Erforderlichkeit einer Datenschutz-Folgenabschätzung

Bevor eine Datenschutz-Folgenabschätzung durchgeführt wird, steht die Frage, ob sie überhaupt erforderlich ist. Pflicht ist sie nur, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Diese Vorprüfung heißt Schwellenwertanalyse. Sie ist frühzeitig vorzunehmen und zu dokumentieren, und zwar auch dann, wenn sie zu dem Ergebnis kommt, dass keine Datenschutz-Folgenabschätzung nötig ist.

1. Die Schwellenwertanalyse

1.1 Maßstab: voraussichtlich hohes Risiko

Maßgeblich ist eine Prognose. Aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung muss voraussichtlich ein hohes Risiko bestehen (Art. 35 Abs. 1 S. 1 DSGVO). Diese vier Attribute sind kumulativ zu betrachten; oft ergibt sich das hohe Risiko erst aus ihrem Zusammenspiel, in Einzelfällen aber bereits aus einem einzelnen Merkmal, etwa allein aus dem verfolgten Zweck.

Zu bewerten ist stets das Risiko für die betroffenen Personen, nicht das wirtschaftliche oder rechtliche Risiko des Unternehmens. Drohende Bußgelder, Reputations- oder Geschäftsschäden des Verantwortlichen sind an dieser Stelle ohne Bedeutung. Es geht um mögliche physische, materielle oder immaterielle Schäden der Betroffenen, etwa Diskriminierung, Identitätsdiebstahl, finanziellen Verlust oder den Verlust der Kontrolle über die eigenen Daten (Erwägungsgrund 75 DSGVO).

1.2 Die vier Attribute im Einzelnen

Die Schwellenwertanalyse betrachtet die geplante Verarbeitung anhand von vier Merkmalen. Jedes kann das Risiko erhöhen:

• Art der Verarbeitung. Worum geht es inhaltlich? Risikoerhöhend wirken etwa Profilbildung, automatisierte Entscheidungen, die Verarbeitung besonderer Datenkategorien oder eine systematische Überwachung. Beispiel: die automatisierte Auswertung des Surf- und Kaufverhaltens zu Werbezwecken.
• Umfang der Verarbeitung. Wie viele Personen, wie viele Daten, über welche Dauer und welches Gebiet (siehe 1.3)? Beispiel: eine bundesweite Kundendatenbank mit Millionen Datensätzen wiegt schwerer als eine lokale Kundenliste.
• Umstände der Verarbeitung. Erfolgt sie offen oder heimlich, kann sich die betroffene Person ihr entziehen, sind viele Stellen beteiligt? Beispiel: eine für die Betroffenen nicht erkennbare Hintergrundverarbeitung wiegt schwerer als eine, der sie aktiv zustimmen.
• Zwecke der Verarbeitung. Wozu dient sie? Je eingriffsintensiver der Zweck (Bewertung, Überwachung, Steuerung von Personen), desto eher ist von einem hohen Risiko auszugehen.

1.3 Was großer Umfang bedeutet

Ob eine Verarbeitung in großem Umfang erfolgt, beurteilt sich nicht allein nach absoluten Zahlen. Die Art.-29-Datenschutzgruppe nennt vier Anhaltspunkte, die zusammen zu würdigen sind (WP 248 Rev. 01):

• die Zahl der betroffenen Personen, entweder als konkrete Zahl oder als Anteil an der maßgeblichen Bevölkerung,
• der Umfang der Daten und die Bandbreite der verarbeiteten Datenarten,
• die Dauer und Beständigkeit der Verarbeitung,
• die geografische Reichweite.

Ein einzelner Arzt, der die Daten seiner Patienten verarbeitet, handelt danach nicht in großem Umfang; ein Krankenhaus, das die Daten einer Vielzahl von Patienten verarbeitet, dagegen schon.

1.4 Neue Technologien

Das Gesetz hebt die Verwendung neuer Technologien hervor (Art. 35 Abs. 1 S. 1 DSGVO). Ein hohes Risiko ist dabei vor allem dann anzunehmen, wenn umfangreiche Verarbeitungen großer Datenmengen eine Vielzahl von Personen betreffen oder besonders sensible Daten einbeziehen (Erwägungsgrund 91 DSGVO). Als Anwendungsfelder gelten etwa vernetzte Fahrzeuge, vernetzte Gesundheitsanwendungen, Big-Data- und Tracking-Verfahren, Verfahren der künstlichen Intelligenz, die Kombination biometrischer Verfahren wie Fingerabdruck und Gesichtserkennung sowie neue Überwachungstechnik.

Unabhängig vom Technikeinsatz besteht ein hohes Risiko vor allem, wenn die Verarbeitung den betroffenen Personen die Ausübung ihrer Rechte erschwert oder sie daran hindert, etwa bei hoher Komplexität und Intransparenz, einer Vielzahl beteiligter Verantwortlicher oder heimlicher und anlassloser Verarbeitung im Rahmen von Überwachungs- und Sicherheitsmaßnahmen (Erwägungsgrund 91 DSGVO).

1.5 Effiziente Prüfreihenfolge

Ob eine Datenschutz-Folgenabschätzung durchzuführen ist, lässt sich nur aus dem Zusammenspiel mehrerer Absätze beantworten. Statt der numerischen Reihenfolge ist eine umgekehrte Prüfung effizienter:

2. Regelbeispiele (Abs. 3)

Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen eine Datenschutz-Folgenabschätzung insbesondere erforderlich ist. Die Aufzählung ist nicht abschließend.

2.1 Systematische und umfassende Bewertung (lit. a)

Erfasst ist die systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die auf automatisierter Verarbeitung einschließlich Profiling beruht und ihrerseits Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung ist. Beispiele:

• Kreditscoring durch Banken oder Auskunfteien zur Bestimmung des Ausfallrisikos,
• Risikobewertung durch Versicherungen zur Festsetzung der Beitragshöhe,
• vollautomatisierte Vorauswahl von Bewerbern im E-Recruiting ohne menschliche Zwischenkontrolle.

2.2 Umfangreiche Verarbeitung besonderer Datenkategorien (lit. b)

Erfasst ist die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 Abs. 1 DSGVO oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Das hohe Risiko folgt hier bereits aus der Art der Daten (siehe Art. 9). Beispiele:

• die Verarbeitung von Patientendaten durch ein Krankenhaus,
• die umfangreiche Verarbeitung von Daten über Gewerkschaftszugehörigkeit oder religiöse Überzeugung,
• der Betrieb eines Verzeichnisses mit Daten über strafrechtliche Verurteilungen.

Maßgeblich ist die Umfangreichkeit: Die Verarbeitung sensibler Daten durch einen einzelnen Berufsträger erfüllt das Regelbeispiel in der Regel nicht (siehe 1.4).

2.3 Systematische Überwachung öffentlich zugänglicher Bereiche (lit. c)

Erfasst ist die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, typischerweise durch Videoüberwachung. Beispiele:

• die Videoüberwachung eines großen Einkaufszentrums oder eines Bahnhofsvorplatzes,
• die flächendeckende Überwachung eines öffentlich zugänglichen Betriebsgeländes mit Publikumsverkehr.

2.4 Positivliste der Aufsichtsbehörde (Abs. 4)

Die Aufsichtsbehörden erstellen und veröffentlichen eine Liste der Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist (Art. 35 Abs. 4 DSGVO). Für den nicht-öffentlichen Bereich haben sich die deutschen Aufsichtsbehörden auf eine gemeinsame Muss-Liste verständigt, die der Europäische Datenschutzausschuss bestätigt hat (DSK, Liste der Verarbeitungstätigkeiten nach Art. 35 Abs. 4 DSGVO). Für den öffentlichen Bereich des Bundes führt der Bundesbeauftragte für den Datenschutz eine eigene Liste; einen Überblick über beide Listen bietet die Sammlung der Muss-Listen beim BfDI. Für den öffentlichen Bereich der Länder bestehen daneben eigene Listen einzelner Aufsichtsbehörden.

3. Die neun Kriterien der Risikoprognose

Führt die Prüfung der Listen und Regelbeispiele zu keinem Ergebnis, ist das hohe Risiko nach Art. 35 Abs. 1 DSGVO im Einzelfall zu prognostizieren. Hilfestellung bieten die neun Kriterien der Art.-29-Datenschutzgruppe, die jeweils für ein erhöhtes Risiko sprechen (Art.-29-Datenschutzgruppe, Leitlinien zur Datenschutz-Folgenabschätzung, WP 248 Rev. 01):

Faustregel: Sind zwei dieser Kriterien erfüllt, ist in der Regel eine Datenschutz-Folgenabschätzung durchzuführen. Je mehr Kriterien zutreffen, desto wahrscheinlicher ist die Pflicht. Im Zweifel rät die Art.-29-Datenschutzgruppe dazu, eine Datenschutz-Folgenabschätzung vorzunehmen, weil sie dem Verantwortlichen hilft, die Anforderungen der DSGVO einzuhalten (WP 248 Rev. 01).

So genügt etwa die Kombination aus Bewerten (Nr. 1) und großem Umfang (Nr. 5) bei einem Kundenbindungsprogramm mit Profilbildung, aus systematischer Überwachung (Nr. 3) und schutzbedürftigen Beschäftigten (Nr. 7) bei der Auswertung des Arbeitsverhaltens, oder aus besonderen Daten (Nr. 4) und innovativer Technologie (Nr. 8) bei einer Gesundheits-App.

4. Beispiele aus der Muss-Liste der Aufsichtsbehörden

Die folgende Übersicht fasst die 17 Verarbeitungstätigkeiten der deutschen Muss-Liste für den nicht-öffentlichen Bereich zusammen. Steht die geplante Verarbeitung einer dieser Tätigkeiten gleich, ist eine Datenschutz-Folgenabschätzung stets durchzuführen (DSK-Muss-Liste).

5. Fallbeispiele

5.1 Bonitäts-Scoring im Online-Shop

Sachverhalt: Ein Online-Shop prüft vor Anzeige der Zahlungsart Rechnungskauf das Ausfallrisiko des Kunden, indem er eigene Daten mit Angaben aus Drittquellen zu einem Risikowert zusammenführt.

Bewertung: Es greifen mehrere Kriterien: Bewerten und Einstufen (Nr. 1), Zusammenführen von Datensätzen (Nr. 6) und eine Entscheidung mit erheblicher Wirkung für den Kunden (Nr. 2). Die Verarbeitung entspricht zudem Nr. 5 der Muss-Liste.

Ergebnis: Eine Datenschutz-Folgenabschätzung ist durchzuführen.

5.2 Bewegungsprofile von Außendienst-Beschäftigten

Sachverhalt: Ein Unternehmen ortet die Dienstfahrzeuge seiner Außendienstmitarbeiter per GPS, um Einsätze zu koordinieren, und speichert die Standortdaten dauerhaft.

Bewertung: Betroffen sind schutzbedürftige Beschäftigte (Nr. 7), es liegt eine systematische Überwachung vor (Nr. 3), und die Daten können zur Bewertung des Arbeitsverhaltens genutzt werden. Die Verarbeitung entspricht Nr. 8 der Muss-Liste.

Ergebnis: Eine Datenschutz-Folgenabschätzung ist durchzuführen.

5.3 Gegenbeispiel: einfache Kundenkartei

Sachverhalt: Ein kleiner Handwerksbetrieb führt eine Kundenkartei mit Namen, Anschriften und Rechnungsdaten zur Auftragsabwicklung, ohne Profilbildung, ohne sensible Daten und ohne automatisierte Entscheidungen.

Bewertung: Es greift allenfalls ein einzelnes, schwach ausgeprägtes Merkmal. Weder ein Regelbeispiel noch zwei Kriterien sind erfüllt; die Verarbeitung steht nicht auf der Muss-Liste.

Ergebnis: Eine Datenschutz-Folgenabschätzung ist nicht erforderlich. Das Ergebnis der Schwellenwertanalyse ist gleichwohl zu dokumentieren (siehe 8.).

6. Gemeinsame Folgenabschätzung für mehrere Verarbeitungen

Für mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Datenschutz-Folgenabschätzung vorgenommen werden (Art. 35 Abs. 1 S. 2 DSGVO). Das stellt klar, dass eine Form der Verarbeitung mehrere einzelne Vorgänge umfassen kann, und ist aus Gründen der Wirtschaftlichkeit sinnvoll (Erwägungsgrund 92 DSGVO). In Betracht kommt das etwa, wenn mehrere Stellen eine gemeinsame Anwendung oder Plattform nutzen oder eine gleichartige Maßnahme an mehreren Standorten eingeführt wird. Die Pflicht zur Datenschutz-Folgenabschätzung verbleibt dabei bei jeder verantwortlichen Stelle.

7. Ausnahmen von der Durchführungspflicht

7.1 Negativliste der Aufsichtsbehörde (Abs. 5)

Die Aufsichtsbehörden können zusätzlich eine Liste der Verarbeitungsvorgänge erstellen, für die keine Datenschutz-Folgenabschätzung erforderlich ist (Art. 35 Abs. 5 DSGVO). Anders als die Positivliste ist die Negativliste fakultativ. Die deutschen Aufsichtsbehörden haben bislang keine veröffentlicht.

7.2 Vorgezogene gesetzliche Folgenabschätzung (Abs. 10)

Beruht die Verarbeitung auf einer Rechtsgrundlage nach Art. 6 Abs. 1 lit. c oder lit. e DSGVO und wurde bereits beim Erlass dieser Rechtsgrundlage eine Folgenabschätzung durchgeführt, entfällt die Pflicht des Verantwortlichen, sofern der Gesetzgeber nicht ausdrücklich eine zusätzliche Datenschutz-Folgenabschätzung verlangt (Art. 35 Abs. 10 DSGVO). Die praktische Bedeutung ist gering, weil ein Gesetzgeber bisher kaum eine eigene Folgenabschätzung durchgeführt hat. In Betracht kommen nur Rechtsgrundlagen, die nach Geltung der DSGVO erlassen wurden.

8. Beteiligung des Datenschutzbeauftragten und Dokumentation

Steht fest, dass eine Datenschutz-Folgenabschätzung durchzuführen ist, holt der Verantwortliche den Rat des Datenschutzbeauftragten ein, sofern ein solcher benannt ist (Art. 35 Abs. 2 DSGVO). Die Beteiligung ist verfahrensrechtlich verpflichtend, der Rat aber nicht bindend. Aus der Pflicht zur bloßen Beteiligung folgt zugleich, dass die Datenschutz-Folgenabschätzung nicht auf den Datenschutzbeauftragten delegiert werden kann, sondern Sache des Verantwortlichen bleibt. Wie sich die Beteiligten unternehmensintern verteilen, behandelt die Unterseite Unternehmensinterne Organisation.