Datenschutz-Folgenabschätzung: Wann brauchen Unternehmen die DSFA?

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Die Datenschutz-Folgenabschätzung (DSFA) ist eine Anforderung der DSGVO. Demnach ist die DSFA eine erweiterte Risikoeinschätzung, die vor bestimmten Verarbeitungen personenbezogener Daten stattfindet.

Weitere Namen für die DSFA: 

• DPIA: Data Protection Impact Assessment
• PIA: Privacy Impact Assessment

Ist eine DSFA das gleiche wie eine Risikoanalyse?

Die DSGVO sieht generell eine Risikoanalyse für Datenverarbeitungen vor. Die Datenschutz-Folgenabschätzung ist allerdings deutlich umfangreicher und komplexer und nur bei kritischen Verarbeitungsprozessen notwendig. Die Risikoanalyse ist jedoch immer Teil der DSFA.

Welche Funktion hat die DSFA?

Die DSFA erfüllt im Datenschutzbereich mehrere Funktionen:

• Sie hilft, Datenpannen vorzubeugen
• Eine DSFA soll Risiken für die Rechte und Freiheiten betroffener Personen reduzieren.
• Die DSFA ermöglicht es Unternehmen, das Risiko der Verarbeitung sensibler Daten zu evaluieren.
• Die Ergebnisse der DSFA sind wichtig, um Abhilfemaßnahmen zur Eindämmung der Risiken zu ergreifen, zum Beispiel technische und organisatorische Maßnahmen (TOM).
• Die DSFA schützt auch datenschutzrechtlich Verantwortliche, indem sie eine DSGVO-konforme Datenverarbeitung ermöglicht und hilft, diese nachzuweisen.

Ist eine Datenschutz-Folgenabschätzung gesetzlich vorgeschrieben?

Unternehmen sind grundsätzlich dazu verpflichtet, den Schutz personenbezogener Daten zu gewährleisten. Ob dafür eine DSFA notwendig ist, hängt davon ab, wie riskant die Verarbeitung dieser Daten ist.  

Bereits das frühere deutsche Datenschutzrecht sah eine Vorabkontrolle vor, die in § 4d Abs. 5 BDSG beschrieben war. Heute finden Unternehmen in Artikel 35 EU-DSGVO konkrete Vorschriften und Beispiele für die Durchführung einer DSFA.

Wann benötige ich eine Datenschutz-Folgenabschätzung konkret?

Die Frage, wann genau eine Folgenabschätzung notwendig ist, treibt viele Datenschutzverantwortliche um. Art. 35 Abs. 1 DSGVO legt Folgendes fest:

„Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“

Die DSFA ist vereinfacht gesagt notwendig, sobald abzusehen ist, dass eine Verarbeitung aufgrund ihrer Art, des Umfangs, der Umstände und der Zwecke ein hohes Risiko für Betroffene zur Folge hat.  

Welche Beispiele gibt es für Datenschutz-Folgenabschätzungen?

In der Praxis kann es verschiedene Situationen geben, in denen die Durchführung einer DSFA notwendig wird. Ein typischer Anwendungsfall ist der geplante Einsatz neuer Technologien wie KI – vor allem, wenn die Auswirkungen auf den Datenschutz unklar sind.

Art. 35 Abs. 3 DSGVO beschreibt drei Beispiele für Situationen, in denen Unternehmen eine Datenschutz-Folgenabschätzung durchführen müssen:

🕵️♂️ Persönliche Aspekte sollen systematisch und umfassend bewertet werden und die Bewertung beruht auf automatisierter Verarbeitung  

👉 Beispiele: Profiling, Kreditwürdigkeitsprüfung, automatisierte Bewerbervorauswahl  

🤫 Besonders sensible Datenkategorien, wie gesundheitsbezogene, biometrische oder strafrechtliche relevante Daten, sollen in großem Umfang verarbeitet werden

👉 Beispiele: Krankenhausinformationssysteme, landesweite Patientenakten, biometrische Zugangskontrollen

📸 Die Überwachung öffentlich zugänglicher Bereiche ist geplant  

👉 Beispiel: Videoüberwachung öffentlich zugänglicher Räume wie Einkaufszentren oder Bahnhöfe  

Die DSGVO beschreibt allerdings nur einige Beispiele. Außerdem herrscht Uneinigkeit unter den deutschen Aufsichtsbehörden über die Notwendigkeit einer Datenschutz-Folgenabschätzung für einzelne Verarbeitungstätigkeiten.  

Hilfestellung für Unternehmen: Die Positivliste der Datenschutzkonferenz

Unternehmen erhalten auf der Website der zuständigen Datenschutzaufsichtsbehörde ihres Bundeslandes Listen über Verarbeitungsvorgänge, die DSFA-relevant sind.  

Eine hilfreiche Informationsquelle ist auch die Positivliste der Datenschutzkonferenz. Sie enthält Verarbeitungstätigkeiten, die eine DSFA erfordern, darunter:

• Umfangreiche Verarbeitung von Aufenthaltsdaten natürlicher Personen

• Erstellung umfassender Nutzerprofile in sozialen Netzwerken oder Dating-Portalen

Wann ist keine Datenschutz-Folgenabschätzung notwendig?

Gemäß der DSGVO ist eine DSFA nicht erforderlich, wenn nach einer risikobasierten Prüfung zu erwarten ist, dass die geplante Verarbeitung voraussichtlich kein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Das kann zum Beispiel bei Routineverarbeitungen mit geringem Risiko der Fall sein.

Weitere Beispiele:

• Einfache Adressverarbeitungen ohne besondere Kategorien personenbezogener Daten und ohne Profiling oder umfangreiche Auswertung  

• Bei Verarbeitungen, bei denen keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblichen Auswirkungen auf Personen stattfindet

• Gleichartige Verarbeitungsvorgänge sind bereits einer DSFA unterzogen worden, und Umfang, Zweck, Umstände und Risiken haben sich nicht wesentlich verändert

Bei der Frage, ob eine DSFA notwendig ist oder nicht, können Unternehmen sich von einer PIA-Software unterstützen lassen.

Was ist PIA-Software?

Unter PIA-Software versteht man eine Datenschutzsoftware, die bei der strukturierten Durchführung und Dokumentation des Privacy Impact Assessments unterstützen kann.

DSFA-Fragen effizient klären

Mit der Datenschutzsoftware von Proliance finden Sie mit wenigen Klicks heraus, ob Ihr Unternehmen für bestimmte Verarbeitungstätigkeiten eine DSFA braucht.

Mehr zur Datenschutzsoftware

Wer führt eine Datenschutz-Folgenabschätzung durch?

Eine DSFA wird in der Regel von dem für die Datenverarbeitung Verantwortlichen erstellt. Im Unternehmen ist das die Person, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.  

Datenschutzbeauftragte sind nicht wie oft angenommen zuständig für die Prüfung und Durchführung der DSFA. Sie können Verantwortliche allerdings mit ihrem Fachwissen unterstützen. Gegebenenfalls sind weitere Fachleute hinzuzuziehen, zum Beispiel IT-Sicherheitsexperten.  

Bei besonders hohen Risiken sollten Verantwortliche außerdem die zuständige Datenschutzaufsichtsbehörde konsultieren.

Wie mache ich eine Datenschutz-Folgenabschätzung?

Um den Prozess der DSFA zu vereinfachen, ist es für Unternehmen ratsam, ihn in drei Phasen zu unterteilen:

• ‍In der Vorbereitungsphase werden der Prüfgegenstand definiert, die Rechtsgrundlagen bestimmt und die Akteure festgelegt. Dabei helfen folgende Fragen: Wo im Unternehmen werden personenbezogene Daten verarbeitet? Wie sieht das Verfahren der Verarbeitung aus und welchem Zweck dient sie?

• In der Bewertungsphase wird das Risiko nach dem Standard-Datenschutzmodell oder entsprechend einer Risikoanalyse bewertet. Dafür müssen Notwendigkeit und Verhältnismäßigkeit der geplanten Verarbeitung jeweils im Verhältnis zu dem Zweck der Verarbeitung ermittelt werden. Stellt diese Verarbeitung ein Risiko für die Rechte und Freiheiten einer betroffenen Person dar? Können etwaige Sicherheitsrisiken durch TOM abgeschwächt werden?

• In der Maßnahmenphase werden Schutzmaßnahmen zur Vermeidung oder Minderung von Beeinträchtigungen von Rechten und Freiheiten ergriffen. Zudem werden der Verantwortliche und Zeitplan der Umsetzung festgelegt.

Die Ergebnisse der Vorbereitungs-, Bewertungs- und Maßnahmenphase müssen Unternehmen dokumentieren.

Inhalt einer DSFA: Was muss drinstehen?

Art. 35 Abs. 7 der DSGVO legt bestimmte Mindestanforderungen an den Inhalt einer DSFA fest. Folgende Punkte muss die DSFA demnach enthalten:

• systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke

• Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung

• Bewertung der Risiken in Bezug auf die Rechte und Freiheiten der betroffenen Personen

• Abhilfemaßnahmen, die zur Bewältigung der Risiken getroffen werden, einschließlich Nachweisen der Einhaltung der DSGVO und der Rechte der Betroffenen

Eine DSFA sollte darüber hinaus eine Beschreibung der geplanten Verarbeitungsvorgänge, der Zwecke der Verarbeitung und der betroffenen Daten enthalten und Verantwortlichkeiten klären.

Sie benötigen Unterstützung oder eine Software, um Datenschutz-Folgenabschätzungen korrekt und effizient durchzuführen? Wir beraten Sie gern zu Ihren Möglichkeiten.