DSGVO – Datenschutz Folgenabschätzung

Das Instrument für eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA) wurde mit der Datenschutz-Grundverordnung (Art. 35 DSGVO) eingeführt. Dabei handelt es sich um die Verpflichtung des Verantwortlichen, eine Folgenabschätzung durchzuführen und zu dokumentieren, bevor die beabsichtigte Datenverarbeitung beginnt. Man kann die Folgenabschätzung für mehrere Verarbeitungsvorgänge bündeln.

Grundsätzlich muss eine Datenschutz-Folgenabschätzung immer dann durchgeführt werden, wenn die Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben könnte. Die Bewertung muss insbesondere dann durchgeführt werden, wenn einer der in Art. 35 Abs. 3 der DSGVO festgelegten Beispiele zutreffend ist. Um die offene Formulierung des Gesetzes hinsichtlich der grundlegenden Verpflichtung zur Durchführung einer Datenschutz-Folgenabschätzung zu konkretisieren, sind die Aufsichtsbehörden beteiligt. In einem ersten Entwurf hat die Artikel-29-Datenschutzgruppe einen Katalog von zehn Kriterien erstellt, die darauf hinweisen, dass die Verarbeitung ein hohes Risiko für die Rechte und Freiheiten einer natürlichen Person birgt. Diese sind beispielsweise Scoring/Profiling, automatische Entscheidungen, die rechtliche Folgen für die Betroffenen haben, systematische Überwachung, Verarbeitung besonderer personenbezogener Daten, Daten, die in großem Umfang verarbeitet werden, die Zusammenführung oder Kombination von Daten, die durch verschiedene Prozesse erhoben wurden, Daten über geschäftsunfähige oder in der Handlungsfähigkeit eingeschränkte Personen, Nutzung neuer Technologien oder biometrischer Verfahren, Datenübermittlung in Länder außerhalb der EU/EWR und Datenverarbeitungen, die die Betroffenen bei der Ausübung ihrer Rechte behindern. Eine Datenschutz-Folgenabschätzung ist nicht zwingend erforderlich, wenn ein Verarbeitungsvorgang nur eines dieser Kriterien erfüllt. Werden jedoch mehrere Kriterien erfüllt, ist das Risiko für die betroffenen Personen voraussichtlich hoch, und eine Datenschutz-Folgenabschätzung ist stets erforderlich. Bei Zweifeln und Schwierigkeiten, ein hohes Risiko festzustellen, sollte dennoch eine DSGVO durchgeführt werden. Dieser Prozess muss mindestens alle drei Jahre wiederholt werden.

Darüber hinaus müssen die nationalen Aufsichtsbehörden eine Liste von Verarbeitungsvorgängen erstellen und veröffentlichen, die in ihrem Zuständigkeitsbereich stets eine Datenschutz-Folgenabschätzung erfordern (Positivliste). Sie können auch frei entscheiden, eine Liste von Verarbeitungstätigkeiten zu veröffentlichen, die speziell keine Datenschutz-Folgenabschätzung erfordern (Negativliste). Wenn ein Unternehmen einen Datenschutzbeauftragten ernannt hat, muss dessen Rat bei der Durchführung einer DSFA berücksichtigt werden. Wie und nach welchen Kriterien die Auswirkungen und Risiken für die betroffenen Personen bewertet werden, bleibt weitgehend unbeantwortet. Die ersten Vorlagen orientierten sich an den Prüfungsschemata von ISO-Standards oder dem Standard-Datenschutzmodell.