Checkliste
Vorabkontrolle, § 9 Abs. 5 LDSG
Stand: 10/2008
Soweit Verfahren automatisierter Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, unterliegen sie der Prüfung vor Beginn der Verarbeitung (Vorabkontrolle). Aus den Ausnahmen zum Erfordernis der Vorabkontrolle, die den Fragen 1 bis 6 zugrunde liegen, ergibt sich, dass die Vorabkontrolle in erster Linie eine Rechtskontrolle ist. Ergeben sich Zweifel an der Rechtmäßigkeit geplanter Verarbeitungsverfahren, hat sich der behördliche Datenschutzbeauftragte an die zuständige Aufsichtsbehörde zu wenden.
Inhaltlich beruht die Vorabkontrolle auf einer besonderen Prüfung der für die automatisierte Verarbeitung maßgebenden Gesichtspunkte. Dazu gehören neben der Prüfung der Rechtmäßigkeit vor allem die Durchführung vorgeschriebener Beteiligungen und Unterrichtungen, die verfahrensmäßige Abbildung von Rechten der Betroffenen, die Einhaltung formaler Anforderungen sowie erforderliche technisch-organisatorische Maßnahmen.
Prüfpunkte ob überhaupt eine Vorabkontrolle erforderlich ist
	1.	Werden besondere Arten personenbezogener Daten verarbeitet? Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben (§ 3 Abs. 9 LDSG)
Nein:		weiter mit Frage 2
Ja:		weiter mit Frage 4
	2.	Ist die Verarbeitung personenbezogener Daten dazu bestimmt, die Persönlichkeit der Betroffenen zu bewerten einschließlich ihrer Fähigkeiten, ihrer Leistung oder ihres Verhaltens?
Nein:		weiter mit Frage 3
Ja:		weiter mit Frage 4
	3.	Weist das vorliegende Verfahren aus sonstigen Gründen besondere Risiken für die Rechte und Freiheiten der Betroffenen auf?
Nein:		dann ist keine Vorabkontrolle erforderlich.
Ja:		weiter mit Frage 4
	4.	Beruht die Datenverarbeitung auf einer gesetzlichen Verpflichtung?
Nein:		weiter mit Punkt 5
Ja:		auf §§      
 dann ist die Prüfung beendet, eine Vorabkontrolle ist nicht erforderlich.
	5.	Liegt eine Einwilligung der Betroffenen vor?
Nein:		weiter mit Punkt 6
Ja:		(Anforderungen an die Einwilligung gemäß § 5 Abs. 2 - 4 LDSG:
Aufklärung, Hinweis auf Widerruf, Schriftform, ausdrücklicher Bezug auf die besonderen Datenarten),
 dann ist die Prüfung beendet, eine Vorabkontrolle ist nicht erforderlich.
	6.	Dient die Verarbeitung der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit den Betroffenen?
Nein:		weiter mit Punkt 7
Ja:		folgende Rechtsbeziehungen bestehen zu den Betroffenen:
     
 dann ist die Prüfung beendet, eine Vorabkontrolle ist nicht erforderlich.
	7.	Beruht die Datenverarbeitung auf einer gesetzlichen Ermächtigung?
Nein:		 dann ist die Datenverarbeitung unzulässig.
Ja:		auf §§      

Inhalt der Vorabkontrolle
	1.	Materielle Anforderungen
	Ist die Datenverarbeitung verhältnismäßig (erforderlich, geeignet und angemessen)?
	Wird der Grundsatz der Datensparsamkeit und Datenvermeidung (§ 1 Abs. 3 LDSG) beachtet?
	Ist eine Datenverarbeitung mit anonymisierten Daten möglich?
	Wenn nein: ist eine frühestmögliche Anonymisierung vorgesehen?
	Kann eine Pseudonymisierung erfolgen?
	Sind die Rechte der Betroffenen nach § 6 Abs. 1 LDSG berücksichtigt?
z.B.      
	Kann einem Auskunftsersuchen nach § 18 Abs. 3 LDSG angemessen entsprochen werden?
	Können Daten erforderlichenfalls nach § 19 Abs. 3 gesperrt werden?
	Sind Löschungsfristen vorgegeben (§ 19 Abs. 2 Nr. 2) und ist verfahrensmäßig sichergestellt, dass diese eingehalten werden?
	Sind ggf. die Vorgaben einer Auftragsdatenverarbeitung nach § 4 LDSG berücksichtigt?
	Sind ggf. geeignete Maßnahmen gemäß § 5 Abs. 5 Nr. 2 LDSG getroffen und ist verfahrensmäßig sichergestellt, dass die Unterrichtung der Betroffenen erfolgt?
	2.	Formale Anforderungen
	Ist das Verfahren in das Verfahrensverzeichnis aufgenommen (§ 10 Abs. 2 LDSG)?
	Ist gegebenenfalls – bei einem automatisierten Abrufverfahren – eine Anhörung des LfD nach § 7 Abs. 3 LDSG erfolgt?
	Wurden gegebenenfalls – bei einem automatisierten Abrufverfahren – erforderliche Zulassungen (z.B. § 7 Abs. 3 und 5 LDSG) erteilt?
	Wurde die Verpflichtung auf das Datengeheimnis nach § 8 Abs. 2 LDSG vorgenommen?
	Liegt für das Verfahren eine Dienstanweisung über die technisch-organisatorischen Datenschutzanforderungen nach § 9 Abs. 6 LDSG vor?
	3.	Technisch-organisatorische Anforderungen
§ 9 Abs. 2 Satz 2 LDSG sieht technisch-organisatorische Sicherungsmaßnahmen generell vor, soweit personenbezogene Daten automatisiert verarbeitet werden. Im Rahmen der Vorabkontrolle ist in diesem Zusammenhang daher zu prüfen, ob die sich aus dem Verfahren ergebenden besonderen Risiken zusätzliche Maßnahmen erfordern und in welcher Weise dem entsprochen wird.

	Beruhen die besonderen Risiken auf der Art der Daten (§ 9 Abs. 5 Nr. 1LDSG)?
	Wenn Ja,
	sind Maßnahmen insbesondere im Bereich Zugriffs-, Weitergabe-, Eingabe-, Dokumentations- und Verarbeitungskontrolle nach § 9 Abs. 2 LDSG getroffen?
	Welche?      
	Beruhen die besonderen Risiken auf der Zweckbestimmung der Verarbeitung (§ 9 Abs. 5 Nr. 2 LDSG)?
	Wenn Ja,
	sind Maßnahmen insbesondere im Bereich der Zweckbindungs-, Dokumentations- und Verarbeitungskontrolle nach § 9 Abs. 2 LDSG getroffen?
	Welche?      

Ergebnis der Vorabkontrolle
Der behördliche Datenschutzbeauftragte hat am       festgestellt:
Die Prüfung hat ergeben, dass die beabsichtigte Datenverarbeitung akzeptiert werden kann.

     			
Ort, Datum		Name, Unterschrift des behördlichen Datenschutzbeauftragen