§ 7 Sicherungsmechanismen zur Einhaltung der DSGVO / II. Durchführungsvorgaben

Rz. 102

Hat die Form der Verarbeitung wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge und ist eine Datenschutz-Folgenabschätzung durchzuführen, sind die in Art. 35 Abs. 2, 7 und 9 DSGVO normierten Durchführungsvorgaben zu beachten.

1. Konsultation des Datenschutzbeauftragten

Rz. 103

Sofern innerhalb des Verantwortlichen ein Datenschutzbeauftragter benannt wurde, ist dieser gem. Art. 35 Abs. 2 DSGVO bei der Durchführung der Datenschutz-Folgenabschätzung beratend zu beteiligen. Die Formulierung in Art. 35 Abs. 2, dass der "Rat des Datenschutzbeauftragten" einzuholen ist, verdeutlicht gleichzeitig, dass die Durchführung einer Datenschutz-Folgenabschätzung, anders als die Durchführung einer Vorabkontrolle nach BDSG, keine originäre Aufgabe des betrieblichen Datenschutzbeauftragten darstellt.

Rz. 104

Die Art. 29-Datenschutzgruppe empfiehlt, dass der Verantwortliche den Datenschutzbeauftragten insbesondere bei der Frage zu Rate zieht, ob eine DS-Folgenabschätzung durchgeführt werden sollte oder nicht,

▪	welche Methodik bei der Durchführung angewandt werden sollte,
▪	ob diese DS-Folgenabschätzung intern oder extern erfolgen sollte,
▪	welche Sicherheitsvorkehrungen (einschließlich technischer und organisatorischer Maßnahmen) getroffen werden sollten, um bestehenden Bedrohungen der Rechte und Interessen der Betroffenen zu begegnen und
▪	ob eine solche Datenschutz-Folgenabschätzung ordnungsgemäß durchgeführt worden ist und die daraus gezogenen Schlussfolgerungen (bezüglich der Frage, ob die Datenverarbeitung fortgesetzt werden sollte oder nicht und welche Sicherheitsvorkehrungen gegebenenfalls getroffen werden sollten) im Einklang mit der DSGVO stehen.[149]

Rz. 105

Die Datenschutz-Folgenabschätzung ist im Übrigen eine Aufgabe, die innerhalb des Verantwortlichen durch eine Projektgruppe zu vollziehen ist.^[150] Die Projektgruppe ist so aufzusetzen, dass diejenigen Mitarbeiter und Dienstleister identifiziert werden, die mit den Verarbeitungsvorgängen, die von der Datenschutz-Folgenabschätzung betroffen sind, eingebunden werden. Die ISO/IEC 29134:2017(E) nennt hier

▪	Mitarbeiter der Personal-, Recht-, IT-, Finanz- und Compliance-Abteilungen,
▪	Unter-Auftragnehmer,
▪	IT-Administratoren,
▪	Softwarehersteller,
▪	aber auch Sachbearbeiter.

In der Regel wird die Einholung externen Sachverstandes, auch mit Blick auf die Erforderlichkeit der kritischen Überprüfung einer Risikobewertung zudem ein probates Mittel sein. Der Umfang der im Einzelfall zu beteiligenden Personen hängt dabei auch von Umfang der, der Datenschutz-Folgenabschätzung unterworfenen, Verarbeitungsvorgänge ab.^[151]

[149] Art. 29-Datenschutzgruppe, Leitlinien in Bezug auf Datenschutzbeauftragte ("DSB"), WP 243 vom 13.12.2016, S. 19 f.

[150] Die Art. 29-Datenschutzgruppe spricht insoweit in Anlehnung an die ISO/IEC 29134:2017(E), dort S. 11, von "Stakeholdern", siehe Art. 29-Datenschutzgruppe, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is "likely to result in a high risk" for the purposes of Regulation 2016/679“, vom 4.4.2017, S. 22, abrufbar: http://ec.europa.eu/newsroom/document.cfm?doc_id=44137; in diesem Sinne auch Nolte/Werkmeister, in: Gola (Hrsg.), DS-GVO, 2017, Art. 35 Rn 56.

[151] Hierzu auch Friedewald//Obersteller/Nebel/Bieker/Rost, White Paper DATENSCHUTZ-FOLGENABSCHÄTZUNG, 2. Aufl. 2016, S. 21.

2. Form und Mindestinhalte

Rz. 106

Eine bestimmte Form für die Datenschutz-Folgenabschätzung ist nicht vorgesehen. Mit Blick auf die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO ist gleichwohl eine Dokumentation zumindest in Textform anzuraten.

Rz. 107

Hinsichtlich der Mindestinhalte ist Art. 35 Abs. 7 DSGVO zu beachten. Hiernach muss die Datenschutz-Folgenabschätzung zumindest

a)	eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen;
b)	eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;
c)	eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 und
d)	die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird,

enthalten.

Rz. 108

Eine konkrete Formatierungs- oder Formvorgabe hinsichtlich der chronologischen Abfolge der zu behandelnden Themen oder der Strukturierung des Inhalts ist nicht vorgegeben. Struktur und Form sollten gleichwohl so gewählt werden, dass eine Nachvollziehbarkeit der Ausführungen und des Inhalts der Folgenabschätzung für einen außenstehenden Dritten möglich ist.

a) Systematische Beschreibung der Verarbeitungsvorgänge und der Zwecke der Verarbeitung

Rz. 109

Gem. Art. 35 Abs. 7 lit. a) DSGVO muss die Datenschutz-Folgenabschätzung eine systematische Beschreibung sämtl...