Datenschutz-Folgenabschätzung: Praxisleitfaden

Die Datenschutz-Folgenabschätzung (DSFA) ist ein zentraler Bestandteil der Datenschutz-Grundverordnung (DSGVO) und wird für Unternehmen immer wichtiger, die personenbezogene Daten in großem Umfang verarbeiten. Die DSFA hilft Unternehmen, potenzielle Risiken bei der Datenverarbeitung frühzeitig zu erkennen und geeignete Maßnahmen zum Schutz der betroffenen Personen zu ergreifen. 

In diesem Artikel erfahren Sie, was eine Datenschutz-Folgenabschätzung ist, wann sie erforderlich ist und wie Unternehmen sie korrekt durchführen.

Was ist eine Datenschutz-Folgenabschätzung?

Eine Datenschutz-Ffolgenabschätzung ist ein strukturierter Prozess, der darauf abzielt, die Risiken für den Schutz personenbezogener Daten von betroffenen Personen zu identifizieren und zu bewerten. Ziel der DSFA ist es, die potenziellen Risiken zu minimieren, bevor ein neues Projekt oder eine neue Datenverarbeitung beginnt und sicherzustellen, dass geeignete Schutzmaßnahmen getroffen werden, um Datenschutzverletzungen zu vermeiden.

Wann ist eine Datenschutz-Folgenabschätzung notwendig?

 Laut Art. 35 DSGVO müssen Unternehmen immer dann eine DSFA durchführen, wenn die Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Dies kann insbesondere dann der Fall sein, wenn neue Technologien eingesetzt werden oder besonders sensible Daten verarbeitet werden.

Die DSGVO beschreibt explizit drei Szenarien, bei denen in jedem Fall eine DSFA notwendig ist:

1. Automatisierte Entscheidungsfindung oder Profiling: Dies umfasst die Verwendung personenbezogener Daten zur Erstellung von Profilen oder das Treffen von Entscheidungen, basierend ausschließlich  auf automatisierten Prozessen, z.B. in Algorithmen für Kreditscoring.
2. Überwachung und Tracking: Wenn Unternehmen Technologien zur Überwachung, Beobachtung oder Kontrolle betroffener Personen einsetzen, ist eine DSFA notwendig. Besonders relevant ist dies bei der Videoüberwachung öffentlicher Bereiche oder anderer regelmäßig überwachter Räume.
3. Umfangreiche Verarbeitung besonders sensibler Daten: Dazu zählen besonders schützenswerte Daten wie Gesundheitsinformationen, Finanzdaten, biometrische oder genetische Daten sowie Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 der DSGVO.

Die Aufsichtsbehörde hat für öffentliche und nicht öffentliche Stellen des Bundes Listen erstellt, in denen alle Formen der Verarbeitung aufgeführt sind, für die eine Datenschutz-Folgenabschätzung notwendig ist: 

• Liste für die Verarbeitungsvorgänge im öffentlichen Bereich
• Liste für die Verarbeitungsvorgänge im nicht-öffentlichen Bereich

Wenn Unsicherheiten bestehen, ob eine DSFA erforderlich ist, kann die Einbeziehung eines Datenschutzbeauftragten oder einer externen Beratung hilfreich sein.

Wie führen Unternehmen eine Datenschutz-Folgenabschätzung durch?

DSGVO Art. 35 Abs. 7 gibt klare Schritte vor, die bei der Durchführung einer Datenschutz-Folgenabschätzung zu beachten sind. Diese Schritte helfen Unternehmen, systematisch Risiken zu erkennen und zu bewerten:

• Beschreibung der Verarbeitung: Zunächst müssen Unternehmen den Verarbeitungsprozess und dessen Zweck detailliert beschreiben. Dazu gehören auch die Art der erhobenen Daten und die betroffenen Personengruppen
• Bewertung der Notwendigkeit und Verhältnismäßigkeit: Unternehmen müssen prüfen, ob die geplante Verarbeitung für den angegebenen Zweck notwendig ist und ob weniger invasive Alternativen zur Verfügung stehen.
• Risikoabschätzung: Im nächsten Schritt wird bewertet, welche potenziellen Risiken die Datenverarbeitung für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Dies schließt sowohl die Wahrscheinlichkeit als auch die Schwere möglicher Datenschutzverletzungen ein.
• Maßnahmen zur Risikominimierung: Basierend auf der Risikoanalyse müssen geeignete Maßnahmen ergriffen werden, um die identifizierten Risiken zu minimieren. Dies können technische oder organisatorische Maßnahmen sein, wie etwa Verschlüsselung oder Zugangskontrollen.
• Dokumentation und Überprüfung: Die Ergebnisse der DSFA müssen dokumentiert und regelmäßig überprüft werden, insbesondere wenn sich die Art der Datenverarbeitung oder die Technologien ändern.

Falls eine DSFA zu dem Ergebnis führt, dass ein hohes Restrisiko besteht, muss nach Art. 36 DSGVO die zuständige Aufsichtsbehörde eingeschaltet werden. Diese kann zusätzliche Schutzmaßnahmen anordnen oder die Datenverarbeitung untersagen. 

Eine DSFA ist kein einmaliger Vorgang. Unternehmen müssen regelmäßig überprüfen, ob sich die Risiken bei der Verarbeitung personenbezogener Daten verändert haben. Wenn neue Technologien oder Verfahren eingeführt werden, die bestehende Risiken erhöhen könnten, ist eine erneute Bewertung erforderlich. Dies gewährleistet, dass die Verarbeitung weiterhin im Einklang mit der DSGVO steht und alle getroffenen Abhilfemaßnahmen wirksam bleiben.

Für die Durchführung einer DSFA empfiehlt es sich, ein interdisziplinäres Team zusammenzustellen. Der Datenschutzbeauftragte übernimmt die Leitung des Prozesses, während IT-ExpertInnen die technischen Risiken analysieren und Mitarbeitende aus den Fachabteilungen die Verarbeitungsprozesse im Detail prüfen. Ergänzend können RechtsexpertInnen sicherstellen, dass die rechtlichen Grundlagen eingehalten werden. Sollte zusätzliche Expertise erforderlich sein, ist es sinnvoll, externe BeraterInnen hinzuzuziehen. Um die Akzeptanz im Unternehmen zu fördern, kann es hilfreich sein, auch den Betriebsrat in Themen rund um die Mitarbeitenden einzubeziehen.

Welche Vorteile hat eine Datenschutz-Folgenabschätzung für Unternehmen?

Die Durchführung einer Datenschutz-Folgenabschätzung bietet Unternehmen mehrere Vorteile:

1. Risikominimierung: Durch die frühzeitige Erkennung von Risiken können Unternehmen Maßnahmen ergreifen, um Datenschutzverletzungen zu verhindern. Dies schützt nicht nur die Rechte der betroffenen Personen, sondern vermeidet auch potenzielle Bußgelder.
2. Transparenz und Vertrauen: Indem Unternehmen transparent mit den Risiken und Maßnahmen umgehen, stärken sie das Vertrauen ihrer KundInnen und GeschäftspartnerInnen in den verantwortungsvollen Umgang mit Daten.
3. Rechtskonformität: Die DSFA hilft Unternehmen, ihre Prozesse im Einklang mit der DSGVO zu gestalten und so rechtliche Konsequenzen zu vermeiden.

Was passiert, wenn eine Datenschutz-Folgenabschätzung nicht durchgeführt wird?

Die DSGVO sieht strenge Sanktionen vor, wenn eine Datenschutz-Folgenabschätzung nicht durchgeführt wird, obwohl sie erforderlich gewesen wäre. Unternehmen, die diese Pflicht missachten, riskieren Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Daher ist es für Unternehmen unerlässlich, die Notwendigkeit einer DSFA frühzeitig zu prüfen und gegebenenfalls durchzuführen.

Praktische Tipps und Beispiele

Um eine Datenschutz-Folgenabschätzung effektiv durchzuführen, können Unternehmen einige praktische Tipps berücksichtigen, um den Prozess zu optimieren: 

• Frühzeitige Einbindung der Datenschutzbeauftragten: Datenschutzbeauftragte sollten bereits bei der Planungsphase eines neuen Projektes oder einer Datenverarbeitung eingebunden werden, um Risiken frühzeitig zu identifizieren und zu bewerten.
• Klare Abgrenzung des Geltungsbereichs: Bevor die DSFA beginnt, sollte der Geltungsbereich klar definiert werden. Verschiedene Verarbeitungsvorgänge sollten separat bewertet werden, um präzise Ergebnisse zu erzielen. Eine gut strukturierte Abgrenzung vermeidet Verwirrung und erleichtert die Erstellung von spezifischen DSFA-Berichten.
• Berücksichtigung von Tochter- oder Dienstleistungsunternehmen: Besonders bei Tochtergesellschaften oder Dienstleistungsunternehmen sind Dokumente wie Verzeichnisse der Verarbeitungstätigkeiten (VVT), technische und organisatorische Maßnahmen (TOMs) und Datenschutzkonzepte wichtig. Diese Informationen sollten frühzeitig eingeholt und berücksichtigt werden, um ein vollständiges Bild der Datenverarbeitung zu erhalten.
• Auftragsverarbeiter und externe Partner einbeziehen: Externe Unternehmen oder Auftragsverarbeiter, die an der Datenverarbeitung beteiligt sind, müssen in die DSFA integriert werden. Dies erfordert gezielte Nachfragen und das Einholen relevanter Informationen wie Verzeichnisse von Verarbeitungstätigkeiten oder Auftragsverarbeitungsverträge. Eine enge Zusammenarbeit stellt sicher, dass alle Beteiligten die Risiken und Maßnahmen verstehen.
• Schulung und Sensibilisierung der Mitarbeitenden: Regelmäßige Schulungen für Mitarbeitende helfen, ein besseres Verständnis für Datenschutzfragen zu schaffen und Risiken im Alltag zu minimieren. Besonders wichtig ist es, den Umgang mit sensiblen Daten und die Einhaltung von Verarbeitungsrichtlinien zu vermitteln. 

Fazit

Eine Datenschutz-Folgenabschätzung ist ein unverzichtbares Instrument, um die Risiken bei der Verarbeitung personenbezogener Daten zu erkennen und zu minimieren.Unternehmen sollten die DSFA als Chance sehen, ihre Datenschutzprozesse zu optimieren, Risiken zu verringern und das Vertrauen der KundInnen in den Umgang mit ihren Daten zu stärken. Durch eine sorgfältige Durchführung der DSFA können Unternehmen ihre DSGVO-Compliance sicherstellen und sich vor rechtlichen und finanziellen Risiken schützen

Quellen:

• BfDI (2021). Das Standard-Datenschutzmodell.
• BfDI (2021). Datenschutz-Folgenabschätzungen und Listen von Verarbeitungsvorgängen.
• DSGVO (2021). Art. 35 DSGVO. Datenschutz-Folgenabschätzung.
• SRD Rechtsanwälte (2021). Datenschutz-Folgenabschätzung.