Die DSGVO verpflichtet in Artikel 35 die Verantwortlichen, eine Datenschutz-Folgenabschätzung (DSFA) vorzunehmen, wenn ein „voraussichtlich hohes Risiko“ mit der Verarbeitung von Daten verbunden ist. Hierzu berichteten wir bereits Ende März . Von der Artikel-29-Arbeitsgruppe wurde jetzt ein Arbeitspapier  mit Leitlinien veröffentlicht, wann eine solche Folgenabschätzung notwendig ist. Kommentare dazu können dieser noch bis zum 23.05.2017 vorgelegt werden.

GRUNDPRINZIPIEN EINER DSFA

Dieses Arbeitspapier ist von großer Bedeutung, da die Artikel-29-Gruppe sich aus Vertretern der Aufsichtsbehörden der Mitgliedsstaaten zusammensetzt. Diese Behörden sollen durch die Erstellung von Positiv-und Negativlisten klarstellen, wann eine DSFA durchzuführen ist. Die Leitlinien sehen vor, dass die Verantwortlichen in bestimmten Fällen die unbedingte Pflicht haben, eine Folgenabschätzung durchzuführen. Diese Pflicht besteht „where a processing is likely to result in a high risk to the rights and freedoms of natural persons”.

Quelle: http://ec.europa.eu/newsroom/document.cfm?doc_id=44137

Eine DSFA kann sich dabei nicht nur auf einen einzelnen Datenverarbeitungsprozess beziehen. Art. 35 und Erwägungsgrund 92 sehen vor, dass auch eine Reihe von mehreren gleichartigen Datenverarbeitungsprozessen mit ähnlich hohem Risiko aus wirtschaftlichen Gründen gemeinsam bewertet werden können. Dies ist der Fall, wenn mit ähnlicher Technologie dieselbe Art von Daten zum selben Zweck verarbeitet werden. Als Beispiele nennt das Arbeitspapier dazu:

• Mehrere Kommunen setzen ein vergleichbares CCTV-System ein
• Ein Bahnbetrieb führt in allen seinen Bahnhöfen eine Videoüberwachung durch

10 KRITERIEN ZUR RISIKOBEURTEILUNG

Um das Vorliegen eines solchen „hohen Risikos“ zu konkretisieren, werden 10 Kriterien aufgelistet. Je mehr von diesen zutreffen, desto wahrscheinlicher ist das Vorliegen eines hohen Risikos. Als Faustregel dabei gilt, dass eine Folgenabschätzung bei Erfüllung von zwei oder mehr Kriterien durchgeführt werden muss.
Eine DSFA ist allerdings auf jeden Fall erforderlich, wenn biometrische Daten oder die Daten von Kindern verarbeitet werden.

• Scoring, Profiling, Evaluation, z. B. Einschätzung der Kreditwürdigkeit, Behavioral Marketing etc.
• automatisierte Einzelfallentscheidungen
• systematische Überwachung,
• Verarbeitung sensibler Daten
• umfangreiche Datenverarbeitungen (bezogen auf die Anzahl betroffener Personen und Datenkategorien, die Dauer der Verarbeitung, die geographische Ausdehnung)
• das Zusammenführen oder Abgleichen von Datenbeständen, wenn Betroffene nicht damit rechnen können
• die Verarbeitung von Daten besonders schutzbedürftiger Personen
• Neuartigkeit von Verarbeitungsvorgängen, Verwendung neuer Technologien (bspw. Fingerabdrucksensoren oder Gesichtserkennung)
• Übermittlung von personenbezogenen Daten an Empfänger außerhalb der EU
• Verarbeitungen, die es betroffenen Personen erschweren, ihre Rechte auszuüben oder eine Leistung in Anspruch zu nehmen, z.B. die Beurteilung der Kreditwürdigkeit durch eine Bank vor der Vergabe eines Darlehens.

Allerdings besteht nicht für jede Art von Datenverarbeitung, die mit einem gewissen Risiko für die Betroffenen verbunden ist, die Verpflichtung zu einer Folgenabschätzung.
Die Datenschützer nennen auch einige Praxisbeispiele für die Erforderlichkeit einer Folgenabschätzung.
DSFA erforderlich:

• Die Verarbeitung von Gesundheitsdaten
• Intelligente Videoüberwachung des Straßenverkehrs, bei dem einzelne Fahrzeuge und deren Nummernschilder automatisch erkannt werden.
• Überwachung von Mitarbeitern

Keine DSFA erforderlich:

• Ein Online-Magazin verwendet eine Mailingliste, um seinen Abonnenten einen täglichen Digest zu schicken
• Ein E-Commerce Unternehmen, das Anzeigen zeigt,  basierend auf einer Nutzeranalyse der Einkäufe auf seiner Website

DURCHFÜHRUNG EINER DSFA

Ein Verantwortlicher ist dabei immer in der Pflicht, Risiken bei der Verarbeitung zu berücksichtigen und zu dokumentieren. Diese Pflicht besteht auch, wenn keine hohen Risiken vorliegen. Nach Art.35 DSGVO muss eine DSFA nur für eine Datenverarbeitung vorgenommen werden, die am oder nach dem 28.05.2018 begonnen wird. Es wird allerdings dringend empfohlen auch für jede bereits laufende Datenverarbeitung eine Folgenabschätzung vorzunehmen. Die Pflicht zur DSFA hat der Verantwortliche, der diese Arbeiten jedoch delegieren darf. Von diesem ist auch die entsprechende Stellungnahme des Datenschutzbeauftragten einzuholen. Gegebenenfalls ist der Standpunkt der betroffenen Personen einzuholen, wobei das Ergebnis zu dokumentieren ist. Ebenso sind die Beweggründe darzulegen, falls deren Standpunkt nicht berücksichtigt wird.
Eine DSFA erfordert folgendes Vorgehen:

• Einschätzung der Eigenart der betreffenden Verarbeitung, des Umfangs, Kontext und Zweck
• Einschätzung der Risiken, insbesondere der Eintrittswahrscheinlichkeit und Schwere der möglichen Verletzung von Rechten
• Risikominimierung, Sicherstellung der Einhaltung der DSGVO, Dokumentation

Bei der Vorgehensweise selbst wird dem Verantwortlichen ein Ermessenspielraum eingeräumt, wobei folgende Vorgabe als wesentlich angesehen wird:

„However, whatever its form, a DPIA must be a genuine assessment of risks, allowing controllers to take measures to address them.“

Die Vorgehensweise für die Erstellung einer DSFA nach der Artikel-29-Gruppe:

Quelle: http://ec.europa.eu/newsroom/document.cfm?doc_id=44137

Eine Pflicht zur Veröffentlichung einer DSFA sieht die DSGVO nicht vor. Es wird jedoch empfohlen eine solche in Betracht zu ziehen, besonders wenn Risiken für die Öffentlichkeit bestehen.Weiterhin wird empfohlen eine DSFA alle drei Jahre zu wiederholen. Sofern sich jedoch die Risikoeinschätzung durch eine Veränderung der Umstände nicht geändert hat, besteht hierzu keine Pflicht.

KONSULTATION DER AUFSICHTSBEHÖRDE

Ergibt eine DSFA, dass trotz Maßnahmen zur Risikominderung, die Einstufung des Risikos weiterhin hoch ist, so muss vor der Datenverarbeitung die Aufsichtsbehörde konsultiert werden:

„It is in cases where the identified risks cannot be sufficiently addressed by the data controller (i.e. the residual risks remains high) then the data controller must consult the supervisory authority.“

Präzisiert wird diese Vorgabe durch Art.36 DSGVO in Verbindung mit den Erwägungsgründen 84 (Risikoevaluierung und Folgenabschätzung) und 94 (Konsultierung der Aufsichtsbehörde). Die Aufsichtsbehörden sind angehalten, das Ersuchen innerhalb einer bestimmen Frist zu beantworten. Allerdings dürfen diese auch eingreifen, wenn keine fristgerechte Antwort erfolgte.

FAZIT

Eine DSFA ist für die Art.29-Gruppe ein Schlüsselelement der DSGVO-Compliance in Bezug auf Datenverarbeitung, die mit einem hohen Risiko verbunden ist. Die dargelegten Kriterien sollten hierbei für die Entscheidung verwendet werden, ob eine DSFA durchgeführt wird. Hervorzuheben ist die Wichtigkeit, sich frühzeitig mit den Anforderungen der DSGVO auseinanderzusetzen. Auch sollte rechtzeitig damit begonnen werden entsprechende Compliance-Richtlinien zu erstellen und deren Umsetzung sicherzustellen.