Umsetzungsunterstützung bei Datenschutz-Folgenabschätzungen (DSFA)

Ein essenzielles Instrument der DSVGO um Risiken für die Rechte und Freiheiten der betroffenen Personen bei der Verarbeitung personenbezogener Daten frühzeitig zu identifizieren und zu minimieren, ist die Datenschutz-Folgenabschätzung (DSFA). Sie dient dazu, die datenschutzrechtlichen Anforderungen mit praktischen Maßnahmen zu verbinden und potenzielle Datenverstöße proaktiv zu vermeiden.

In diesem Prozess spielt der Datenschutzbeauftragte eine Schlüsselrolle. Bei der Planung, Durchführung und Dokumentation der DSFA unterstützt er das Unternehmen und sorgt dafür, dass alle rechtlichen Vorgaben eingehalten werden. Dies umfasst die Bewertung von Risiken, die Entwicklung geeigneter Schutzmaßnahmen und die Sicherstellung einer lückenlosen Nachvollziehbarkeit für die Aufsichtsbehörden.

Wann ist eine DSFA verpflichtend?

Die Verpflichtung einer Durchführung einer DSFA ergibt sich aus Art. 35 DSGVO. Diese ist erforderlich, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen birgt. Dies betrifft insbesondere:

1. Systematische und umfangreiche Überwachung: Beispiele sind Videoüberwachung oder Tracking-Technologien, die zur ständigen Überwachung von Personen eingesetzt werden.
2. Verarbeitung sensibler Daten: Dazu gehören besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, wie Gesundheitsdaten, biometrische Daten oder Daten zur ethnischen Herkunft.
3. Automatisierte Entscheidungen mit erheblichen Auswirkungen: Etwa im Kontext von Profiling oder Scoring, wie es bei Kreditwürdigkeitsprüfungen oder algorithmengestützter Entscheidungsfindung der Fall ist.
4. Weitere Risikofaktoren: Nationale Datenschutzbehörden können spezifische Verarbeitungsarten benennen, die eine DSFA erforderlich machen. Diese Listen sollten regelmäßig geprüft werden.

Falls Unsicherheiten bestehen, ob eine DSFA verpflichtend ist, ist eine Rücksprachen mit einem Juristen sinnvoll, um rechtliche Risiken zu vermeiden.

Wie wird bei der DSFA vorgegangen?

In der DSGVO sind keine starren Vorgaben zur Durchführung einer DSFA aufgeführt, gibt aber in Art. 35 Abs. 7 DSGVO wesentliche Inhalte vor. Der Prozess lässt sich in mehreren Schritten strukturieren:

1. Beschreibung der geplanten Verarbeitung:
   Es wird dokumentiert, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht, wer für die Verarbeitung verantwortlich ist und welche Technologien dabei eingesetzt werden. Diese Beschreibung bildet die Grundlage der gesamten DSFA.
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit:
   Es wird geprüft, ob die Verarbeitung erforderlich ist, um den definierten Zweck zu erreichen, und ob die Maßnahmen verhältnismäßig sind. Dabei stehen insbesondere die Grundsätze der Datenminimierung, Zweckbindung und Integrität im Vordergrund.
3. Risikobewertung:
   Der Fokus liegt auf den potenziellen Risiken für die Rechte und Freiheiten der betroffenen Personen. Dies umfasst die Identifikation möglicher Gefährdungen (z. B. Datenverlust, unbefugter Zugriff) und deren Bewertung hinsichtlich Eintrittswahrscheinlichkeit und Schadenshöhe.
4. Festlegung von Schutzmaßnahmen:
   Auf Basis der Risikobewertung werden technische und organisatorische Maßnahmen entwickelt, um die identifizierten Risiken zu minimieren. Dazu können beispielsweise Verschlüsselung, Zugriffsbeschränkungen oder Schulungen der Mitarbeitenden gehören.
5. Dokumentation der DSFA:
   Alle Schritte der DSFA werden umfassend dokumentiert. Diese Dokumentation dient als Nachweis gegenüber Aufsichtsbehörden und zeigt, dass das Unternehmen seine Verpflichtungen nach der DSGVO erfüllt.
6. Einbindung des Datenschutzbeauftragten:
   Der DSB berät während des gesamten Prozesses, überprüft die Dokumentation und gibt Empfehlungen, ob die festgelegten Maßnahmen ausreichend sind. In besonders kritischen Fällen unterstützt der DSB bei der Abstimmung mit der zuständigen Aufsichtsbehörde.

Fazit

Ein DSFA ist ein unverzichtbares Instrument, um datenrechtliche Risiken frühzeitig zu erkennen und zu minimieren. Dabei übernimmt der Datenschutzbeauftragte eine Schlüsselrolle, indem er Unternehmen bei der Durchführung unterstützt, Compliance sicherstellt und die Qualität der Schutzmaßnahmen überprüft.

Insgesamt schützt eine ordnungsgemäß durchgeführte DSFA nicht nur die Rechte der Betroffenen, sondern hilft auch dabei rechtliche und finanzielle Risiken für das Unternehmen zu vermeiden.