Praxis-Tipps
- EU-weit anerkannte Vorgehensmodelle zur Risikobestimmung einsetzen
- Das verwendete Vorgehensmodell muss das Verfahren gut dokumentieren (wichtiges Kriterium für einen massenhaften Einsatz durch KMUs)
- Maßnahmenkataloge (technisch-organisatorische Maßnahmen zur Verfügbarkeit, Vertraulichkeit, Integrität und Belastbarkeit) zur Behandlung von Risiken sollten gut dokumentiert und erprobt sein
Jedoch gibt es
einheitliche Kriterien für eine Risikobestimmung. Die Art.-29-Datenschutzgruppe hat in den
Leitlinien zur DSFA Kriterien festgelegt, anhand deren geprüft werden sollte, ob eine DSFA durchgeführt werden muss. Dies soll umso wahrscheinlicher sein, wenn mindestens zwei und je mehr der nachfolgenden und als besonders riskant eingestuften Kriterien erfüllt sind:
- Scoring und Evaluierung, inkl. Profilbildung und Vorhersagen
- Automatisierte Entscheidungen mit rechtlicher oder im Gewicht vergleichbarer Wirkung
- systematische Beobachtung (z. B. von Arbeitsräumen)
- Sensible Daten
- Datenverarbeitung im großen Umfang
- Datensätze, die abgeglichen oder kombiniert werden
- Daten von besonders schutzbedürftigen Personen (z. B. Arbeitnehmer, Kinder)
- Innovative Nutzung oder Verwendung von technologischen und organisatorischen Lösungen (z. B. eine Kombination aus Fingerabdruckscan und Gesichtserkennung)
- Betroffene können ein Recht oder eine Dienstleistung ohne vorgeschaltete Datenverarbeitung nicht in Anspruch nehmen (z. B.: Eine Bank verlangt die Durchleuchtung von Daten eines potentiellen Kreditkunden vor einer Entscheidung über einen Vertragsabschluss)
2. Schaden
Ein Mensch kann durch eine Datenverarbeitung physische, materielle und immaterielle Schäden erleiden. Bezogen auf die geplante Anwendung ist zu klären, welche Schäden aus der Datenverarbeitung für Betroffene resultieren können.
Beispielhaft nennt die DS-GVO hier
- Diskriminierung
- Identitätsdiebstahl
- Rufschädigung
- Finanzieller Verlust
- Hinderung der Kontrolle über eigene Daten
- Profilbildung mit Standortdaten
3. Risikominimierung
Wer personenbezogene Daten verarbeiten will, ist verpflichtet, im Verhältnis zum Risiko nach dem Stand der Technik angemessene (nicht: neueste und teuerste) Maßnahmen zum Schutz der Daten zu ergreifen, diese regelmäßig, bei Bedarf sogar unverzüglich zu überprüfen und erforderlichenfalls upzudaten. In der Regel handelt es sich um eine Kombination aus
- organisatorischen Maßnahmen (z. B. Datenschutzschulung von Mitarbeitern, interne Regelungen zum Datenschutz, Notfallkonzept) und
- technischen Maßnahmen (z. B. Einsatz von Firewall und Virenscanner und deren zeitgemäßer Update, Verschlüsselung von Daten).
4. Nachweise hierüber zu erbringen (Dokumentation!)
Die Durchführung einer Datenschutz-Folgenabschätzung ist eine gesetzliche Pflicht. Unternehmen müssen nachweisen können, dass sie dieser gesetzlichen Verpflichtung nachkommen. Der Nachweis ist Bestandteil der Rechenschaftspflicht. Diese verpflichtet verantwortliche Stellen, alle Vorgaben der DS-GVO einzuhalten, wirksam umzusetzen, zu überprüfen und bei Bedarf nachzubessern.
Zu dokumentieren sind:
1. die Durchführung einer Risikobewertung,
2. das Ergebnis der Analyse (vernachlässigbares/geringes, normales, hohes Risiko) und
3. einer darauf ggf. abzuleitenden Datenschutz-Folgenabschätzung
Ergebnis => keine Datenschutz-Folgenabschätzung, da
- Whitelist
Datenschutzaufsichtsbehörden können (optional) eine Liste von Verarbeitungstätigkeiten (sog. Whitelist) veröffentlichen, die aus ihrer Sicht nie hochrisikobehaftet sind und damit keiner DSFA bedürfen.
Offen ist, ob die Datenschutzaufsichtsbehörden von dieser gesetzlichen Möglichkeit Gebrauch machen werden.
- Die Verarbeitungsvorgänge vor dem 25.05.2017 von einer Datenschutzaufsichtsbehörde oder einem Datenschutzbeauftragten im Wege einer Vorabkontrolle geprüft worden sind.
- die Verarbeitung eine gesetzliche Aufgabe nach Art. 6 Abs. 1 c DS-GVO (Erfüllung einer rechtlichen Verpflichtung) oder Art. 6 Abs. 1 e DS-GVO (Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt) ist und eine allgemeine DSFA hierfür ist bereits bei Erlass der Rechtsgrundlage (z. B. Gewerberegister) vorgenommen worden sowie der Mitgliedstaat die Durchführung einer DSFA nicht für notwendig erklärt hat.
- Kein hohes Risiko als Ergebnis der Prüfung
Ergebnis => Datenschutz-Folgenabschätzung, da
- Blacklist
Datenschutzaufsichtsbehörden müssen eine sog. Blacklist veröffentlichen. Diese enthält Datenverarbeitungen, die aus Sicht der Datenschutzaufsicht generell ein hohes Risiko haben und daher stets (ohne weitere sonstige Prüfung) vor deren Einsatz eine Vorabkonsultation der Aufsicht erfordern.
- Ergebnis der Risikobewertung:
(sehr) hohes Risiko und eine Risikoreduzierung ist nicht möglich
Führen geeignete technische und/oder organisatorische Maßnahmen dazu, dass für die Daten Betroffener ein (sehr) hohes Risiko in ein normales Risiko reduziert werden kann, ist keine Datenschutz-Folgenabschätzung durchzuführen. So muss ein hoher Schutzbedarf (z. B. biometrische Daten, Personalaktendaten) für sich allein nicht zwingend zu einem hohen Risiko führen, sondern nur dann, wenn gleichzeitig die Eintrittswahrscheinlichkeit für einen Vorfall hoch ist.
Mindestinhalt einer Datenschutz-Folgenabschätzung
Diesen legt die DS-GVO wie folgt fest
- Systematische Beschreibung der Verarbeitungsvorgänge und Zwecke
- Notwendigkeit und Verhältnismäßigkeit der Verarbeitung im Verhältnis zum Zweck der Verarbeitung
- Risikobewertung (s. o.)
- Geplante Abhilfemaßnahmen zur Bewältigung der Risiken
Verbleibt ein hohes oder sehr hohes Restrisiko, bedeutet dies Folgendes:
- Der Verantwortliche hat eine Datenschutz-Folgenabschätzung durchzuführen.
- Ferner hat er vor einem Einsatz einer derartigen Datenverarbeitung die zuständige Datenschutzaufsichtsbehörde zu konsultieren und
- deren Entscheidung (z. B. Einsatz nur nach Ergreifung weiterer Schutzmaßnahmen, Verbot der geplanten Verarbeitung) zu beachten.