Datenschutz-Folgenabschätzungen

DSGVO-Richtlinien entsprechen mit einer Datenschutz-Folgenabschätzung

Gemäß Artikel 35 Datenschutz-Grundverordnung (DSGVO) muss eine Verarbeitung personenbezogener Daten, die wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, vor Beginn der Verarbeitung einer Bewertung der Auswirkungen unterzogen werden, die solche Verarbeitungsvorgänge auf den Schutz personenbezogener Daten haben können.

Diese Bewertung wird als Datenschutz-Folgenabschätzung (DSFA) bezeichnet. Es liegt allein in der Verantwortung Ihrer Organisation, eine DSFA durchzuführen. Szenarien, in denen eine Datenschutz-Folgenabschätzung durchgeführt werden muss, sind solche, in denen neue Technologien eingesetzt werden, in denen große Datenmengen oder/und besondere Datenkategorien verarbeitet werden oder in denen es um Überwachung und Profilerstellung geht.

Gegebenenfalls ist der Ort einer Verarbeitung ausschlaggebend dafür, ob die DSFA gemäß den Black lists /White lists der lokalen Datenschutzaufsichtsbehörde durchgeführt werden muss oder nicht.

Ziel der Datenschutz-Folgenabschätzung (DSFA)

Die Datenschutz-Folgenabschätzung wird ausschließlich für eine einzelne und spezifische Verarbeitungstätigkeit durchgeführt, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen, auch betroffene Personen genannt, zur Folge haben könnte.

Ziel der Datenschutz-Folgenabschätzung ist es, potenziell hohe Risiken für die betroffenen Personen vor Beginn der Verarbeitung zu ermitteln und zu quantifizieren. Da es sich um ein Element der DSGVO handelt, deren wichtigstes Ziel die Wahrung der Rechte und Freiheiten der betroffenen Personen ist, berücksichtigt die Datenschutz-Folgenabschätzung nicht die Risiken, denen die Organisation ausgesetzt sein könnte.

Lösung der Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA sollte vor Beginn der Verarbeitung oder in der Entwurfsphase einer neuen Technologie und danach in regelmäßigen Abständen (Audit) durchgeführt werden.

• Arbeiten Sie mit dem Expertenteam von 2B Advice zusammen, um die für Ihre Situation spezifischen Umstände zu analysieren
• Profitieren Sie von einer externen Sichtweise bei der Identifizierung von Risiken
• Zusammenarbeit mit dem Team von 2B Advice zur Anpassung unserer Methodik an Ihr Unternehmen
• Entwickeln Sie einen internen Prozess für die Durchführung einer DSFA in der Zukunft.

Vorteile der Datenschutz-Folgenabschätzung (DSFA)

• Risikominimierung für die Organisation und die betroffenen Personen mit der Folge, dass das Vertrauen der Betroffenen und von Stakeholdern wächst
• Praktische Demonstration der Verantwortlichkeit und Umsetzung der Rechenschaftspflicht
• Verstärktes Bewusstsein für den Datenschutz auf allen Ebenen der Organisation

Datenschutzfolgenabschätzung (DSFA): Was ist zu tun?

Rechtsgrundlagen der DSFA in der DSGVO

Vielen Verantwortlichen in Unternehmen ist noch immer nicht klar, dass sie im Rahmen der DSGVO regelmäßig dazu verpflichtet sind eine Datenschutzfolgenabschätzung (DSFA) durchzuführen.

Kaum einer weiß jedoch, wann eine DSFA fällig ist oder worauf es bei einer DSFA ankommt.

Muss eine Datenschutzfolgenabschätzung (DSFA) durchgeführt werden?

Nach Artikel 35(4) DSGVO hat die Datenschutzkonferenz (DSK) die sog. „Muss-Liste“ herausgegeben. Die Muss-Liste beschreibt die Datenverarbeitungen, für die eine DSFA durchgeführt werden muss. Weitere Hinweise finden sich auch in Artikel 35(3). Zum Beispiel muss eine DSFA durchgeführt werden, wenn eine systematische umfangreiche Überwachung öffentlicher Bereiche (z. B. Videoüberwachung an Tankstellen, Einkaufszentren oder ähnlichem) vorliegt. Auch bei umfangreicher Verarbeitung besonderer Kategorien von personenbezogenen Daten (z. B. medizinische Daten in Gemeinschaftspraxen, Personaldaten insbesondere Religionszugehörigkeit bei Steuerberatern o. ä.) und systematischer und umfassender Bewertung von Personen (z. B. Profiling) ist eine DSFA durchzuführen.

Wichtig! Man sollte auch die Entscheidungsfindung, ob eine Datenschutz-Folgenabschätzung durchgeführt werden muss, dokumentieren.

Worauf kommt es bei der DSFA an?

Wenn Sie dazu verpflichtet sind eine DSFA durchzuführen, dann sollte Folgendes beachtet werden.

1. Nach §67 Abs. 3 BDSG 2018 muss der Datenschutzbeauftragte (DSB) bei einer DSFA einbezogen werden. Wichtig! Sollte man keinen Datenschutzbeauftragten haben, dann muss spätestens jetzt ein externer oder interner DSB benannt werden.
2. Verarbeitungsvorgänge müssen systematisch beschrieben werden.
3. Der Zweck der Verarbeitung muss benannt werden.
4. Die Rechtsgrundlage der Datenverarbeitung bestimmen.
5. Die Notwendigkeit und die Verhältnismäßigkeit der Verarbeitung muss bewertet werden.
6. Die Risiken für die Rechte und Freiheiten der betroffenen Personen müssen bewertet werden. Wichtig! Hier stehen die Betroffenen im Mittelpunkt und nicht das Unternehmen.
7. Geeignete technische und organisatorische Maßnahmen (TOM) müssen festgelegt werden, um die Risiken abzumildern und so dem Schutzbedarf der betroffenen Personen zu entsprechen.

Nachdem Sie die DSFA abgeschlossen haben und geeignete technische und organisatorische Maßnahmen getroffen haben, sollte deren Wirksamkeit durch eine jährliche Überprüfung bestätigt werden. Hierzu bietet sich ein jährliches Audit an, bei dem die Einhaltung der technischen und organisatorischen Maßnahmen überprüft wird.

Bedenken Sie, dass bei einer Veränderung der Rahmenbedingungen der zugrundeliegenden Verarbeitung gegebenenfalls eine neue DSFA durchgeführt werden muss.

Sollten Sie Hilfestellung bei der Durchführung einer Datenschutz-Folgenabschätzung benötigen oder möchten Sie die Datenschutz-Folgenabschätzung gleich auslagern, dann sprechen Sie uns gerne an.

Wir unterstützen unsere Mandanten regelmäßig bei der Durchführung einer DSFA gemäß Artikel 35 DSGVO und §67 BDSG.

Dabei spielt es für uns keine Rolle, ob wir Sie auf Grundlage eines Mandats als externer Datenschutzbeauftragter begleiten oder im Rahmen eines speziellen Projektes zur DSFA beraten und unterstützen.