzeit und Behinderung erscheinen in der Planung nur als neutrale Einsatzbeschränkung ohne Grund.

7.2 Risiken und Maßnahmen

8. Szenario D: Zugriffsprotokolle

8.1 Beschreibung

1. kloq protokolliert Administrationsvorgänge, Anmeldungen, Exporte und Zugriffe auf sensible Felder. Beschäftigte können „Wer hat meine Daten gesehen?“ einsehen: Datum, Rolle, Objektart, Zweck. Namen der Zugreifenden sind optional und standardmäßig aus.
2. Das Protokoll ist ein Datenbestand über Personal, Teamleitungen und Administration und selbst mitbestimmungsrelevant (AT § 96 Abs. 1 Z 3 und § 96a ArbVG; DE § 87 Abs. 1 Nr. 6 BetrVG).
3. Datum und Zweck von Abfragen sind auskunftspflichtig, die Namen der Abfragenden grundsätzlich nicht (EuGH C-579/21).
4. CH: Bei umfangreicher automatisierter Bearbeitung besonders schützenswerter Daten oder Profiling mit hohem Risiko ist eine Protokollierung vorgesehen, Aufbewahrung mindestens ein Jahr, getrennt vom System (Art. 4 DSV).

8.2 Risiken und Maßnahmen

9. Konsultation

1. Betriebsrat / Arbeitnehmervertretung. Der Betriebsrat (CH: Arbeitnehmervertretung oder die Arbeitnehmenden) wurde am [DATUM] einbezogen. Stellungnahme: [ZUSAMMENFASSUNG]. Berücksichtigung: [ERGEBNIS].
2. Datenschutzbeauftragte/r. Beratung am [DATUM]. Stellungnahme: [ZUSAMMENFASSUNG]. Gefolgt oder abgewichen, mit Begründung: [BEGRÜNDUNG].
3. Betroffene. Meinungen der Betroffenen oder ihrer Vertretung wurden eingeholt: [WIE / WARUM NICHT].
4. Auftragsverarbeiter. [FIRMA] hat die technischen Angaben (Datenflüsse, Maßnahmen) bereitgestellt: [DATUM].
5. Aufsichtsbehörde. Verbleibt ein hohes Restrisiko, ist zu prüfen, ob die Aufsichtsbehörde zu konsultieren ist: [ENTSCHEIDUNG UND BEGRÜNDUNG].

10. Gesamtbewertung

Auflagen und Fristen: [AUFLISTEN].

11. Freigabe und Überprüfung

1. Die Verantwortliche beziehungsweise der Verantwortliche hat die DSFA geprüft und freigegeben am [DATUM]: [NAME, FUNKTION].
2. Das Mitbestimmungs-Gate in kloq wird erst nach der Freigabe bestätigt. Es sperrt die Funktion nicht technisch; die Einhaltung ist Sache des Unternehmens.
3. Die DSFA wird überprüft bei jeder neuen Funktion (Änderungsfall nach der Betriebsvereinbarung), bei Änderungen der Verarbeitung, bei Sicherheitsvorfällen und spätestens am [DATUM].

[ORT], [DATUM]

[NAME, FUNKTION]