Source: https://www.forum-verlag.com/themenwelten/datenschutz-und-it/dsfa-was-ist-die-datenschutz-folgenabschaetzung-und-wie-wird-die-risikoanalyse-nach-dsgvo-durchgefuehrt
Timestamp: 2019-04-19 06:52:16+00:00

Document:
Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO
"DSFA: Was ist die Datenschutz-Folgenabschätzung und wie wird die Risikoanalyse nach DSGVO durchgeführt?"
Datenschutz-Folgenabschätzung nach DSGVO vs. Vorabkontrolle nach BDSG a. F.
Die Datenschutz-Folgenabschätzung, die in Art. 35 DSGVO festgeschrieben ist, löst die bis Mai 2018 anzuwendende Vorabkontrolle aus § 4d Abs. 5 BDSG a. F. ab. Inhaltlich unterscheiden sich die beiden Instrumente nicht gravierend. Beide werden vor der Verarbeitung personenbezogener Daten angewendet und dienen dazu, Risiken für die Rechte und Freiheiten von Personen zu überprüfen, deren Daten automatisiert verarbeitet werden. Seit dem 25. Mai 2018 ist jedoch nur die Datenschutz-Folgenabschätzung anzuwenden.
Wann müssen Unternehmen eine DSFA erstellen?
Hinweis: Ändern sich im laufenden Betrieb Umstände, die der DSFA zugrunde lagen, v. a. hinsichtlich der Risikofaktoren, ist die Verarbeitung zu überprüfen.
Um Unternehmen die Einschätzung zu vereinfachen, wann eine DSFA verpflichtend durchzuführen ist, sieht Art. 35 Abs. 4 DSGVO vor, dass die Datenschutzaufsichtsbehörden eine Positivliste von solchen Verarbeitungsvorgängen erstellen, die eine DSFA verlangen.
Positivlisten der Datenschutzaufsichtsbehörden sind wenig zufriedenstellend
Die in der DSGVO geforderte Positivliste haben die Datenschutzaufsichtsbehörden erst um den 25. Mai 2018 herum veröffentlicht. Unternehmen hatten also kaum Vorlaufzeit, um sich vorzubereiten. Und es ergeben sich weitere Umstände, die in diesem Zusammenhang wenig zufriedenstellend sind:
Nachdem der Datenschutz in Deutschland Ländersache ist und sich die Aufsichtsbehörden nicht auf eine gemeinsame Positivliste einigen konnten, bestehen hierzulande 18 mehr oder weniger unterschiedliche Positivlisten. Bundesweit tätige Unternehmen müssen also mit nennenswerten Unterschieden rechnen.
Die Positivlisten differenzieren zwischen Verarbeitung in öffentlichen und nicht-öffentlichen Bereichen, was die DSGVO so nicht vorsieht.
Die Aufzählung von Verarbeitungen in der Positivliste ist nicht abschließend, sondern beinhaltet nur die Fälle, in denen eine DSFA in jedem Fall durchzuführen ist. Der Verantwortliche muss also weiterhin prüfen, ob im Einzelfall doch eine DSFA erforderlich ist.
Inhaltliche Anforderungen an eine DSFA
Bei der inhaltlichen Ausgestaltung einer DSFA müssen Unternehmen auf ein dokumentiertes Vorgehen bei der Folgenabschätzung achten. Nur so kommen sie ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nach. Die Mindestanforderungen ergeben sich aus Art. 35 Abs. 7 DSGVO:
Auszug aus einer Vorlage zur Datenschutz-Folgenabschätzung
Der Verantwortliche trägt also zusammen, welche Aspekte mindestens zu prüfen sind, und führt die wichtigsten Fragestellungen diesbezüglich auf. Dies kann in einer Art Checkliste erfolgen und folgendermaßen aussehen:
Mit einer bereits ausgearbeiteten Vorlage zur DSFA sparen sich Verantwortliche den Arbeitsaufwand und handeln garantiert rechtssicher. Eine DSFA-Vorlage ist in der „Dokumentenmappe: Datenschutz im Unternehmen“ enthalten.
Erfüllen Sie Ihre Pflichten gemäß DSGVO und BDSG-neu rechtssicher und mühelos mit der
Was tun, wenn trotz DSFA ein Restrisiko bleibt?
Ergibt die DSFA, dass trotz der geplanten Abhilfemaßnahmen ein Restrisiko hinsichtlich der Verarbeitungsvorgängen bleibt, ist der Verantwortliche verpflichtet, vor Aufnahme der Verarbeitung die zuständige Datenschutzaufsichtsbehörde zu konsultieren (sog. Konsultationspflicht nach Art. 36 DSGVO).
Nach Erhalt aller notwendigen Informationen muss die Aufsichtsbehörde innerhalb von acht Wochen (Zeitraum kann ggf. auf 14 Wochen erweitert werden) eine schriftliche Empfehlung für das weitere Vorgehen abgeben.
Wer ist Verantwortlicher für die Datenschutz-Folgenabschätzung?
Die Durchführung der DSFA kann nicht, wie bisher oft geschehen, an den Datenschutzbeauftragten (DSB) delegiert werden. Aus Art. 35 Abs. 2 DSGVO geht klar hervor, dass der DSB nur beratend wirken kann. Somit ist die Unternehmensleitung gesamtverantwortlich für die DSFA. Die eigentliche Durchführung kann aber an den für die Verarbeitungsvorgänge fachlich intern Verantwortlichen übergeben werden. (juse)
Quellen: „Datenschutz 2018“, „Dokumentenmappe: Datenschutz im Unternehmen“

References: Art. 35
 Art. 35
 § 4
 Art. 35
 Art. 5
 Art. 35
 Art. 36
 Art. 35