ZAP 10/2018, Datenschutzgrundverordnung: Beschäftigtenda ... / VIII. Datenschutz-Folgenabschätzung (§ 67 BDSG n.F.)

Hier stellt sich zunächst die Frage, was unter einer Datenschutz-Folgenabschätzung (engl. Privacy Impact Assessment, kurz: DSFA), wie sie Art. 35 DSGVO und § 67 BDSG n.F. vorschreiben, zu verstehen ist. Und welche datenschutzrechtlichen bzw. finanziellen Sanktionsrisiken gehen mit einer (nicht oder fehlerhaft durchgeführten) DSFA einher? § 67 Abs. 1 BDSG n.F. bestimmt: Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich eine erhebliche Gefahr für die Rechtsgüter betroffener Personen zur Folge, so hat der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für die betroffenen Personen durchzuführen. Die Folgenabschätzung hat nach § 67 Abs. 4 BDSG n.F. den Rechten der von der Verarbeitung betroffenen Personen Rechnung zu tragen und zumindest Folgendes zu enthalten:

1. eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung,
2. eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf deren Zweck,
3. eine Bewertung der Gefahren für die Rechtsgüter der betroffenen Personen und
4. die Maßnahmen, mit denen bestehenden Gefahren abgeholfen werden soll, einschließlich der Garantien, der Sicherheitsvorkehrungen und der Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der gesetzlichen Vorgaben nachgewiesen werden sollen.

Ausgehend von den gesetzlichen Anforderungen ist eine DSFA sehr strukturiert anzugehen. Sie bedingt eine systematische Beschreibung der Datenverarbeitungsvorgänge und muss die Zwecke der Verarbeitung bestimmen. Dazu müssen technische und Organisationsprozesse, Verfahrensabläufe, IT-Systeme und Produkte sowie Datenflüsse und Systemgrenzen im Detail bewertet und auf Risiken analysiert werden. In der DSFA müssen die Interessen an der Datenverarbeitung sowie ihre Erforderlichkeit und Verhältnismäßigkeit nachvollziehbar beschrieben werden.

Hinweis:

Weil die DSFA am 25.5.2018 die Vorabkontrolle nach § 4d Abs. 5 BDSG a.F. ersetzt, könnte man auf den Gedanken verfallen, dass es sich bei ihr um "alten Wein in neuen Schläuchen" handelt. Das ist jedoch ein Trugschluss. Besonders die ausführlichen Nachweis- und Dokumentationspflichten der Risikobewertung sowie die Meldepflichten bringen viel Arbeit mit sich und bergen rechtlichen Zündstoff. Ist die Datenverarbeitung mit einem hohen Datenschutzrisiko verbunden, besteht eine Meldepflicht bei der zuständigen Aufsichtsbehörde, bevor mit der Verarbeitung der Daten begonnen wird.

In jedem Fall muss das Datenschutzrisiko der Betroffenen durch die Datenverarbeitung bestimmt werden. Eine umfassende Risikoanalyse bildet die Grundlage für die Beantwortung der Frage, ob für Datenverarbeitungsprozesse eine DSFA erforderlich ist (vgl. Erwägungsgrund 91). Die Risikobewertung (engl. risk assessment, vgl. Erwägungsgrund 77) kann mittels Verträgen und Dokumentationen zur Auftragsdatenverarbeitung sowie dem nach Art. 30 DSGVO zu führenden Verarbeitungsverzeichnis sowie in Ansehung der Minimierung der Risiken durch technische und organisatorische Maßnahmen (vgl. Erwägungsgrund 78, § 71 Abs. 2 BDSG n.F.) vorgenommen werden. Durch Pseudonymisierung und Verschlüsselung sowie über ISO-Zertifizierungen kann die geforderte Sicherheit der Datenverarbeitung erhöht werden (vgl. Art. 32 DSGVO).

Auf der Grundlage der DSGVO sind Datenschutzrisiken nach folgenden "objektiven Kriterien" zu ermitteln (vgl. Erwägungsgrund 76 und § 71 Abs. 1 BDSG n.F.):

• Eintrittswahrscheinlichkeit (Stichworte: Risiko-Quellen intern und extern, wie z.B. Hacker, IT-Administratoren, Wettbewerber, etc.),
• Verwendung neuer Technologien,
• mögliche Schwere des Schadens aufgrund von Verarbeitungsart, -umfang, -umständen und -zweck.

Wird nach der Risikoanalyse eine DSFA erforderlich, die dann immer noch ein hohes Datenschutz-Restrisiko der Verarbeitungsvorgänge identifiziert, ist die zuständige Aufsichtsbehörde zu Rate zu ziehen (vgl. Art. 36 DSGVO, Erwägungsgrund 84 und 94).