Durchführung einer Datenschutz-Folgenabschätzung

Steht fest, dass eine Datenschutz-Folgenabschätzung erforderlich ist (siehe Erforderlichkeit), folgt die eigentliche Durchführung. Art. 35 Abs. 7 DSGVO gibt vier inhaltliche Mindestbausteine vor. Diese lassen sich in einen sechsstufigen, praktisch handhabbaren Prozess überführen, der mit einem Bericht abschließt.

1. Die vier gesetzlichen Bausteine

Art. 35 Abs. 7 DSGVO verlangt mindestens:

• eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und ihrer Zwecke, gegebenenfalls einschließlich der berechtigten Interessen (lit. a),
• eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung in Bezug auf den Zweck (lit. b),
• eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen (lit. c),
• die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz der Daten sichergestellt und die Einhaltung der Verordnung nachgewiesen wird (lit. d).

Ein bestimmtes Verfahren schreibt die DSGVO nicht vor. Methodische Orientierung bieten das Standard-Datenschutzmodell der Datenschutzkonferenz und der Bitkom-Leitfaden zum Risk Assessment. Die folgenden sechs Schritte konkretisieren die vier Bausteine.

2. Schritt 1: Beschreibung der Verarbeitung

Zunächst beschreibt der Verantwortliche die geplante Verarbeitung systematisch, soweit zum Verständnis erforderlich. Dazu gehören:

• Art, Umfang und Umstände der Verarbeitung sowie eine funktionale Beschreibung dessen, was tatsächlich geschieht,
• die Zwecke der Verarbeitung, gegebenenfalls einschließlich der verfolgten berechtigten Interessen,
• die verarbeiteten Daten, die Datenflüsse und die Empfänger,
• die Speicherdauer,
• die zugrunde liegende Hardware, Software und Netzwerke einschließlich der Systemgrenzen,
• die beteiligten Personen, Stellen und externen Dienstleister sowie die zugrunde liegenden Geschäftsprozesse.

Auf das Verzeichnis von Verarbeitungstätigkeiten lässt sich dabei zurückgreifen. Die Beschreibung muss so konkret und zugleich kompakt sein, dass sich ein Außenstehender, etwa eine Aufsichtsbehörde oder ein Prüfer, mit vertretbarem Aufwand ein Bild von den risikorelevanten Aspekten machen kann. Sie bildet den Prüfgegenstand der weiteren Schritte.

3. Schritt 2: Notwendigkeit und Verhältnismäßigkeit

Im zweiten Schritt prüft der Verantwortliche, ob die konkrete Ausgestaltung der Verarbeitung mit Blick auf die Zwecke notwendig und verhältnismäßig ist. Geprüft wird eine angemessene Zweck-Mittel-Relation. An der Verhältnismäßigkeit fehlt es, wenn es mildere, weniger eingreifende Möglichkeiten gibt, mit denen der Zweck in gleichem Maße erreicht werden kann. Dieser Schritt greift den Grundsatz der Datenminimierung auf (Art. 5 Abs. 1 lit. c DSGVO).

Die Prüfung bezieht sich nicht nur auf die Verarbeitung als Ganzes, sondern auf die einzelnen Ausgestaltungsaspekte, insbesondere:

• die Speicherdauer (frühere Löschung einzelner Datenarten möglich?),
• den Umfang der Daten (Reduzierung der Datenfelder oder der Zahl der Betroffenen möglich?),
• die Intensität der Verarbeitung (geringerer Umfang von Auswertungen möglich?).

Zu berücksichtigen und zu beschreiben sind dabei die bereits getroffenen Maßnahmen zur Einhaltung der DSGVO, etwa zur Wahrung der Datenschutzgrundsätze und der Betroffenenrechte, die erteilten Informationen, Vereinbarungen mit Auftragsverarbeitern sowie Maßnahmen bei Drittlandübermittlungen.

4. Schritt 3: Ermittlung der Risiken

Anschließend werden die mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten der betroffenen Personen ermittelt und beschrieben. Maßgeblich ist die Sicht der Betroffenen, nicht die des Unternehmens; drohende Bußgelder, Reputations- oder Geschäftsschäden des Verantwortlichen sind hier nicht relevant. Die Risiken können in physischen, materiellen und immateriellen Schäden bestehen, etwa Diskriminierung, Identitätsdiebstahl, finanzieller Verlust, Verlust der Kontrolle über die eigenen Daten oder unzulässige Profilbildung (Erwägungsgrund 75 DSGVO).

Bei der Ermittlung sind die datenschutzrechtlichen Schutzziele in den Blick zu nehmen. Aus Art. 5 Abs. 1 lit. f DSGVO folgen unmittelbar Integrität und Vertraulichkeit; das Standard-Datenschutzmodell ergänzt Verfügbarkeit, Datenminimierung, Nichtverkettbarkeit, Transparenz und Intervenierbarkeit.

Bei der späteren Wahrscheinlichkeitsbetrachtung sind die verschiedenen Risikoquellen einzubeziehen, also interne und externe Angreifer sowie Vorsatz und Fahrlässigkeit.

5. Schritt 4: Bewertung der Risiken

Für jedes Risiko sind zwei Größen zu bewerten: wie schwer die Auswirkung für die betroffene Person im Schadensfall wäre (Schwere der Auswirkungen) und wie wahrscheinlich der Eintritt ist (Eintrittswahrscheinlichkeit). Die folgenden Skalen dienen als Orientierung und stützen sich auf die methodischen Vorgaben des Bitkom-Leitfadens und des Standard-Datenschutzmodells.

5.1 Schwere der Auswirkungen

5.2 Eintrittswahrscheinlichkeit

5.3 Risikomatrix

Aus Schwere und Wahrscheinlichkeit ergibt sich der Risikobereich. Die Zeilen stehen für die Schwere der Auswirkungen, die Spalten für die Eintrittswahrscheinlichkeit.

Das Ergebnis ist nicht das Endurteil, sondern die Grundlage für die Risikobehandlung im nächsten Schritt. Eine absolute Sicherheit ist in der Daten- und IT-Sicherheit nicht zu erreichen; am Ende steht stets die Bewertung eines verbleibenden Restrisikos.

6. Schritt 5: Abhilfemaßnahmen festlegen

Für jedes bewertete Risiko ist die Risikobehandlung festzulegen. Es gibt vier Optionen:

• Risikominimierung durch Abhilfemaßnahmen,
• Risikoakzeptanz als bewusste Entscheidung, das Risiko ohne weitere Maßnahmen hinzunehmen,
• Risikovermeidung durch Unterlassen der risikobehafteten Tätigkeit,
• Risikotransfer durch Auslagerung der Risikofolgen auf Dritte, etwa eine Versicherung.

Genügen die bereits vorgesehenen Maßnahmen nicht, um das Risiko auf ein hinnehmbares Restrisiko zu senken, sind zusätzliche Abhilfemaßnahmen festzulegen. Das ist insbesondere geboten, wenn ein hohes Risiko oder viele mittlere Risiken verbleiben. Abhilfemaßnahmen können technischer, organisatorischer oder rechtlicher Natur sein.

Nach Festlegung der Abhilfemaßnahmen sind die Schritte 2 bis 5 erneut zu durchlaufen, diesmal unter der Annahme, dass die Maßnahmen umgesetzt werden. So zeigt sich, ob das Restrisiko hinnehmbar wird.

7. Schritt 6: Gesamtbewertung und Bericht

Abschließend wird festgestellt, ob die Risiken durch die Abhilfemaßnahmen ausreichend reduziert wurden. Die Inhalte und Ergebnisse aller Schritte werden in einem Bericht zusammengeführt und dokumentiert. Dieser Bericht ist Beleg für die Erfüllung der Pflicht aus Art. 35 DSGVO und Teil der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO). Es empfiehlt sich, den Bericht über alle Schritte hinweg fortlaufend zu führen statt erst am Ende zu erstellen.

Fällt die Gesamtbewertung positiv aus, darf die Verarbeitung erfolgen, sobald die festgelegten Abhilfemaßnahmen umgesetzt sind. Fällt sie negativ aus, verbleibt also trotz Maßnahmen ein hohes Risiko, darf die Verarbeitung nicht aufgenommen werden, bevor die Aufsichtsbehörde konsultiert wurde (siehe 9.).

8. Überprüfung und Aktualisierung (Abs. 11)

Die Datenschutz-Folgenabschätzung ist kein einmaliger Akt. Der Verantwortliche überprüft erforderlichenfalls, ob die Verarbeitung weiterhin im Einklang mit der Folgenabschätzung durchgeführt wird; das gilt zumindest, wenn sich das Risiko der Verarbeitung geändert hat (Art. 35 Abs. 11 DSGVO). Solche Änderungen ergeben sich etwa aus neuen Schnittstellen, neuer Technik, neuen Sicherheitsrisiken oder einer veränderten Rechtslage. Es besteht kein Bestandsschutz für Verarbeitungen, die bereits vor Geltung der DSGVO liefen.

9. Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)

Ergibt die Datenschutz-Folgenabschätzung, dass die Verarbeitung trotz der geplanten Abhilfemaßnahmen ein hohes Risiko zur Folge hätte, konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde (Art. 36 Abs. 1 DSGVO). Die Konsultation ist also die Folge eines verbleibenden hohen Restrisikos.

Bei der Konsultation legt der Verantwortliche der Aufsichtsbehörde insbesondere vor (Art. 36 Abs. 3 DSGVO):

• die Zuständigkeiten bei gemeinsamer Verantwortlichkeit,
• die Zwecke und Mittel der beabsichtigten Verarbeitung,
• die vorgesehenen Schutzmaßnahmen und Garantien für die Betroffenen,
• gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten,
• die Datenschutz-Folgenabschätzung selbst sowie
• jede weitere angeforderte Information.

Die Aufsichtsbehörde gibt binnen acht Wochen nach Eingang des Ersuchens eine schriftliche Empfehlung ab. Bei komplexen Verarbeitungen kann sie diese Frist um sechs Wochen verlängern. Hält sie die geplante Verarbeitung für nicht im Einklang mit der Verordnung, kann sie ihre Befugnisse nach Art. 58 DSGVO ausüben, bis hin zur Untersagung der Verarbeitung (Art. 36 Abs. 2 DSGVO).