Berechtigte-Interesse-Abwägung erstellen

Berechtigte-Interesse-Abwägung erstellen

Die Erstellungsmaske für die Berechtigte-Interesse-Abwägung (LIA) ist der Ort, an dem Ihre Organisation die Verwendung von berechtigtem Interesse als Rechtsgrundlage für die Verarbeitung personenbezogener Daten gemäß Art. 6 Abs. 1 lit. f DSGVO formal dokumentiert und begründet. Statt einer bloßen Checkbox führt diese Maske Sie durch den vollständigen dreiteiligen Test: Identifikation des Interesses, Nachweis der Erforderlichkeit und Abwägung Ihrer Interessen gegen die Rechte der betroffenen Personen. Das Ergebnis ist ein revisionssicherer Nachweis, den Sie bei Behördenprüfungen, Auskunftsersuchen oder internen Reviews vorlegen können. Primäre Nutzer dieser Maske sind Datenschutzbeauftragte (DSB), Compliance-Verantwortliche und Datenschutzmanager.

So öffnen Sie die Maske

Wählen Sie in der linken Hauptnavigation den Eintrag Berechtigtes Interesse und klicken Sie auf der Übersichtsseite auf die Schaltfläche Erstellen. Sie können auch direkt die Erstellungs-URL aufrufen. Um eine bereits vorhandene Abwägung weiterzubearbeiten, klicken Sie auf die entsprechende Zeile in der Liste und nutzen Sie die Bearbeitungssteuerelemente auf der Detailseite.

Erforderliche Berechtigung: Sie benötigen mindestens eine der folgenden Berechtigungen: Datensätze zum berechtigten Interesse erstellen, bearbeiten oder nur die Ihnen zugewiesenen Datensätze bearbeiten. Fehlt diese Berechtigung, zeigt DPMS anstelle des Formulars eine „403 Forbidden"-Seite.

Was Sie sehen

Die Erstellungsmaske gliedert sich in zwei Bereiche. Links befindet sich ein schmales Elementmenü mit den Registerkarten: Allgemein, Erforderlichkeit, Interessenabwägung, Aufgaben, Bewertungen und Zugriffssteuerung. Bei einem neuen Datensatz sind alle Registerkarten außer Allgemein ausgegraut und gesperrt — das ist so beabsichtigt. DPMS verlangt, dass Sie zunächst einen Namen vergeben und speichern, bevor die vertiefenden Analyseregisterkarten freigeschaltet werden.

Auf der rechten Seite befindet sich der eigentliche Formularbereich. Ein Zurück-Pfeil oben links ermöglicht die Rückkehr zur Übersichtsliste. Darunter werden die Felder der jeweils aktiven Registerkarte in einer Kartenansicht mit blauem seitlichem Hervorhebungsbalken angezeigt. Ein kleines Symbol ganz links ermöglicht es, das Menü ein- und auszuklappen, um dem Formular mehr Platz zu geben.

Sobald Sie die Registerkarte Allgemein gespeichert haben und der Datensatz eine ID besitzt, werden alle Registerkarten klickbar und Sie können sich frei zwischen ihnen bewegen.

So arbeiten Sie mit dieser Maske

Eine neue Abwägung von Grund auf erstellen

Wenn Sie die Maske öffnen, befinden Sie sich auf der Registerkarte Allgemein. Diese Registerkarte erfasst die Identität der Abwägung — wer verantwortlich ist, zu welchem Unternehmensbereich sie gehört und wie sie heißt.

Prüfen Sie zunächst das Status-Dropdown oben im Formular. Neue Datensätze werden standardmäßig als Entwurf angelegt, was in dieser Phase in der Regel richtig ist. Wenn Ihre Organisation benutzerdefinierte Status in den Compliance-Einstellungen konfiguriert hat, erscheinen diese neben den Systemstandards. Lassen Sie den Status vorerst auf Entwurf und ändern Sie ihn, sobald die Analyse abgeschlossen ist.

Klicken Sie anschließend auf das Auswahlfeld Verantwortliche Personen und fügen Sie den Namen der Person hinzu, die für diese Abwägung „zuständig" ist — typischerweise Sie selbst, der DSB oder der Abteilungsleiter des betroffenen Verarbeitungsvorgangs. Es können mehrere Personen eingetragen werden. Dieses Feld dient ausschließlich als Verantwortlichkeitsnachweis; es steuert nicht, wer den Datensatz sehen oder bearbeiten kann (das regelt separat die Registerkarte Zugriffssteuerung).

Wählen Sie im Dropdown Organisationseinheit die zuständige interne Abteilung. Dies ermöglicht die Filterung nach Geschäftsbereichen in der Übersichtsliste. Das Feld ist optional, erleichtert jedoch die spätere Berichterstellung erheblich.

Fügen Sie im Auswahlfeld Betroffene Personen die relevanten Kategorien von Betroffenen hinzu — zum Beispiel Mitarbeiter, Kunden oder Website-Besucher. Diese tag-basierten Bezeichnungen stammen aus den Compliance-Einstellungen Ihres Systems. Wenn ein benötigtes Tag noch nicht existiert, können Sie es direkt erstellen. Die hier gewählten Tags fließen unmittelbar in die spätere Interessenabwägung ein.

Tragen Sie im Feld Name einen aussagekräftigen Titel ein. Dieser ist der primäre Bezeichner, der in der Liste und in verknüpften Datensätzen im gesamten DPMS erscheint. Wenn Ihre Organisation mehrsprachig arbeitet, klicken Sie auf das kleine Übersetzungssymbol neben dem Feld, um das Übersetzungspanel zu öffnen und Versionen in anderen Sprachen hinzuzufügen — oder nutzen Sie die KI-Übersetzungsfunktion, um einen Entwurf zu generieren.

Optional können Sie im Textfeld Kurzbeschreibung einige Sätze verfassen, die erläutern, was der Verarbeitungsvorgang ist und warum berechtigtes Interesse als Rechtsgrundlage herangezogen wird. Dieser Text erscheint in der Detailansicht und in etwaigen Exporten.

Wenn Sie bereit sind, klicken Sie unten auf Speichern (oder Weiter). DPMS legt den Datensatz an und leitet Sie sofort zur Registerkarte Erforderlichkeit weiter, die nun freigeschaltet ist.

Den dreiteiligen Test durchführen

Der dreiteilige Test erstreckt sich über drei Registerkarten. Sie werden der Reihe nach durch sie geführt, können aber nach dem ersten Speichern jederzeit vor- und zurücknavigieren.

Auf der Registerkarte Erforderlichkeit sehen Sie vier Textfelder. Jedes entspricht einer zentralen Frage, die Aufsichtsbehörden erwarten:

• Wird die Verarbeitung die Ziele erreichen? — Erfüllt die Verarbeitung den angegebenen Zweck tatsächlich?
• Kann der Zweck ohne Verarbeitung erreicht werden? — Wenn ja, kann berechtigtes Interesse nicht als Rechtsgrundlage herangezogen werden.
• Steht die Verarbeitung in einem angemessenen Verhältnis zum Zweck? — Ist Umfang und Sensitivität der verarbeiteten Daten durch den Bedarf gerechtfertigt?
• Gibt es weniger einschneidende Mittel? — Wurden datenschutzfreundlichere Alternativen geprüft, und warum wurden sie verworfen?

Tragen Sie Ihre Analyse in die jeweiligen Felder ein. Jedes Feld verfügt über ein Übersetzungssymbol für mehrsprachige Versionen. Keines der Felder ist technisch zum Speichern zwingend erforderlich, Sie sollten sie jedoch für eine gründliche, belastbare Abwägung als Pflichtfelder behandeln. Klicken Sie nach Abschluss auf Speichern. DPMS speichert den Datensatz und wechselt zur Registerkarte Interessenabwägung.

Auf der Registerkarte Interessenabwägung dokumentieren Sie die Faktoren, die für oder gegen Ihr berechtigtes Interesse sprechen. Arbeiten Sie die Felder von oben nach unten durch:

Nutzen Sie das Textfeld Personen benötigen besonderen Schutz, um anzugeben, ob die zuvor getaggten Betroffenen einer gefährdeten Gruppe angehören — Kinder, Arbeitnehmer in einem Abhängigkeitsverhältnis, Menschen mit Behinderungen usw. Das Vorhandensein solcher Gruppen spricht gegen die Verwendung des berechtigten Interesses.

Wählen Sie aus dem Dropdown Datenverarbeitungskontext entweder Persönlich oder Beruflich. Dies ist das einzige Dropdown auf dieser Registerkarte — alle anderen Felder sind Freitextfelder. Personen in einem beruflichen Kontext (als Arbeitnehmer oder Geschäftskontakte) haben im Allgemeinen eine geringere Erwartung an den Datenschutz als Privatpersonen. Wenn der Kontext gemischt oder differenzierter ist, wählen Sie die passendste Option und nutzen Sie das Textfeld Verhältnis zu den Personen für ergänzende Erläuterungen.

Füllen Sie das Feld Verhältnis zu den Personen aus, um das Verhältnis zwischen Ihrer Organisation und den Betroffenen zu beschreiben — zum Beispiel Arbeitgeber-Arbeitnehmer, Dienstleister-Kunde oder Plattform-Nutzer.

Verwenden Sie Daten direkt erhoben, um anzugeben, ob die Daten direkt von der betroffenen Person (die somit von der Erhebung wusste) oder von einem Dritten stammen. Wenn die Daten von einem Dritten stammen, beschreiben Sie im Feld Was hat der Dritte über die Person offengelegt? genau, welche Informationen weitergegeben wurden. Diese beiden Felder ergänzen sich gegenseitig und fließen in die Transparenzanalyse ein.

Beschreiben Sie in Auswirkungen der Verarbeitung auf Betroffene die potenziellen Folgen für die betroffenen Personen — positiv, neutral oder negativ — und deren Ausmaß. Schätzen Sie anschließend in Wahrscheinlichkeit und Schwere der Auswirkungen ein, wie wahrscheinlich diese Folgen eintreten und wie schwerwiegend sie wären. Diese beiden Felder bilden den Kern der Verhältnismäßigkeitsanalyse.

Wenn alle Felder zu Ihrer Zufriedenheit ausgefüllt sind, klicken Sie auf Speichern. Anders als bei den vorherigen Registerkarten leitet dieser Speichervorgang Sie nicht zu einer weiteren Analyseregisterkarte weiter — der dreiteilige Test ist abgeschlossen. Sie können nun Aufgaben und Bewertungen verknüpfen oder Zugriffskontrollen konfigurieren.

Aufgaben und Nachweise verknüpfen

Sobald der Datensatz gespeichert wurde, werden die Registerkarten Aufgaben und Bewertungen im linken Menü verfügbar.

Klicken Sie auf Aufgaben, um das Aufgaben-Panel zu öffnen. Hier können Sie bestehende Aufgaben aus dem gesamten DPMS mit dieser Abwägung verknüpfen — zum Beispiel eine Aufgabe zur Implementierung eines Widerspruchsmechanismus, zur Aktualisierung einer Datenschutzerklärung oder zur Überprüfung eines Drittanbietervertrags. Jede verknüpfte Aufgabenzeile ist anklickbar und führt direkt zur Detailseite der Aufgabe.

Klicken Sie auf Bewertungen, um das Bewertungs-Panel zu öffnen. Hier können Sie fragebogenbasierte Bewertungen — etwa Lieferantenbefragungen oder Risikoerhebungen — mit der Abwägung verknüpfen und so zusätzliche Belege für Ihren Abwägungstest bereitstellen.

Den Zugriff auf eine sensible Abwägung einschränken

Wenn eine Abwägung sensible HR-Daten, Führungsentscheidungen oder andere vertrauliche Informationen betrifft, die nur einem Teil Ihres Compliance-Teams zugänglich sein sollen, verwenden Sie die Registerkarte Zugriffssteuerung.

Diese Registerkarte ist nur verfügbar, nachdem der Datensatz zum ersten Mal gespeichert wurde. Klicken Sie auf sie, um das Zugriffssteuerungsformular zu öffnen. Sie können bestimmten Benutzergruppen oder Einzelpersonen Lese- oder Schreibzugriff auf diesen Datensatz erteilen. Alle nicht aufgeführten Gruppen können den Datensatz nicht sehen — unabhängig von ihren modulweiten Berechtigungen.

Wenn Sie die Zugriffseinstellungen speichern, leitet DPMS Sie zur Detailansicht der Abwägung weiter. Ab diesem Zeitpunkt ist der Datensatz nur für die von Ihnen festgelegten Personen und Gruppen sichtbar.

Übersetzungen für eine mehrsprachige Organisation hinzufügen

Wenn Ihre Organisation in mehreren Rechtsgebieten tätig ist und Dokumentation in verschiedenen Sprachen benötigt, unterstützt jedes Textfeld auf dieser Maske mehrsprachige Inhalte.

Klicken Sie auf einer beliebigen Registerkarte auf das kleine Übersetzungssymbol neben einem Textfeld. Es öffnet sich ein Panel mit allen in Ihrer DPMS-Installation aktiven Sprachen. Sie können Übersetzungen manuell eingeben oder auf die KI-Übersetzungsfunktion klicken, um auf Basis Ihrer bereits eingetragenen Inhalte einen Entwurf in jeder Sprache generieren zu lassen. Prüfen Sie automatisch übersetzte Texte stets sorgfältig — rechtliche Dokumentation muss präzise sein und sollte vor der Freigabe von einer fachkundigen Person überprüft werden.

Nach dem Anwenden einer KI-Übersetzung erscheint ein kleines Hinweissymbol neben dem Feldnamen. Dieses Symbol ist rein informativ; es bedeutet nicht, dass die Übersetzung überprüft oder genehmigt wurde.

Feldreferenz

Status — Die aktuelle Lebenszyklusphase der Abwägung. Standardmäßig Entwurf bei neuen Datensätzen. Wechseln Sie zu Überprüfung, wenn die Analyse für eine zweite Meinung bereit ist, und zu Aktiv, sobald sie genehmigt wurde. In den Compliance-Einstellungen konfigurierte benutzerdefinierte Status erscheinen ebenfalls hier.

Verantwortliche Personen — Ein oder mehrere DPMS-Nutzer, die für diese Abwägung als Compliance-Angelegenheit verantwortlich sind. Steuert nicht den systemseitigen Zugriff — dafür ist die Zugriffssteuerung zuständig. Optional; eine leere Liste verhindert das Speichern nicht.

Organisationseinheit — Die interne Abteilung oder das Team, zu der/dem diese Abwägung gehört. Wird für Filter und Berichte verwendet. Optional.

Betroffene Personen — Tag-basierte Bezeichnungen zur Identifikation der Kategorien betroffener Personen (z. B. Mitarbeiter, Kunden). Stammen aus den Compliance-Einstellungen → Tags → Betroffene Personen. Neue Tags können direkt angelegt werden. Optional, wird jedoch dringend empfohlen, da diese Tags in die Interessenabwägung einfließen.

Name — Der lesbare Titel der Abwägung. Unterstützt mehrere Sprachen über das Übersetzungssymbol. Primärer Bezeichner in der Liste und in verknüpften Datensätzen.

Kurzbeschreibung — Freitext-Zusammenfassung des Verarbeitungsvorgangs und der Begründung für das berechtigte Interesse. Optional. Bei leerem Feld zeigt die Detailansicht einen Gedankenstrich.

Wird die Verarbeitung die Ziele erreichen? — Registerkarte Erforderlichkeit. Freitext. Beantwortet, ob die Verarbeitung den angegebenen Zweck tatsächlich erfüllt.

Kann der Zweck ohne Verarbeitung erreicht werden? — Registerkarte Erforderlichkeit. Freitext. Wenn ja, kann berechtigtes Interesse nicht als Rechtsgrundlage verwendet werden.

Steht die Verarbeitung in einem angemessenen Verhältnis zum Zweck? — Registerkarte Erforderlichkeit. Freitext. Begründet Umfang, Sensitivität und Reichweite der Verarbeitung.

Gibt es weniger einschneidende Mittel? — Registerkarte Erforderlichkeit. Freitext. Dokumentiert, ob Alternativen geprüft wurden.

Personen benötigen besonderen Schutz — Registerkarte Interessenabwägung. Freitext. Gibt an, ob Betroffene einer gefährdeten Gruppe angehören.

Datenverarbeitungskontext — Registerkarte Interessenabwägung. Dropdown mit zwei Optionen: Persönlich und Beruflich. Es gibt keine Option „gemischt" oder „k. A."; wählen Sie die passendste Option und ergänzen Sie Nuancen im Feld Verhältnis zu den Personen.

Verhältnis zu den Personen — Registerkarte Interessenabwägung. Freitext. Beschreibt das Verhältnis zwischen Ihrer Organisation und den Betroffenen.

Daten direkt erhoben — Registerkarte Interessenabwägung. Freitext. Gibt an, ob Daten direkt von der betroffenen Person oder von einem Dritten stammen.

Was hat der Dritte über die Person offengelegt? — Registerkarte Interessenabwägung. Freitext. Erforderlich, wenn Daten von einem Dritten stammen.

Auswirkungen der Verarbeitung auf Betroffene — Registerkarte Interessenabwägung. Freitext. Beschreibt die potenziellen Folgen für betroffene Personen.

Wahrscheinlichkeit und Schwere der Auswirkungen — Registerkarte Interessenabwägung. Freitext. Schätzt Wahrscheinlichkeit und Schwere der identifizierten Auswirkungen ein.

Einbindung in das übrige DPMS

Das Modul Berechtigtes Interesse steht im Mittelpunkt Ihrer Dokumentation zur Rechtsgrundlage. Nach Erstellung und Abschluss einer Abwägung wirkt sie in mehrere andere Bereiche des Systems hinein:

• ROPA (Verarbeitungsverzeichnis): Wenn Sie einen ROPA-Datensatz mit einer Abwägung verknüpfen, werden die Kategorien personenbezogener Daten und besonderer Kategorien aus dem ROPA im schreibgeschützten Bereich „Interessenabwägung" der Detailansicht der Abwägung angezeigt. Dies ermöglicht eine verknüpfte Darstellung, ohne Informationen neu eingeben zu müssen. Die Verknüpfung wird auf der ROPA-Seite hergestellt, nicht auf dieser Maske.
• Aufgabenmodul: Auf der Registerkarte Aufgaben verknüpfte Aufgaben erscheinen im Aufgabenmodul mit einem Verweis auf diese Abwägung. So können Compliance-Manager und Abteilungsleiter Folgemaßnahmen verfolgen, ohne das Modul Berechtigtes Interesse aufrufen zu müssen.
• Bewertungsmodul: Hier verknüpfte fragebogenbasierte Bewertungen sind auch im Bewertungsmodul sichtbar, und die Detailseite der Bewertung zeigt die Anzahl der verknüpften Abwägungen zum berechtigten Interesse an.
• Compliance-Einstellungen: Die Statusoptionen auf dieser Maske werden unter Compliance-Einstellungen → Status → Berechtigtes-Interesse-Status konfiguriert. Die Tags für betroffene Personen werden im gesamten DPMS geteilt, einschließlich des ROPA-Moduls.

Nach Abschluss dieser Maske sind Ihre nächsten Schritte typischerweise: Status auf Überprüfung setzen, die Datensatz-URL mit einem Reviewer teilen und — nach Genehmigung — den Status auf Aktiv setzen. Wenn die Abwägung auf einen bereits im ROPA dokumentierten Verarbeitungsvorgang verweist, stellen Sie die Verknüpfung von der ROPA-Seite aus her, damit die Referenzdaten automatisch übertragen werden.

Tipps und häufige Fehler

Achtung: Die Registerkarten sind gesperrt, bis Sie die Registerkarte Allgemein gespeichert haben. Bei einem neuen Datensatz können Sie Erforderlichkeit oder Interessenabwägung nicht anklicken. Tragen Sie zunächst mindestens den Namen ein und klicken Sie auf Speichern.

Achtung: Das Speichern der Registerkarte Allgemein leitet Sie immer zur Registerkarte Erforderlichkeit weiter, auch wenn Sie direkt zur Interessenabwägung wollten. Nutzen Sie nach dem ersten Speichern das linke Menü, um direkt zu einer beliebigen Registerkarte zu navigieren.

• Verantwortliche Personen ≠ Zugriffssteuerung. Das Feld Verantwortliche Personen dokumentiert Verantwortlichkeit. Die Registerkarte Zugriffssteuerung steuert die Sichtbarkeit im System. Eine Person kann für eine Abwägung verantwortlich sein, ohne systemseitigen Zugriff darauf zu haben — und umgekehrt.
• Die Felder „aus verknüpftem ROPA" in der Detailansicht sind hier nicht bearbeitbar. Die schreibgeschützten Zeilen „Personenbezogene Daten" und „Besondere Kategorien" im Abschnitt Interessenabwägung werden automatisch befüllt, wenn ein ROPA verknüpft ist. Um sie zu befüllen, stellen Sie die Verknüpfung aus dem ROPA-Modul heraus her.
• Der Datenverarbeitungskontext ist ein Dropdown mit nur zwei Optionen. Es gibt keine Option „gemischt" oder „k. A.". Wenn der Kontext tatsächlich gemischt ist, wählen Sie die nächstliegende Option und dokumentieren Sie die Nuancen im Textfeld Verhältnis zu den Personen.
• KI-übersetzte Inhalte vor der Aktivierung prüfen. Das Übersetzungssymbol neben einem Feld bedeutet, dass der Inhalt automatisch generiert wurde — nicht, dass er überprüft wurde. Rechtliche Dokumentation muss von einer fachkundigen Person verifiziert werden, bevor sie als verbindlich gilt.
• Zugriffssteuerung sofort nach dem ersten Speichern einrichten, wenn Vertraulichkeit wichtig ist. Bis Sie die Zugriffskontrollen konfigurieren, ist der Datensatz für alle Nutzer mit Leseberechtigung für das Modul Berechtigtes Interesse sichtbar. Warten Sie nicht bis zum Ende der Analyse, um ihn abzusichern.
• Benutzerdefinierte Status erscheinen automatisch. Wenn Ihr Compliance-Settings-Administrator benutzerdefinierte Status für das Modul Berechtigtes Interesse angelegt hat, erscheinen diese neben den Systemstandards (Entwurf, Aktiv, Inaktiv, Überprüfung). Wenden Sie sich an Ihren Administrator, wenn Sie einen Status erwarten, der nicht angezeigt wird.