Was ist eine Datenschutz-Folgenabschätzung?
Eine Datenschutz-Folgenabschätzung bewertet, welche Folgen eine geplante Verarbeitung für die Rechte und Freiheiten der betroffenen Personen hat, und zwar bevor sie beginnt. Art. 35 Abs. 1 DSGVO verlangt sie, wenn eine Verarbeitung aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein hohes Risiko zur Folge hat. Bewertet wird der Schaden für die Person, etwa Diskriminierung oder Identitätsdiebstahl, nicht der Schaden für das Unternehmen; darin liegt der Unterschied zur Risikoanalyse im ISMS.
Art. 35 Abs. 7 schreibt vier Mindestinhalte vor:
- eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und Zwecke,
- eine Bewertung von Notwendigkeit und Verhältnismäßigkeit in Bezug auf den Zweck,
- eine Bewertung der Risiken für die betroffenen Personen,
- die geplanten Abhilfemaßnahmen, einschließlich Garantien und Sicherheitsvorkehrungen.
Der Verantwortliche holt dabei den Rat des Datenschutzbeauftragten ein (Abs. 2) und gegebenenfalls den Standpunkt der Betroffenen oder ihrer Vertreter (Abs. 9). Ändert sich das Risiko, überprüft er die DSFA (Abs. 11). Mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken darf eine einzige Abschätzung abdecken (Abs. 1 Satz 2).
Wann muss eine Datenschutz-Folgenabschätzung erfolgen?
Die Pflicht entsteht auf drei Wegen, und jeder genügt für sich:
| Weg | Fundstelle | Was gilt |
|---|---|---|
| Regelbeispiele | Art. 35 Abs. 3 | Profiling mit Entscheidungen von Rechtswirkung (a), umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 oder von Strafdaten nach Art. 10 (b), systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (c) |
| Muss-Liste der Aufsichtsbehörde | Art. 35 Abs. 4 | Für Unternehmen in Deutschland die Liste der Datenschutzkonferenz für den nicht-öffentlichen Bereich, Version 1.1 vom 17.10.2018, mit 17 Einträgen |
| Eigene Bewertung | Art. 35 Abs. 1 | hohes Risiko voraussichtlich, auch wenn kein Regelbeispiel und kein Listeneintrag passt |
Eine Liste der Verarbeitungen ohne DSFA-Pflicht nach Abs. 5 ist eine Möglichkeit der Behörde, keine Pflicht. Steht eine Verarbeitung auf keiner Liste, gilt Abs. 1 weiter.
Schwellwertanalyse: So prüfen Sie eine Verarbeitung
Die Vorprüfung, die die Aufsichtsbehörden Schwellwertanalyse nennen, läuft für jede Verarbeitungstätigkeit in drei Schritten:
- Prüfen Sie die drei Regelbeispiele des Abs. 3 und die 17 Einträge der Muss-Liste. Ein Treffer genügt.
- Zählen Sie, wie viele der neun Kriterien aus den Leitlinien WP 248 rev.01 der früheren Artikel-29-Datenschutzgruppe zutreffen (Liste unten).
- Nach WP 248 kann der Verantwortliche in den meisten Fällen davon ausgehen, dass eine Verarbeitung mit zwei Kriterien eine DSFA erfordert; in manchen Fällen reicht eines. Eine Rechtsnorm ist diese Zählregel nicht, die Bewertung nach Abs. 1 bleibt Ihre.
Die neun Kriterien nach WP 248:
- Bewerten oder Scoring
- automatisierte Entscheidung mit Rechtswirkung oder ähnlich erheblicher Wirkung
- systematische Überwachung
- sensible oder höchstpersönliche Daten
- umfangreiche Verarbeitung
- Abgleich oder Zusammenführung von Datensätzen
- schutzbedürftige Betroffene, darunter Beschäftigte
- innovative Nutzung oder neue technologische Lösungen
- Verarbeitung, die Betroffene an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung oder eines Vertrags hindert
Halten Sie das Ergebnis mit Begründung fest, auch und gerade wenn keine DSFA nötig ist.
Beispiel (fiktiv): zwei Verarbeitungen eines Unternehmens mit 200 Beschäftigten.
| Verarbeitung | Kriterien nach WP 248 | Muss-Liste | Ergebnis |
|---|---|---|---|
| Ticketsystem für den IT-Support mit Namen und Anliegen der Beschäftigten | schutzbedürftige Betroffene (Beschäftigte) | kein Eintrag | ein Kriterium, kein Regelbeispiel: keine DSFA; Begründung im Verzeichnis festhalten |
| Ticketsystem wie oben, zusätzlich wertet es Bearbeitungszeiten je Beschäftigtem für die Leistungsbeurteilung aus | Bewerten, systematische Überwachung, schutzbedürftige Betroffene | Nr. 8 kann greifen: umfangreiche Verarbeitung von Verhaltensdaten Beschäftigter zur Bewertung ihrer Arbeit | drei Kriterien: DSFA durchführen |
Weil eine einzige neue Auswertung dieselbe Software über die Schwelle hebt, wiederholen Sie die Vorprüfung, sobald ein System einen neuen Zweck bekommt, nicht nur bei der Einführung.
Was folgt aus einer DSFA-Pflicht?
- Einen Datenschutzbeauftragten benennen: Nach § 38 Abs. 1 Satz 2 BDSG gilt das für jede Verarbeitung, die einer DSFA unterliegt, unabhängig von der Zahl der Beschäftigten, die mit der Verarbeitung befasst sind.
- Die Aufsichtsbehörde vorher konsultieren, wenn aus der DSFA hervorgeht, dass die Verarbeitung ohne Maßnahmen zur Eindämmung ein hohes Risiko zur Folge hätte (Art. 36 Abs. 1 DSGVO).
- Die Abhilfemaßnahmen umsetzen und ihre Wirksamkeit testen, bevor die Verarbeitung förmlich freigegeben wird. So beschreibt es die Datenschutzkonferenz im Kurzpapier Nr. 5 (Stand 17.12.2018) in den Schritten 12 und 14 ihres Ablaufs.
- Bußgeldrisiko: Wer eine erforderliche DSFA unterlässt, verstößt gegen Art. 35. Art. 83 Abs. 4 Buchst. a sieht dafür bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
Systeme einer Verarbeitung im Asset-Register von Rizzqo
In Rizzqo bildet das Asset-Register für den Beurteilungsumfang einer DSFA ab, welche Systeme die personenbezogenen Daten einer Verarbeitung tragen. Jedes primäre Asset vom Typ Information trägt eine Vertraulichkeitseinstufung und das Merkmal für personenbezogene Daten. Die unterstützenden Assets, also die Anwendungen, IT-Systeme und Dienste externer Anbieter, die diese Information verarbeiten, erben genau diese beiden Angaben von den primären Assets, die sie unterstützen.
An diesen Systemen setzen die Abhilfemaßnahmen an. Ein Eigentümer kann jedem Asset zugeordnet werden; Anforderungen an die Maßnahmen beantwortet er und finalisiert die Antwort mit Name und Zeitstempel.