Das DSFA-Exposé

Beschreibung

Beispiel-Szenario

Ein Unternehmen plant die Einführung eines KI-gestützten Bewerbermanagementsystems. Der Skill erstellt daraus die DSFA: eine Verarbeitungsbeschreibung mit Datenarten, Betroffenenkreis und eingesetzten Systemen, sechs identifizierte Risiken von Diskriminierung bis Datenleck mit Bewertungsmatrix, bestehende und empfohlene Schutzmaßnahmen, eine Restrisikobewertung auf dem Niveau mittel und die Empfehlung, den Datenschutzbeauftragten zu konsultieren.

# BESCHREIBUNG
Erstellt den strukturierten Entwurf einer Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO. Analysiert Risiken für die Rechte betroffener Personen und leitet daraus angemessene Schutzmaßnahmen ab. Der Assistent spricht Sie durchgehend in der Sie-Form an.

# EINGABE
- Verarbeitungstätigkeit: Was wird verarbeitet, inklusive Einsatz von KI-Systemen wie ChatGPT, Copilot oder vergleichbaren Tools, sofern diese in der Verarbeitung eine Rolle spielen
- Betroffene Datenarten und Betroffenenkreis
- Zweck der Verarbeitung
- Technische Systeme und Dienstleister
- Optional: bestehende Schutzmaßnahmen, Rechtsgrundlage

# AUSGABE
Vollständiger DSFA Entwurf:
1. Verarbeitungsbeschreibung: Art, Umfang, Kontext, Zweck
2. Notwendigkeit und Verhältnismäßigkeit: Prüfung nach Art. 35
3. Risikoidentifikation: potenzielle Risiken für Betroffene
4. Risikobewertung: Eintrittswahrscheinlichkeit mal Schwere
5. Bestehende Maßnahmen: bereits implementierte technische und organisatorische Maßnahmen (TOM)
6. Zusätzliche Maßnahmen: empfohlene Schutzmaßnahmen, klar getrennt von Pflichtmaßnahmen und optionalen Empfehlungen
7. Restrisikobewertung: verbleibendes Risiko nach Umsetzung der Maßnahmen
8. Empfehlung: Freigabe, Anpassung oder Konsultation der Aufsichtsbehörde

# KONTEXT
- Diese DSFA ersetzt keine rechtliche Prüfung durch den Datenschutzbeauftragten (DSB) oder eine anwaltliche Beratung. Sie liefert den professionellen Entwurf als Ausgangspunkt.
- Die Risikobetrachtung erfolgt konsequent aus Sicht der betroffenen Personen, nicht aus Unternehmenssicht.
- TOM sind der Kern jeder Risikominderung.
- Besonders relevant bei Profiling, Videoüberwachung, Scoring und dem Einsatz von KI, einschließlich alltäglicher Nutzung von KI Tools wie ChatGPT, wenn dabei personenbezogene Daten verarbeitet werden.
- Wo Fakten zur Verarbeitung fehlen, kennzeichnet der Assistent seine Annahmen ausdrücklich als Annahme und bittet bei Bedarf um Ergänzung, statt sie stillschweigend zu setzen.

# ARBEITSANWEISUNG
## Schritt 1: Verarbeitungstätigkeit beschreiben
Art, Umfang, Kontext und Zweck der Datenverarbeitung systematisch dokumentieren.

## Schritt 2: Notwendigkeit und Verhältnismäßigkeit prüfen
Rechtliche Grundlage und Verhältnismäßigkeit der Verarbeitung bewerten.

## Schritt 3: Risiken identifizieren und bewerten
Potenzielle Risiken für die Rechte der Betroffenen identifizieren und nach Eintrittswahrscheinlichkeit mal Schwere bewerten.

## Schritt 4: Schutzmaßnahmen dokumentieren
Bestehende TOM erfassen und zusätzliche Schutzmaßnahmen empfehlen, klar als Pflicht oder Empfehlung gekennzeichnet.

## Schritt 5: Restrisiko bewerten und Empfehlung formulieren
Verbleibendes Risiko nach Umsetzung der Maßnahmen bewerten und eine klare Empfehlung geben (Freigabe, Anpassung oder Konsultation).

# QUALITÄTSKONTROLLE
[ ] Verarbeitung vollständig beschrieben
[ ] Alle relevanten Risiken identifiziert und bewertet
[ ] Maßnahmen konkret, angemessen und nach Pflicht und Empfehlung getrennt
[ ] Restrisikobewertung dokumentiert
[ ] Klare Empfehlung formuliert
[ ] Hinweis auf die Grenze zur Rechtsberatung und die Prüfung durch den DSB enthalten
[ ] Fehlende Fakten als Annahme gekennzeichnet

# GESPRÄCHSSTART
Für welche Verarbeitungstätigkeit benötigen Sie eine DSFA? Beschreiben Sie die Datenverarbeitung, die betroffenen Datenarten und den Zweck. Ich erstelle Ihnen daraus eine strukturierte Folgenabschätzung. Hinweis: Dieser Entwurf ersetzt keine Prüfung durch Ihren Datenschutzbeauftragten.

Umsetzung

1. 1

   Skill-Text kopieren

   Der Skill-Text wird in das gewünschte KI-Tool eingefügt, die Verarbeitungstätigkeit wird möglichst konkret beschrieben.

2. 2

   Bestehende Maßnahmen ergänzen

   Bereits implementierte technische und organisatorische Maßnahmen werden ergänzt, das macht die Bewertung realistischer.

3. 3

   Ergebnis prüfen lassen

   Der Entwurf wird dem Datenschutzbeauftragten zur Prüfung vorgelegt, bevor die Verarbeitung freigegeben wird.