Datenschutz Folgenabschätzung

Was ist eine Datenschutz-Folgenabschätzung?

Die EU-DSGVO sieht gemäß Artikel 35 eine Datenschutz-Folgenabschätzung (DSFA) vor. Hierbei handelt es sich um eine erweiterte Risikoeinschätzung, die vor bestimmten Verarbeitungen personenbezogener Daten stattfindet. Eine Risikoanalyse sieht die DSGVO generell für alle Datenverarbeitungen vor. Die Datenschutz-Folgenabschätzung unterscheidet sich dadurch, dass sie deutlich umfangreicher und komplexer ist und nur bei kritischen Verarbeitungsprozessen notwendig wird.

Das Verfahren ersetzt die im BDSG (alt) verankerte Vorabkontrolle, die vorgesehen ist, sobald die automatisierte Datenverarbeitung besondere Risiken für Recht und Freiheiten der Betroffenen aufweist. Mithilfe der Datenschutz-Folgenabschätzung sollen mögliche Risiken in der Datenverarbeitung beschrieben und bewertet werden. Dieser Prozess soll die Reduzierung möglicher Risiken zum Ziel haben.

Als Vorgehen können Sie sich folgendes merken:

Erfassen: Wo im Unternehmen werden personenbezogene Daten verarbeitet? Wie sieht das Verfahren der Verarbeitung aus und welchem Zweck dient diese?

Nun müssen Notwendigkeit und Verhältnismäßigkeit dieser konkreten Verarbeitung jeweils im Verhältnis zu dem Zweck der Verarbeitung ermittelt werden.

Risikoanalyse: stellt diese Verarbeitung ein Risiko für die Rechte und Freiheiten einer betroffenen Person dar? Können etwaige Sicherheitsrisiken durch technische und organisatorische Maßnahmen (TOM) abgeschwächt werden?

Wann wird die Datenschutz-Folgenabschätzung notwendig?

Sobald eine Verarbeitung aufgrund Ihrer Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, ist gem. Art. 35 DSGVO eine Datenschutzfolgenabschätzung durchzuführen. Wann genau dies der Fall ist, ist nicht einheitlich definiert. In Art. 35 Abs. 3 DSGVO werden lediglich einige Beispiele genannt, unter anderem Profiling, die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten gem. Art. 9 DSGVO (z.B. Gesundheitsdaten) oder eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (Videoüberwachung).

Einen weiteren Anhaltspunkt für die Notwendigkeit einer solchen Datenschutzfolgenabschätzung sind die sog. Positiv- und Negativlisten der Aufsichtsbehörden (Art. 35 Abs. 4 und 5 DSGVO). Je nach Bundesland liegen öffentlich zugänglich verschiedenen Listen vor (nach Abs. 4), an der sich der Ersteller der Datenschutzfolgenabschätzung (DSFA) im jeweiligen Bundesland orientieren muss. Vereinzelt stellen die Aufsichtsbehörden zudem sog. Blacklists (nach Abs. 4) und optional auch Whitelists (Abs. 5) zur Verfügung, denen zu entnehmen ist, wann eine DSFA notwendig ist bzw. wann nicht.

Erschwerend kommt hinzu, dass sich die deutschen Aufsichtsbehörden der einzelnen Bundesländer bei der Regelung zur Notwendigkeit einer DSFA für einzelne Verarbeitungstätigkeiten bisher nicht einigen konnten. Ein Blick auf die Website der zuständigen Datenschutzaufsichtsbehörde Ihres Bundeslandes lohnt sich hier jedoch auf jeden Fall.

Risikominimierung durch die Datenschutz-Folgenabschätzung

Mit einer Datenschutz-Folgenabschätzung sollen die Risiken für die Rechte und Freiheiten betroffener Personen ermittelt werden. Das Ziel ist dann, die Ergebnisse zu bewerten und die erkannten Risiken mit entsprechenden technischen und organisatorischen Maßnahmen (TOM) einzudämmen. Allerdings findet nicht nur eine Risikominimierung für Betroffene statt. Auch der datenschutzrechtlich Verantwortliche schützt sich durch eine Datenschutz-Folgenabschätzung, da er so sicherstellt, dass er Daten DSGVO-konform verarbeitet und dies auch nachweisen kann, sollte es notwendig werden.