Ablauf

Die Datenschutz-Folgenabschätzung

Eine Folgenabschätzung nach Art. 35 DSGVO ist keine Formsache am Ende eines Vorhabens. Sie steht vor der Festlegung der Mittel. Die Entscheidung gegen sie ist ebenso zu dokumentieren wie ihre Durchführung. Bewertet wird das Risiko für die betroffenen Personen und nicht das Risiko des Unternehmens.

Die Auswahl steht, die Prüfung fehlt

Der Fachbereich stellt ein neues Bewerbermanagement vor. Die Auswahl ist getroffen, der Vertrag liegt zur Unterschrift bereit, der Starttermin steht. Gefragt wird, ob aus Datenschutzsicht etwas dagegen spricht.

Auch die Entscheidung gegen eine Folgenabschätzung ist zu begründen

Woran sich entscheidet, ob eine Folgenabschätzung erforderlich ist, steht in Art. 35 Abs. 1 DSGVO. Anknüpfungspunkt ist ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen. Absatz 3 nennt dazu drei Regelbeispiele.

Die drei Regelbeispiele des Art. 35 Abs. 3 DSGVO

Systematische und umfassende Bewertung persönlicher Aspekte

Verlangt ist eine automatisierte Verarbeitung einschließlich Profiling, die ihrerseits Grundlage von Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung ist. Die Vorauswahl von Bewerbenden durch ein Bewertungssystem fällt darunter, sobald die Auswahl der Bewertung folgt.

Umfangreiche Verarbeitung besonderer Kategorien

Besondere Kategorien nach Art. 9 Abs. 1 DSGVO oder Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO. Umfangreich ist keine feste Zahl, sondern eine Frage von Menge, Dauer, Reichweite und Zahl der betroffenen Personen.

Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

Der Fall der Videoüberwachung, sobald sie systematisch erfolgt und einen öffentlich zugänglichen Bereich erfasst. Ein Kundenbereich ist öffentlich zugänglich, auch wenn er Privatgelände ist.

Die Regelbeispiele sind nicht abschließend. Daneben steht die Liste, die jede Aufsichtsbehörde nach Art. 35 Abs. 4 DSGVO veröffentlicht. Die für die eigene Stelle zuständige Liste ist die verbindliche.

Vorab heißt vor der Festlegung der Mittel

Wann im Vorhaben die Abschätzung stattzufinden hat, ergibt sich aus zwei Vorschriften. Art. 35 Abs. 1 DSGVO verlangt sie vorab. Art. 25 Abs. 1 DSGVO setzt den Zeitpunkt genauer, nämlich auf die Festlegung der Mittel für die Verarbeitung, damit also vor die Auswahl des Systems.

Vier Zeitpunkte, von denen nur der erste passt

Bedarf steht fest
Zweck, Datenkategorien und betroffene Personen sind bekannt, das System noch nicht. Hier wirkt die Folgenabschätzung auf die Anforderungsliste.
Anbieter ausgewählt
Die Folgenabschätzung kann noch die Konfiguration und den Vertrag beeinflussen. Der Zuschnitt der Verarbeitung steht dagegen schon fest.
Vertrag unterschrieben
Ab hier bleiben Maßnahmen, die nichts kosten. Ein Wechsel des Anbieters ist rechnerisch ausgeschlossen.
System in Betrieb
Wird die Folgenabschätzung erst nachträglich durchgeführt, beschreibt sie nur noch den Ist-Zustand. Ihre gestaltende Wirkung geht verloren.

Eine nachgeholte Abschätzung ist gleichwohl besser als keine. Sie schließt die Lücke in der Rechenschaftspflicht und liefert die Grundlage für die Fortschreibung, sobald sich am Vorhaben etwas ändert.

Bewertet wird das Risiko der betroffenen Personen

Wessen Risiko die Abschätzung bewertet, wird in der Praxis regelmäßig verwechselt. Art. 35 Abs. 7 Buchst. c DSGVO nennt die Risiken für die Rechte und Freiheiten der betroffenen Personen. Ausfallzeiten, Bußgelder und Ansehensverlust des Unternehmens sind ein anderer Gegenstand.

Zwei Risikobegriffe, die sich nicht decken

Risiko der betroffenen Person	Merkmal	Risiko des Unternehmens
Rechte und FreiheitenDiskriminierung, Identitätsdiebstahl, finanzieller Verlust, Rufschädigung, Verlust der Vertraulichkeit.	Gegenstand	Betrieb und BilanzAusfall, Wiederherstellungskosten, Bußgeld, Ansehen.
Eintrittswahrscheinlichkeit und SchwereAus der Sicht der Person, die betroffen wäre.	Maßstab	Schadenshöhe und HäufigkeitAus der Sicht der Stelle, die verarbeitet.
Senkt das Risiko deutlichDie Daten bleiben bei einem Abfluss unlesbar.	Wirkung einer Verschlüsselung	Senkt es kaumDer Ausfall des Systems tritt gleichwohl ein.
Senkt es kaumGegen eine unbefugte Offenlegung hilft eine Kopie nicht.	Wirkung einer Sicherung	Senkt es deutlichDer Betrieb läuft nach kurzer Zeit weiter.

Die beiden letzten Zeilen zeigen, warum die Verwechslung folgenreich ist. Dieselbe Maßnahme wirkt in den beiden Bewertungen gegenläufig. Eine Abschätzung aus der Betriebssicht empfiehlt deshalb die falschen Maßnahmen.

Bleibt das Risiko hoch, geht das Vorhaben zur Aufsichtsbehörde

Was folgt, wenn das Risiko trotz der geplanten Maßnahmen hoch bleibt, regelt Art. 36 Abs. 1 DSGVO. Der Verantwortliche konsultiert dann vor der Verarbeitung die Aufsichtsbehörde. Die Konsultation ist kein Genehmigungsverfahren. Ein Schweigen der Behörde ist keine Freigabe.

Was die Konsultation verlangt

Die Zuständigkeiten der Verantwortlichen und der beteiligten Auftragsverarbeiter, insbesondere in einer Unternehmensgruppe
Zwecke und Mittel der beabsichtigten Verarbeitung
Die vorgesehenen Maßnahmen und Garantien
Die Kontaktdaten der oder des Datenschutzbeauftragten
Die Folgenabschätzung selbst

Die Behörde antwortet innerhalb von bis zu acht Wochen, verlängerbar um sechs Wochen. Sie kann dabei ihre Befugnisse nach Art. 58 DSGVO ausüben, wozu die Beschränkung und das Verbot der Verarbeitung gehören.

So unterstützen wir Sie bei der Folgenabschätzung

Am wirksamsten ist die Schwellwertprüfung dort, wo neue Verfahren ohnehin geprüft oder freigegeben werden. Mit geringem Aufwand klärt sie, ob eine Datenschutz-Folgenabschätzung durchzuführen ist. Die erforderlichen Angaben liegen bereits im Verzeichnis der Verarbeitungstätigkeiten vor.

Häufige Fragen

Wann ist eine Folgenabschätzung erforderlich?

Bei voraussichtlich hohem Risiko, Art. 35 Abs. 1 DSGVO. Absatz 3 nennt drei Regelbeispiele, nämlich systematische umfassende Bewertung persönlicher Aspekte, umfangreiche Verarbeitung besonderer Kategorien und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Daneben gilt die Liste der zuständigen Aufsichtsbehörde nach Absatz 4.

Muss auch dokumentiert werden, dass keine nötig war?

Ja. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erfasst das Ergebnis der Prüfung und nicht nur die Durchführung. Eine Schwellwertprüfung von einer Seite genügt, wenn sie die geprüften Kriterien und das Ergebnis benennt.

Wie lange dauert eine Konsultation nach Art. 36 DSGVO?

Die Aufsichtsbehörde antwortet innerhalb von bis zu acht Wochen nach Erhalt des Ersuchens, verlängerbar um sechs Wochen bei komplexen Vorhaben. Die Frist ruht, solange angeforderte Informationen fehlen.

Genügt eine Folgenabschätzung für mehrere Systeme?

Art. 35 Abs. 1 Satz 2 DSGVO erlaubt eine einzige Abschätzung für mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken. Maßstab ist die Ähnlichkeit der Vorgänge und nicht die Zugehörigkeit zu demselben System.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.