Einleitung

Unternehmen und Organisationen, die sensible personenbezogene Daten verarbeiten, oder diese auf eine bestimmte Art verarbeiten, stehen in der Verantwortung, Risiken für die Rechte und Freiheiten betroffener Personen frühzeitig zu erkennen und zu minimieren. Eine Datenschutz-Folgenabschätzung (DSFA) – auch bekannt als Data Protection Impact Assessment (DPIA) – ist bei der Verarbeitung sensibler Daten ein gesetzlich vorgeschriebenes Instrument, um diese Verantwortung zu erfüllen.

In diesem Artikel erfahren Sie, wann eine DSFA erforderlich ist und wie diese korrekt durchgeführt wird.

Was ist eine Datenschutz-Folgenabschätzung (DSFA/DPIA)?

Die DSFA ist ein systematisches Verfahren, welches den Risikobasierten Ansatz der DSGVO wiederspiegelt und Hilft die Risiken, die aus der Verarbeitung personenbezogener Daten entstehen, zu identifizieren und zu bewerten. Artikel 35 der Datenschutz-Grundverordnung (DSGVO) regelt die Verpflichtung zur DSFA und beschreibt, unter welchen Umständen sie durchgeführt werden muss.

Ziele der DSFA:

• Risiken für die Rechte und Freiheiten betroffener Personen erkennen.

• Geeignete technische und organisatorische Maßnahmen zur Minderung der vorhandenen Risiken entwickeln.

• Transparenz und Compliance gegenüber Datenschutzbehörden sowie Stakeholdern sicherstellen.

Ein Beispiel aus der Praxis: Unternehmen, die KI-basierte Profiling-Tools verwenden, wie z.B. im Bewerbermanagement, müssen sicherstellen, dass die Verarbeitung fair und transparent erfolgt und die Rechte der Betroffenen nicht beeinträchtigt.

Wann ist eine DSFA erforderlich?

Eine DSFA ist immer dann durchzuführen, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat. Laut DSGVO sind folgende Szenarien besonders relevant:

1. Systematische und umfassende Bewertung persönlicher Aspekte:

   • Beispiele: Profiling, automatisierte Entscheidungsfindung mit rechtlichen oder ähnlich erheblichen Auswirkungen.

2. Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten, oder Daten über strafrechtliche Verurteilungen:

   • Beispiele: Verarbeitung von Gesundheitsdaten, biometrischen oder genetischen Daten, verarbeiten von Führungszeugnissen.

3. Systematische Überwachung öffentlich zugänglicher Bereiche:

   • Beispiele: Videoüberwachung großer öffentlicher Plätze.

4. Wenn die Verarbeitung auf einer Pflichtliste steht:

   • Die nationalen Datenschutzbehörden stellen zusätzliche Listen bereit, die vorgeben wann eine DSFA verpflichtend ist.

   • Hier finden Sie die Pflichtliste der Datenschutzkonferenz, der Datenschutzbehörden des Bundes und der Länder.

•  

Der Ablauf einer Datenschutz-Folgenabschätzung

Vorbereitung

• Beteiligung des Datenschutzbeauftragten: Ziehen Sie frühzeitig den Datenschutzbeauftragten oder externe Experten hinzu.

• Definition von Zielen: Konkretisieren Sie, welche Datenverarbeitungsprozesse untersucht werden sollen.

• Dokumentation Rechtsgrundlagen: Beruht die Datenverarbeitung auf einer rechtlichen Vorgabe?

Inhalt einer DSFA

Laut Artikel 35 Abs. 7 DSGVO müssen folgende Inhalte berücksichtigt werden:

1. Beschreibung der geplanten Verarbeitungsvorgänge und Zwecke:

   • Beispiel: Verarbeitung von Kundendaten zur Verbesserung des Kundenservice.

2. Bewertung der Notwendigkeit und Verhältnismäßigkeit:

   • Stellen Sie sicher, dass die Bewertung im Bezug zu dem Angegebenen Zweck steht und auf das Nötigste beschränkt ist.

3. Bewertung der Risiken für betroffene Personen:

   • Beispiele: Risiken wie Datenverlust, Missbrauch oder unerlaubter Zugriff.

4. Geplante Maßnahmen zur Risikominderung:

   • Beispiel: Einsatz von Verschlüsselung oder Pseudonymisierung.

   • Stellen Sie sicher, dass die Maßnahmen den Risiken gerecht werden.

Durchführung

• Frühzeitig: Führen Sie die DSFA vor der Aufnahme der Datenverarbeitung durch und Planen Sie ausreichend Zeit ein.

• Zusammenarbeit: Koordinieren Sie die DSFA mit relevanten Abteilungen (z. B. IT, Recht, Compliance).

• Dokumentation: Halten Sie alle Schritte und Ergebnisse schriftlich fest, um diese bei Bedarf vorlegen zu können. Erstellen Sie einen DSFA Bericht.

• Tests: Testen Sie die vorgesehenen Maßnahmen zur Risikominimierung auf ihre Wirksamkeit.

Überprüfung und Anpassung

Eine DSFA ist ein dynamisches Werkzeug, das bei Änderungen der Verarbeitung und aktualisiert werden muss.
Ebenso ist eine regelmäßige Prüfung der Verarbeitungsprozesse vorgesehen.

Best Practices für die Durchführung einer DSFA

• Holen Sie sich Hilfe: Fachkundige Experten, ob in-,oder extern, haben bereits mehrere DSFA durchgeführt und kennen die Fallstricke.

• Nutzen Sie Tools: Es gibt spezielle Softwarelösungen, die den DSFA-Prozess vereinfachen.

• Erstellen Sie Checklisten: Diese helfen, sicherzustellen, dass alle relevanten Aspekte berücksichtigt werden.

• Schulen Sie Mitarbeiter: Nehmen Sie ihre an den kritischen Prozessen beteiligten Mitarbeiter mit ins Boot und Erläutern Sie die Notwendigkeit der Maßnahmen zur Risikominimierung.

• Zukunftsplanung: Planen Sie ein, dass Sie regelmäßig Ressourcen zum Reevaluieren der DSFA benötigen.
  • Führen Sie spätestens jetzt ein Datenschutz-Managementsystem ein. Holen Sie sich hierzu die Unterstützung durch Experten.
• Aufsichtsbehörde einbeziehen: Kommen Sie zu dem Schluss, dass Sie die Risiken für die betroffenen Personen nicht ausreichend verringern können, gehen Sie aktiv auf die für Sie zuständige Aufsichtsbehörde für Datenschutz zu.

Rechtliche und praktische Konsequenzen

• Vorteile für Dienstleister und Auftragsverarbeiter:
  • Für Dienstleister und Auftragsverarbeiter sieht die DSGVO eine Mitwirkungspflicht vor.
  • Ihr potentieller Kunde wird im Rahmen seines Softwareprüfungsprozesses Ihre DSFA anfragen.
  • Sind Sie hier Vorbereitet und können eine solche auf Anfrage herausgeben ist dies ein starkes Argument, dass Sie Kundenservice und Datenschutz groß schreiben.

• Bei Nichtbeachtung:

  • Bußgelder: Unternehmen, die keine DSFA durchführen, riskieren Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweit erzielten Jahresumsatzes (je nachdem, welcher Betrag höher ist).

  • Vertrauensverlust: Unternehmen Riskieren das Vertrauen ihrer Mitarbeiter, Kunden und Handelspartner zu verlieren mit all seinen Auswirkungen.

• Vorteile einer DSFA:

  • Erhöhte Compliance und Risikominderung.

  • Aufbau von Vertrauen bei Kunden und Partnern.

  • Verbesserung interner Prozesse durch systematische Risikoanalysen.

Fazit

Die Datenschutz-Folgenabschätzung ist ein unverzichtbares Werkzeug und bei festgestellter Notwendigkeit eine rechtliche Pflicht für Unternehmen und Organisationen, um ein effektives und zielführendes Risikomanagement im Umgang mit personenbezogenen Daten zu gewährleisten. Eine umfassende DSFA hilft nicht nur, gesetzliche Anforderungen zu erfüllen, sondern auch das Vertrauen der Betroffenen und Kunden zu gewinnen und langfristig Wettbewerbsvorteile zu sichern.

Weitere Informationen und Hilfestellungen finden Sie in einem Kurzpapier des DSK.