§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / F. Datenschutz-Folgenabschätzung

Rz. 78

Die DSGVO etabliert in Art. 35 das neue Konzept der sog. Datenschutz-Folgenabschätzung, die als "zentrales Element der strukturellen Stärkung des Datenschutzes"^[99] aufgefasst wird. Sie löst – auch, wenn sie auf den ersten Blick stark an selbige erinnern mag – die bislang aus dem Datenschutzrecht^[100] bekannte Vorabkontrolle ab.^[101]

Rz. 79

Mit 11 Absätzen und zahlreichen Unterabsätzen ist die Norm des Art. 35 DSGVO schwer greifbar und erfordert intensives und aufmerksames Lesen. Auch inhaltlich und vom Regelungsumfang her wirft die – bereits im Laufe des Gesetzgebungsverfahrens zahlreichen Änderungen unterworfene^[102] – Norm zahlreiche Fragen auf. So sind die Voraussetzungen zur Durchführung einer Datenschutz-Folgenabschätzung trotz des Regelungsumfanges der Norm in Art. 35 DSGVO nur unvollkommen gesetzlich konkret ausgestaltet. Nicht umsonst ist die Thematik der Datenschutz-Folgenabschätzung daher frühzeitig auch zum Gegenstand intensiver Beratungen der Art. 29-Datenschutzgruppe gewesen und zum Gegenstand einer ersten Bewertung gemacht worden.^[103]

Rz. 80

Das Konzept der Datenschutz-Folgenabschätzung ist keineswegs so neu, wie es auf den ersten Blick scheint. Vielmehr sind sog. Privacy Impact Assesments (PIAs) im anglo-amerikanischen Rechtsraum schon seit längerer Zeit bekannt^[104] und bereits Gegenstand einer entsprechenden ISO-Norm,^[105] an der sich auch die aktuelle Leitlinie der Art. 29-Datenschutzgruppe orientiert.

[99] So etwa die Bewertung des Bundesgesetzgebers, BT-Drucks 18/11325 v. 24.2.2017, S. 117.

[100] Art. 20 Datenschutzrichtlinie, § 4d Abs. 5 BDSG.

[101] Jandt, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 35 Rn 2.

[102] Ein guter Überblick findet sich bspw. bei Jandt, in: Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 35 Rn 3 und 4.

[103] Art. 29-Datenschutzgruppe, WP 248, v. 4.4.2017, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is "likely to result in a high risk" for the purposes of Regulation 2016/679, nur in englischer Sprache verfügbar.

[104] Vgl. bspw. die Leitlinie des Information Commissionair´s Office (ICO), abrufbar unter: https://ico.org.uk/media/for-organisations/documents/1595/pia-code-of-practice.pdf.

[105] ISO/IEC 29134: Information technology — Security techniques — Guidelines for privacy impact assessment.

I. Regelungsgegenstand und Anwendungsbereich

1. Prüfungsgegenstand – Target of Evaluation (ToE)

Rz. 81

Nach Art. 35 Abs. 1 S. 1 DSGVO soll eine Datenschutz-Folgenabschätzung nur für solche Verarbeitungsvorgänge^[106] erfolgen, die aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben kann. Dabei können mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken belastet sein und dementsprechend einer einheitlichen Datenschutz-Folgenabschätzung unterworfen werden (Art. 35 Abs. 1 S. 2 DSGVO).

Rz. 82

Prüfungsgegenstand oder auch das "Target of Evaluation" (ToE) kann sowohl ein Geschäftsprozess als Ganzes oder in wesentlichen Teilen oder lediglich eine einzelne – aus ihrem Einsatzumfeld separierte – Komponente eines Geschäftsprozesses sein. Art. 35 DSGVO adressiert nicht primär die Verarbeitung als solches, sondern die "Form" in der diese vollzogen wird. Nach Art. 35 Abs. 1 S. 1 DSGVO soll eine Datenschutz-Folgenabschätzung in Betracht gezogen werden, wenn neue Technologien zum Einsatz kommen; nach Art. 35 Abs. 3 lit. b) DSGVO ebenso in den Fällen der automatisierten Entscheidungsfindung im Einzelfall und des Profiling^[107] oder beim Einsatz von Videoüberwachungstechnologien in öffentlichen Räumen (Art. 35 Abs. 1 lit. c) DSGVO). Die Verpflichtung zur Durchführung einer Datenschutz-Folgenabschätzung ist jedoch keineswegs auf diese Verarbeitungsformen beschränkt, sondern kann grundsätzlich und branchenunabhängig^[108] jeden Verantwortlichen, jeden Geschäftsprozess und jede Form der Verarbeitung betreffen. Martin Rost vom ULD Schleswig-Holstein formuliert dies im Rahmen einer Präsentation im September 2016^[109] zutreffend wie folgt:

Zitat

"Im Fokus stehen […] nicht die Folgen aus einer Technik, sondern die Eingriffsintensität eines Verfahren, in dem eine neue Technik eingesetzt wird".

Rz. 83

Die Festlegung des ToE stellt insoweit einen wesentlichen Gesichtspunkt einer jeden Datenschutz-Folgenabschätzung dar. Mit Blick auf den nicht ausschließlichen Technik-Bezug erfordert die Festlegung des ToE eine möglichst genaue Beschreibung des zu prüfenden Geschäftsprozesses und der in dessen Rahmen vollzogenen Verarbeitungsvorgänge^[110] unter Berücksichtigung der mit ihnen vom Verantwortlichen verfolgten Zwecke und ihrer jeweiligen Rechtsgrundlagen.^[111] Der Arbeitskreis Technik beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz weist darauf hin, dass bei einer Analyse des ToE "immer der Bezug zu den Gesamtverfahren im Auge behalten werden" muss, da nur eine "eine umfassende Darstellung der Annahmen zum Einsatzkontext" sichere Auskünfte über die "erwartbaren Angreiferperspektiven" und...