Verarbeitet eine Anwendung personenbezogene Daten, müssen Zweck und Rechtsgrundlage sowie die weiteren maßgeblichen Datenschutzanforderungen geklärt werden. Die Datenschutz-Grundverordnung enthält insbesondere Grundsätze der Verarbeitung und Anforderungen an den Schutz personenbezogener Daten. Im Grassroot-Konzept werden diese Fragen bereits beim Bedarf und Entwurf der Anwendung aufgegriffen.
Die tatsächliche Verarbeitung beschreiben
Welche Angaben werden für die Aufgabe benötigt, woher kommen sie und wer erhält die Ergebnisse? Der Anwendungssteckbrief macht diese Zusammenhänge sichtbar. Anschließend werden zulässige Zugriffe, notwendige Informationen für Betroffene sowie die weitere Aufbewahrung und Löschung mit den zuständigen Stellen bestimmt.
Für Entwicklung und Prüfung werden geeignete Daten verwendet. Echte Betriebsdaten werden nicht allein deshalb in eine Testumgebung oder einen externen Dienst übernommen, weil sie bereits vorliegen. Dies gilt auch für Eingaben in Dienste mit künstlicher Intelligenz.
Änderungen und Ablösung berücksichtigen
Neue Datenquellen, weitere Empfänger oder ein geänderter Zweck können eine erneute Einordnung erforderlich machen. Vor der Übernahme einer Änderung werden deshalb die betroffenen Verarbeitungsschritte betrachtet. Die erforderlichen Schutzmaßnahmen richten sich nach der konkreten Verarbeitung und den damit verbundenen möglichen Folgen.
Bei einer Außerbetriebnahme wird geklärt, welche Daten noch benötigt werden und wie sie weiterhin geschützt oder nach dem freigegebenen Verfahren gelöscht werden. Die datenschutzrechtliche Einordnung der konkreten Anwendung erfolgt in der Verantwortung der Organisation.