Wann die DSGVO eine DSFA verlangt, und wie man eine macht, die standhält

Eine Datenschutz-Folgenabschätzung ist die Antwort der DSGVO auf eine einfache Frage: Haben Sie, bevor Sie personenbezogene Daten auf eine Weise verarbeiten, die Menschen ernsthaft treffen kann, innegehalten und nachgedacht, und können Sie das belegen. Artikel 35 macht sie zur Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Artikel 83 macht das Unterlassen einer gebotenen DSFA zu einem bußgeldbewehrten Verstoß der unteren Stufe, bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes.

Die Pflicht ist allgemein bekannt und ungleichmäßig erfüllt. Die meisten Organisationen machen entweder viel zu viele DSFAs und verwandeln ein Risikowerkzeug in einen Formularreflex, oder gar keine, weil niemand entschieden hat, wer sie auslöst. So entscheiden Sie das, und so schreiben Sie eine, die eine Aufsichtsbehörde oder ein Auditor akzeptiert.

Wann sie Pflicht ist

Artikel 35 Absatz 3 nennt drei Fälle ausdrücklich: systematisches und umfassendes Profiling mit rechtlicher oder ähnlich erheblicher Wirkung; umfangreiche Verarbeitung besonderer Datenkategorien oder von Daten über Straftaten; und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Darüber hinaus hat die Artikel-29-Gruppe (heute EDSA) 2017 in ihren Leitlinien neun Kriterien aufgestellt, und die Faustregel lautet: Eine Verarbeitung, die zwei oder mehr davon erfüllt, ist wahrscheinlich mit hohem Risiko verbunden:

1. Bewerten oder Einstufen, einschließlich Profiling und Vorhersagen.
2. Automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.
3. Systematische Überwachung.
4. Sensible Daten oder Daten höchst persönlicher Natur.
5. Datenverarbeitung in großem Umfang.
6. Abgleichen oder Zusammenführen von Datensätzen auf eine Weise, die Betroffene nicht erwarten würden.
7. Daten über schutzbedürftige Betroffene: Kinder, Beschäftigte, Patienten, Asylsuchende.
8. Innovative Nutzung oder Anwendung neuer technischer oder organisatorischer Lösungen.
9. Verarbeitung, die Betroffene daran hindert, ein Recht auszuüben oder eine Dienstleistung oder einen Vertrag zu nutzen.

Jede Aufsichtsbehörde veröffentlicht außerdem nach Artikel 35 Absatz 4 eine Liste von Verarbeitungsvorgängen, die in ihrem Zuständigkeitsbereich immer eine DSFA erfordern, und manche eine Liste von Vorgängen, die keine erfordern. Prüfen Sie die Listen der Behörden, denen Sie unterstehen; sie unterscheiden sich.

Zwei Beispiele machen die Kriterien greifbar. Ein HR-System, das Bewerber mit einem Algorithmus bewertet, erfüllt die Kriterien 1, 2 und 7: DSFA erforderlich. Ein Newsletter-Tool mit ein paar tausend E-Mail-Adressen erfüllt keines: nicht erforderlich, wobei eine kurze Notiz zur Begründung trotzdem gute Praxis ist.

Was eine DSFA enthalten muss

Artikel 35 Absatz 7 legt den Mindestinhalt fest:

• Eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, einschließlich eines gegebenenfalls geltend gemachten berechtigten Interesses.
• Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung in Bezug auf die Zwecke.
• Eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen.
• Die geplanten Maßnahmen zur Bewältigung der Risiken, einschließlich Garantien und Mechanismen, die den Schutz sicherstellen und die Einhaltung nachweisen.

Der Verantwortliche muss den Rat des Datenschutzbeauftragten einholen, wenn einer benannt ist (Absatz 2), und gegebenenfalls den Standpunkt der Betroffenen oder ihrer Vertreter (Absatz 9). Für beides will ein Auditor Belege sehen.

Ein Aufbau, der funktioniert

Die besten DSFAs lesen sich als Erzählung, nicht als Tabelle. Ein Aufbau, den Aufsichtsbehörden immer wieder akzeptiert haben:

1. Beschreibung. Welche Daten, über wen, woher, zu welchem Zweck, mit wem geteilt, wie lange aufbewahrt, auf welcher Rechtsgrundlage. Ein Datenflussdiagramm hat hier seinen Platz verdient. Nennen Sie die Auftragsverarbeiter und die Drittlandübermittlungen.

2. Notwendigkeit und Verhältnismäßigkeit. Warum diese Verarbeitung, und warum in diesem Umfang. Ließe sich der Zweck mit weniger Daten, kürzerer Speicherung, weniger Verknüpfung erreichen. Was erfahren die Betroffenen, und wie üben sie ihre Rechte aus. An diesem Abschnitt scheitern die meisten schwachen DSFAs, weil sie die Verarbeitung beschreiben, ohne sie zu hinterfragen.

3. Risikobewertung. Für jedes Risiko für die Betroffenen (nicht für die Organisation) die Wahrscheinlichkeit und die Schwere, und die daraus folgende Stufe. Risiken, an die zu denken ist: unbefugter Zugriff, Verlust, unrichtige Daten, die zu falschen Entscheidungen führen, Diskriminierung, Kontrollverlust, Abschreckungseffekte, körperlicher Schaden. Verwenden Sie eine Skala, die Sie einheitlich anwenden können, und halten Sie die Begründung fest, nicht nur die Zahl.

4. Maßnahmen. Für jedes erhebliche Risiko, was Sie dagegen tun und welches Restrisiko danach bleibt. Maßnahmen sind technische Kontrollen, Datenminimierung, Pseudonymisierung, Speicherfristen, Zugriffssteuerung, Transparenz und menschliche Überprüfung automatisierter Entscheidungen.

5. Fazit und Freigabe. Der Rat des Datenschutzbeauftragten, die getroffene Entscheidung, wer sie genehmigt hat und das Überprüfungsdatum. Bleibt das Restrisiko hoch, verlangt Artikel 36 eine vorherige Konsultation der Aufsichtsbehörde vor Beginn der Verarbeitung, und die Behörde hat acht Wochen, verlängerbar, um zu antworten.

Am Leben halten

Eine DSFA ist keine einmalige Sache. Artikel 35 Absatz 11 verlangt eine Überprüfung, wenn sich das mit der Verarbeitung verbundene Risiko ändert. In der Praxis heißt das: Die DSFA wird wieder angefasst, wenn sich der Zweck ändert, neue Daten oder Betroffene hinzukommen, ein neuer Auftragsverarbeiter oder eine neue Übermittlung eingeführt wird, ein Vorfall ein übersehenes Risiko offenlegt oder sich die Technik ändert. Ein Überprüfungsdatum im Dokument und ein Schritt im Änderungsmanagement, der fragt „Betrifft das eine DSFA“, sind der Weg, die Pflicht zu halten, ohne sich auf das Gedächtnis zu verlassen.

Was ein Audit prüft

Ein DSGVO-Audit, das Datenschutzkriterium eines SOC 2 oder die Datenschutzerweiterung ISO 27701 zu 27001 sehen sich DSFAs alle gleich an:

• Gibt es ein dokumentiertes Vorprüfverfahren, das entscheidet, wann eine DSFA erforderlich ist, und wird es angewendet? Der Auditor greift sich aktuelle Projekte heraus und prüft, ob die Vorprüfung stattgefunden hat.
• Enthält jede DSFA die Elemente aus Artikel 35 Absatz 7, und ist der Abschnitt zur Notwendigkeit mehr als eine Wiederholung der Beschreibung?
• Wurde der Datenschutzbeauftragte einbezogen, und ist der Rat festgehalten?
• Sind die Maßnahmen tatsächlich umgesetzt? Der Auditor verfolgt eine Maßnahme bis ins System oder in den Prozess und sucht sie dort.
• Wo das Restrisiko hoch war, wurde die Behörde konsultiert?
• Werden DSFAs überprüft, und gibt es eine Verbindung zum Änderungsmanagement?

Der letzte Punkt wird am häufigsten übersehen. Ein Stapel gut geschriebener DSFAs aus dem Jahr, in dem die DSGVO in Kraft trat, seitdem keine überprüft, sagt dem Auditor, dass der Prozess einmal lief und dann stehen blieb.

Die Kurzfassung

Alles vorprüfen, die risikoreiche Minderheit ordentlich bewerten, die Notwendigkeit so hart hinterfragen, wie Sie die Verarbeitung beschreiben, den Datenschutzbeauftragten einbeziehen, die aufgeschriebenen Maßnahmen umsetzen und überprüfen, wenn sich etwas ändert. So gemacht ist die DSFA kein Papierkram; sie ist der Beleg, dass Sie eine überlegte Entscheidung getroffen haben, und genau das wollen die Verordnung und jeder, der Sie dagegen prüft, sehen.