Datenschutz-Folgenabschätzung (DSFA): Wann ist sie erforderlich?

Die Datenschutz-Folgenabschätzung (DSFA) ist ein wichtiges Instrument zur Risikoanalyse und -minimierung bei Datenverarbeitungen. Dieser Artikel erklärt, wann eine DSFA erforderlich ist und wie sie korrekt durchgeführt wird.

Was ist eine Datenschutz-Folgenabschätzung?

Die Datenschutz-Folgenabschätzung (englisch: Data Protection Impact Assessment, DPIA) ist ein systematischer Prozess zur Bewertung der Auswirkungen einer Datenverarbeitung auf den Schutz personenbezogener Daten.

Rechtliche Grundlage

Die DSFA ist in Art. 35 DSGVO geregelt und gehört zu den Rechenschaftspflichten des Verantwortlichen. Sie dient dazu, Risiken für die Rechte und Freiheiten natürlicher Personen zu identifizieren und zu minimieren.

### Ziele der DSFA

- Risikobewertung: Identifikation und Bewertung von Risiken
- Risikominimierung: Entwicklung von Schutzmaßnahmen
- Dokumentation: Nachweis der Einhaltung der DSGVO
- Entscheidungshilfe: Grundlage für die Implementierung von Verarbeitungsprozessen

## Wann ist eine DSFA erforderlich?

### Grundregel nach Art. 35 Abs. 1 DSGVO

Eine DSFA ist erforderlich, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

### Konkrete Fälle nach Art. 35 Abs. 3 DSGVO

Eine DSFA ist insbesondere in folgenden Fällen erforderlich:

1. Systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die auf automatisierter Verarbeitung basiert und als Grundlage für Entscheidungen dient (z.B. Profiling)

2. Umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten

3. Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

### Listen der Aufsichtsbehörden

Die Datenschutzaufsichtsbehörden haben Listen mit Verarbeitungstätigkeiten veröffentlicht, für die eine DSFA:

- Zwingend erforderlich ist (sog. "Blacklist")
- Nicht erforderlich ist (sog. "Whitelist")

Beispiele aus der "Blacklist":
- Scoring oder Rating von Personen zur Bonitätsbewertung
- Umfangreiche Videoüberwachung öffentlicher Bereiche
- Biometrische Identifikation in größerem Umfang
- Verarbeitung von Standortdaten in größerem Umfang
- Künstliche Intelligenz zur systematischen Analyse personenbezogener Daten

## Schwellenwertanalyse: Ist eine DSFA erforderlich?

Zur Beurteilung, ob eine DSFA erforderlich ist, sollten folgende Kriterien geprüft werden:

### 1. Art der Verarbeitung

- Werden besondere Kategorien personenbezogener Daten verarbeitet?
- Werden Daten über schutzbedürftige Personen verarbeitet?
- Erfolgt eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung?
- Werden innovative Technologien oder organisatorische Lösungen eingesetzt?

### 2. Umfang der Verarbeitung

- Wie viele betroffene Personen sind involviert?
- Wie groß ist die Datenmenge?
- Wie lange werden die Daten gespeichert?
- Wie groß ist der geografische Umfang der Verarbeitung?

### 3. Kontext der Verarbeitung

- Besteht ein Ungleichgewicht zwischen Verantwortlichem und betroffener Person?
- Werden Daten ohne Wissen der betroffenen Person erhoben?
- Ist die Verarbeitung für die betroffenen Personen unerwartbar?
- Werden Daten mit anderen Datensätzen kombiniert?

### 4. Zwecke der Verarbeitung

- Bewertung oder Scoring von Personen
- Automatisierte Entscheidungsfindung
- Systematische Überwachung
- Verhinderung der Inanspruchnahme von Diensten oder Verträgen

## Durchführung einer DSFA

### 1. Vorbereitung

Projektteam zusammenstellen:
- Datenschutzbeauftragter (falls vorhanden)
- IT-Sicherheitsbeauftragter
- Fachverantwortliche
- Ggf. externe Berater

Umfang festlegen:
- Welche Verarbeitungsvorgänge werden betrachtet?
- Welche Systeme und Prozesse sind betroffen?
- Welche Daten werden verarbeitet?

### 2. Beschreibung der Verarbeitung

Detaillierte Dokumentation:
- Zwecke der Verarbeitung
- Betroffene Personengruppen
- Kategorien personenbezogener Daten
- Empfänger der Daten
- Speicherfristen
- Technische und organisatorische Maßnahmen
- Datenflüsse und Prozesse (ggf. mit Diagrammen)

### 3. Notwendigkeit und Verhältnismäßigkeit

Prüfung der Grundsätze:
- Rechtmäßigkeit (Rechtsgrundlage)
- Zweckbindung
- Datenminimierung
- Richtigkeit
- Speicherbegrenzung
- Integrität und Vertraulichkeit
- Rechenschaftspflicht

### 4. Risikoanalyse und -bewertung

Identifikation von Risiken:
- Welche Bedrohungen bestehen?
- Welche Schwachstellen existieren?
- Welche potenziellen Schäden können entstehen?

Bewertung der Risiken:
- Eintrittswahrscheinlichkeit
- Schwere des potenziellen Schadens
- Gesamtrisiko (Kombination aus Wahrscheinlichkeit und Schwere)

### 5. Maßnahmen zur Risikominimierung

Entwicklung von Schutzmaßnahmen:
- Technische Maßnahmen (z.B. Verschlüsselung, Pseudonymisierung)
- Organisatorische Maßnahmen (z.B. Zugriffskontrollen, Schulungen)
- Vertragliche Maßnahmen (z.B. Auftragsverarbeitungsverträge)

Bewertung der Restrisiken:
- Sind die Risiken nach Implementierung der Maßnahmen akzeptabel?
- Sind weitere Maßnahmen erforderlich?

### 6. Dokumentation und Implementierung

Erstellung des DSFA-Berichts:
- Zusammenfassung der Ergebnisse
- Detaillierte Beschreibung der Verarbeitung
- Identifizierte Risiken und Maßnahmen
- Begründung für Entscheidungen

Implementierungsplan:
- Verantwortlichkeiten
- Zeitplan
- Ressourcen
- Überprüfungsmechanismen

### 7. Überprüfung und Aktualisierung

Regelmäßige Überprüfung:
- Bei Änderungen der Verarbeitung
- Bei neuen Risiken oder Bedrohungen
- Mindestens alle 2-3 Jahre

## Konsultation der Aufsichtsbehörde

### Wann ist eine Konsultation erforderlich?

Nach Art. 36 DSGVO muss der Verantwortliche die Aufsichtsbehörde konsultieren, wenn die DSFA ein hohes Restrisiko ergibt, das nicht durch angemessene Maßnahmen eingedämmt werden kann.

### Ablauf der Konsultation

1. Einreichung der DSFA bei der zuständigen Aufsichtsbehörde
2. Beratung durch die Aufsichtsbehörde (innerhalb von 8 Wochen, verlängerbar um 6 Wochen)
3. Schriftliche Empfehlungen der Aufsichtsbehörde
4. Umsetzung der Empfehlungen oder Begründung für Abweichungen

## Praktische Beispiele für DSFAs

### Beispiel 1: Einführung eines HR-Management-Systems

Risiken:
- Umfangreiche Verarbeitung von Mitarbeiterdaten
- Potenzielle Profilbildung und Leistungsbewertung
- Zugriff durch verschiedene Abteilungen

Maßnahmen:
- Rollenbasierte Zugriffsrechte
- Pseudonymisierung für Auswertungen
- Transparente Information der Mitarbeiter
- Betriebsvereinbarung

### Beispiel 2: Videoüberwachung in einem Einkaufszentrum

Risiken:
- Systematische Überwachung öffentlicher Bereiche
- Erfassung einer großen Anzahl von Personen
- Potenzielle Verhaltensanalyse

Maßnahmen:
- Beschränkung auf sicherheitsrelevante Bereiche
- Kurze Speicherfristen
- Verpixelung nicht relevanter Bereiche
- Klare Hinweisschilder

### Beispiel 3: KI-basiertes Bewerbermanagement

Risiken:
- Automatisierte Entscheidungsfindung
- Verarbeitung sensibler persönlicher Informationen
- Potenzielle Diskriminierung

Maßnahmen:
- Menschliche Überprüfung aller Entscheidungen
- Transparenz über Entscheidungskriterien
- Regelmäßige Überprüfung auf Bias
- Opt-out-Möglichkeit für Bewerber

## Häufige Fehler bei der DSFA

### 1. Zu späte Durchführung
Die DSFA sollte bereits in der Planungsphase beginnen, nicht erst bei der Implementierung.

### 2. Unzureichende Risikoanalyse
Alle potenziellen Risiken für die Rechte und Freiheiten der betroffenen Personen müssen betrachtet werden.

### 3. Fehlende Einbeziehung des DSB
Der Datenschutzbeauftragte muss bei der DSFA beratend hinzugezogen werden.

### 4. Mangelnde Dokumentation
Die DSFA muss vollständig dokumentiert werden, um die Rechenschaftspflicht zu erfüllen.

### 5. Keine regelmäßige Überprüfung
Die DSFA ist kein einmaliges Projekt, sondern muss regelmäßig aktualisiert werden.

## Tools und Methoden für die DSFA

### Standardisierte Vorlagen

Viele Aufsichtsbehörden stellen Vorlagen für DSFAs bereit:
- Standardformulare
- Checklisten
- Bewertungsmatrizen

### Software-Tools

Spezielle Software kann den DSFA-Prozess unterstützen:
- Risikobewertungstools
- Workflow-Management
- Dokumentationshilfen
- Compliance-Management-Systeme

### Methoden zur Risikobewertung

- CNIL-Methode: Entwickelt von der französischen Datenschutzbehörde
- BSI-Grundschutz: Methodik des Bundesamts für Sicherheit in der Informationstechnik
- ISO 31000: Internationaler Standard für Risikomanagement
- ENISA-Methode: Entwickelt von der Europäischen Agentur für Cybersicherheit

## Fazit

Die Datenschutz-Folgenabschätzung ist ein wichtiges Instrument zur Identifikation und Minimierung von Datenschutzrisiken. Sie hilft Unternehmen, datenschutzfreundliche Systeme und Prozesse zu entwickeln und die Anforderungen der DSGVO zu erfüllen.

Eine gut durchgeführte DSFA bietet nicht nur rechtliche Sicherheit, sondern auch einen Wettbewerbsvorteil.

## Fazit

Die Datenschutz-Folgenabschätzung ist ein wesentlicher Bestandteil des Datenschutzes und sollte von Unternehmen ernst genommen werden. Sie hilft, Risiken frühzeitig zu erkennen und zu minimieren, und trägt so zu einem verantwortungsvollen Umgang mit personenbezogenen Daten bei.