DSFA: Was ist das & wann muss eine Datenschutz-Folgenabschätzung erfolgen?

Die DSFA ist eine Anforderung der DSGVO. Komplett neu ist dieses Instrument allerdings nicht, denn bereits das frühere deutsche Datenschutzrecht sah eine sogenannte Vorabkontrolle vor (§ 4d Abs. 5BDSG). Im Prinzip handelt es sich bei der Datenschutz-Folgenabschätzung und der Vorabkontrolle um den gleichen Vorgang: In besonders sensiblen Fällen einer Datenverarbeitung soll im Vorfeld das Risiko dieser Verarbeitung evaluiert werden, um Abhilfemaßnahmen zu dessen Eindämmung zu schaffen.

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Viele Unternehmer sind sich unsicher, was eine Datenschutz-Folgenabschätzung genau ist und welche Inhalte sie umfasst. Gemäß Artikel 35 EU-DSGVO handelt es sich bei einer Datenschutz-Folgenabschätzung (DSFA) um eine erweiterte Risikoeinschätzung, die vor bestimmten Verarbeitungen personenbezogener Daten stattfindet. Eine Risikoanalyse sieht die DSGVO generell für alle Datenverarbeitungen vor. Die Datenschutz-Folgenabschätzung unterscheidet sich dadurch, dass sie deutlich umfangreicher und komplexer ist und nur bei kritischen Verarbeitungsprozessen notwendig wird.

Ein Blick ins Gesetz verdeutlicht diesen Umstand: Art. 35 Abs. 7 der DSGVO legt bestimmte Mindestanforderungen an den Inhalt einer DSFA fest. Eine solche Abschätzung muss demnach die folgenden Punkte enthalten:

• Eine systematische und umfassende Bewertung der persönlichen Aspekte natürlicher Personen, welche in der geplanten Verarbeitung betroffen sind
• Eine Bewertung der Notwendigkeit sowie der Verhältnismäßigkeit dieser Vorgänge
• Eine Bewertung der Risiken in Bezug auf die Rechte und Freiheiten der Betroffenen
• Die Abhilfemaßnahmen, die zur Bewältigung der oben genannten Risiken getroffen werden

Insgesamt dient die Datenschutz-Folgenabschätzung also der Vorsorge: Noch bevor es zu einer Datenpanne kommen kann, soll das Risiko einer solchen so gut wie möglich minimiert werden.

Zuständig für die Prüfung und gegebenenfalls Durchführung der DSFA nach DSGVO ist der Verantwortliche und nicht, wie vielfach angenommen, der Datenschutzbeauftragte des Unternehmens.

Wann ist eine DSFA erforderlich?

Die Frage, ab wann genau eine Folgenabschätzung notwendig ist, treibt wohl viele Datenschutz-Verantwortliche um. Die Einschätzung einer geplanten Datenverarbeitung im Hinblick auf den Datenschutz kann schließlich ausgesprochen komplex sein. Art. 35 Abs. 1 der DSGVO legt hier Folgendes fest:

„Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“ (Art. 35 Abs. 1 DSGVO)

Kurz gesagt: Sobald eine Verarbeitung aufgrund Ihrer Art, des Umfangs, der Umstände und der Zwecke ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, ist eine Datenschutz-Folgenabschätzung durchzuführen. In Art. 35 Abs. 3 DSGVO folgen dann Regelbeispiele, bei denen eine DSFA durchzuführen ist:

1. systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen;
2. umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche     Verurteilungen und Straftaten gemäß Artikel 10 oder
   
3. systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

In Abs. 3 werden lediglich einige Beispiele genannt, die genauen Verarbeitungstätigkeiten sind nicht einheitlich definiert. Erschwerend kommt hinzu, dass sich die deutschen Aufsichtsbehörden der einzelnen Bundesländer bei der Regelung zur Notwendigkeit einer Datenschutz-Folgenabschätzung für einzelne Verarbeitungstätigkeiten bisher nicht einigen konnten. Ein Blick auf die Website der zuständigen Datenschutzaufsichtsbehörde Ihres Bundeslandes lohnt sich hier jedoch auf jeden Fall.

Neue Gesetzgebung erfordert häufiger Durchführung der DSFA

Die Beispiele im Gesetzestext machen deutlich: Eine Datenschutz-Folgenabschätzung nach DSGVO muss weitaus häufiger durchgeführt werden als die Vorabkontrolle nach dem BDSG-alt. Dies kann zunächst einmal für Verwirrung bei den Verantwortlichen sorgen, denn längst nicht in jedem Fall lässt sich sofort klar erkennen, ob eine DSFA nun erforderlich ist oder nicht.

Doch die DSGVO hat für diese Problematik eine Lösung parat: Art. 35 Abs. 4 legt fest, dass die Aufsichtsbehörden dafür zuständig sind, im Rahmen Ihres Zuständigkeitsbereichs eine Liste derjenigen Verarbeitungsvorgänge zu erstellen und zu veröffentlichen, für die eine Datenschutz-Folgenabschätzung durchzuführen ist. - Die Positivliste der Datenschutzkonferenz - Hilfestellung für die Folgenabschätzung in Unternehmen

Die Positivliste der Datenschutzkonferenz – Hilfestellung für die Folgenabschätzung in Unternehmen

Im Juli 2018 hat die Datenschutzkonferenz¹eine Positivliste herausgegeben, auf welcher Verarbeitungstätigkeiten verzeichnet sind, die eine DSFA erfordern. Insgesamt umfasst die Positivliste16 Verarbeitungstätigkeiten, unter anderem etwa die beiden folgenden:

• Umfangreiche Verarbeitung von personenbezogenen Daten über den Aufenthalt von natürlichen Personen
• Erstellung umfassender Nutzerprofile in sozialen Netzwerken oder Dating-Portalen

Die vollständige Positivliste der DSK finden Sie hier. Alles in allem ist sie weitgehend deckungsgleich mit den bereits veröffentlichten DSFA-Positivlisten der einzelnen Aufsichtsbehörden[1] der Länder. Vereinzelt stellen die Aufsichtsbehörden zudem sog. Blacklists (nach Abs. 4) und optional auch Whitelists (Abs. 5) zur Verfügung, denen zu entnehmen ist, wann eine Datenschutz-Folgenabschätzung notwendig ist bzw. wann nicht.

¹Bei der Datenschutzkonferenz (DSK) handelt es sich um einen Zusammenschluss der unabhängigen Datenschutzbehörden des Bundes und der Länder. Sie gilt als Empfehlungsorgan im Datenschutz. Die Tagungen der DSK finden zweimal im Jahr statt.

Wie kann die Datenschutz-Folgenabschätzung durchgeführt werden?

Vor der Durchführung der DSFA kann es ratsam sein, diese in 3 Phasen einzuteilen.

• ‍Vorbereitungsphase: Im ersten Schritt werden der Prüfgegenstand definiert, die Rechtsgrundlagen bestimmt und die Akteure festgelegt. Dabei helfen folgende Fragen: Wo im Unternehmen werden personenbezogene Daten verarbeitet? Wie sieht das Verfahren der Verarbeitung aus und welchem Zweck dient diese?
• Bewertungsphase: Das Risiko kann im zweiten Schritt nach dem Standard-Datenschutzmodell oder entsprechend einer Risikoanalyse bewertet werden. Dafür müssen Notwendigkeit und Verhältnismäßigkeit dieser konkreten Verarbeitung jeweils im Verhältnis zu dem Zweck der Verarbeitung ermittelt werden. Stellt diese Verarbeitung ein Risiko für die Rechte und Freiheiten einer betroffenen Person dar? Können etwaige Sicherheitsrisiken durch technische und organisatorische Maßnahmen (TOM) abgeschwächt werden?
• Maßnahmenphase: Abschließend werden Schutzmaßnahmen zur Vermeidung oder Minderung von Beeinträchtigungen von Rechten und Freiheiten ergriffen. Zudem werden der Verantwortliche und Zeitplan der Umsetzung festgelegt.

Hierbei sind die Ergebnisse der Vorbereitungs-, Bewertungs- und Maßnahmenphase zu dokumentieren.

Risikominimierung durch die Datenschutz-Folgenabschätzung

Mit einer DSFA bzw. Datenschutz-Folgenabschätzung sollen die Risiken für die Rechte und Freiheiten betroffener Personen ermittelt werden. Das Ziel ist, die Ergebnisse zu bewerten und die erkannten Risiken mit entsprechenden technischen und organisatorischen Maßnahmen (TOM) einzudämmen. Allerdings findet nicht nur eine Risikominimierung für Betroffene statt. Auch der datenschutzrechtlich Verantwortliche schützt sich durch eine Datenschutz-Folgenabschätzung, da er so sicherstellt, dass er Daten DSGVO-konform verarbeitet und dies auch nachweisen kann, sollte es notwendig werden.