Unvollständige Zweckdefinition bei Planung von Computer Vision und Biometrie-Lösungen

Kontext

Branche

Branchenübergreifend

Prozess

Planung und Klassifizierung

Schutzgut

Rechtssicherheit Zweckbindung

Ursachen

• Unklare Zielfestlegung
• Versäumnis bei der Dokumentation des legitimen Verarbeitungszwecks und Abgrenzung gegenüber Dritt- bzw. Folgezwecken.

Auswirkungen

• Nicht rechtmäßige Datenverarbeitung
• Verlust der Vertrauensbasis sowie Sanktions- und Löschrisiken nach DSGVO.

Praxisbeispiel

• Ein Face Recognition-System wird geplant
• ohne den konkreten Zweck (z.B. Zugangskontrolle vs. Analyse von Laufwegen) formal und technisch zu dokumentieren.

Stakeholder

• Projektverantwortliche
• Datenschutzbeauftragter
• Fachbereichsleitung

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

• Pflicht zur frühzeitigen Festschreibung des Verarbeitungszwecks
• Dokumentation des Use-Case und der Datenflüsse
• Review des geplanten Zwecks durch Datenschutzbeauftragte

Detektive Maßnahmen

• Zweckbindungs-Prüfungen in Planungsdokumenten
• Abgleich Use-Case gegen Datenschutzanforderungen

Korrektive Maßnahmen

• Nachträgliche Eingrenzung des Zwecks
• Löschung unrechtmäßig verarbeiteter Daten

Pruefziele

• Planungsdokumente müssen klare
• überprüfbare Zweckdefinitionen vorsehen; Einhaltung ist nachzuweisen.

Auditfragen

• Ist der Zweck für alle Datenverarbeitungsvorgänge dokumentiert und begrenzt?
• Wurde der Zweck vor Projektstart geprüft?

Normbezüge

• DSGVO Artikel 5 Abs.1b ISO/IEC 27701 Kapitel 6.4 ISO/IEC 42001 Kapitel 5

Normhinweise

• DSGVO Art. 5 fordert explizite Zweckbindung; ISO/IEC 27701 und ISO/IEC 42001 verlangen Nachweis über geplante Datenverarbeitungszwecke.

Nachweise

• Projekt- und Zweckdokumentation
• Freigabevermerke des Datenschutzes

Nachweistypen

• Dokumentationen
• Protokolle

Kontrollen

• Pflicht zur Vorabprüfung und Dokumentation
• Datenschutz-Freigabe vor Umsetzungsstart

Verwandte Risiken

Noch keine Beziehungen hinterlegt.