Source: https://www.datenschutz-notizen.de/deutsche-aufsichtsbehoerden-legen-blacklist-vor-0920586/
Timestamp: 2019-02-22 12:54:16
Document Index: 114959458

Matched Legal Cases: ['Art. 35', 'Art. 35', 'Art. 35', 'Art. 9', 'Art. 10', 'Art. 35', 'Art. 63']

Sind die Rechte und Freiheiten von Personen durch eine Datenverarbeitung einem hohen Risiko ausgesetzt, so ist vor der Datenverarbeitung eine Datenschutz-Folgenabschätzung durchzuführen. Dies regelt Art. 35 DSGVO.
Grundsätzlich ergibt sich dies aus einer Risikoabschätzung der Verarbeitungsvorgänge. Ist ein hohes Risiko zu erwarten, muss eine DSFA durchgeführt werden. Art. 35 Abs. 3 benennt Fälle, in denen eine DSFA durchzuführen ist:
Art. 35 Abs. 4 schreibt vor, dass die Aufsichtsbehörden, aufbauend auf den Leitlinien der Artikel 29-Datenschutzgruppe, eine Blacklist für die Fälle, in denen eine DSFA zwingend erforderlich ist, erstellen.
Viele Landesdatenschutzaufsichtsbehörden haben bereits eine solche Blacklist auf ihren Internetseiten veröffentlicht (Stand 30.05.2018 13:00 Uhr). Eines vorweg: die Fälle, in denen die Aufsichtsbehörden eine DSFA vorschreiben sind sehr ähnlich. Allerdings unterscheiden sich manche Listen im Detail dann doch voneinander. Auffallend ist, dass einige Aufsichtsbehörden nur Listen für den öffentlichen Bereich herausgegeben haben, andere wiederum welche die nur für den nicht-öffentlichen Bereich gelten und einige haben gemeinsame Listen für den öffentlichen und nicht-öffentlichen Bereich herausgegeben. Hier zeigt sich erneut die föderale Struktur Deutschland, die es den Unternehmen nicht immer einfach macht. Basis für viele Listen war nach Angaben der Behörden eine Ausarbeitung der Berliner Beauftragten für Datenschutz und Informationsfreiheit auf Basis der Beiträge von Mitgliedern der Unterarbeitsgruppe Datenschutz-Folgenabschätzung des Arbeitskreises Grundsatzes der Datenschutzkonferenz. Der ursprüngliche Entwurf dieses Textes stammte wohl vom Bayerischen Landesamt für Datenschutzaufsicht.
Es ist geplant, die von den deutschen Aufsichtsbehörden veröffentlichten Listen in Kürze unter den Mitgliedern der Konferenz der unabhängigen Datenschutz-Aufsichtsbehörden des Bundes und der Länder (DSK) abzustimmen. Dass dies nötig ist, zeigen die kleinen aber feinen Unterschiede. So ist beispielsweise in Hamburg und einigen anderen Bundesländern eine Datenschutz-Folgenabschätzung für Datenverarbeitungen mit besonderen Kategorien (Art. 9 Abs. 1 und Art. 10) in einem Drittland Pflicht, in Baden-Württemberg nicht.
Auch die Bundesdatenschutzbeauftragte hat eine Liste vorgelegt. Diese kommt anders als die Listen der Bundesländer komplett ohne Fallbeispiele aus. Frau Voßhoff stützt sich lediglich auf die Kriterien der Artikel 29-Gruppe zur Einordnung von Verarbeitungsvorgängen gem. WP 248. Sobald zwei oder mehr der neun Kriterien bei einer Datenverarbeitung zutreffen, ist eine DFAS zwingend erforderlich. Medienberichten zu Folge hat Frau Voßhoff ihre Liste auch bereits an den Europäischen Datenschutzausschuss übermittelt, ohne sie mit den Ländern abzustimmen.
Eigentlich ist vorgesehen, dass der Europäische Datenschutzausschuss, in dem alle europäischen Aufsichtsbehörden vertreten sind, eine für alle EU-Mitgliedstaaten einheitliche, verbindliche Liste verabschiedet. Doch wann das passiert und was bis dahin gilt ist unklar.
Es ist geplant, die von den deutschen Aufsichtsbehörden veröffentlichten Listen in Kürze unter den Mitgliedern der Konferenz der unabhängigen Datenschutz-Aufsichtsbehörden des Bundes und der Länder (DSK) abzustimmen.
Die Listen unterliegen aufgrund von Art. 35 Abs. 6 DS-GVO dem Kohärenzverfahren gemäß Art. 63 DSGVO. Die Aufsichtsbehörden betonen durch die Bank weg, dass die Listen nicht als abschließend anzusehen sind. Vielmehr würden diese mit der Zeit sicherlich noch weiter gefüllt werden. Auch da bisher noch kein Kohärenzverfahren durchgeführt wurde sind die Listen als vorläufige Versionen zu verstehen.
Das Saarland und Sachsen-Anhalt haben inzwischen auch Listen auf ihren Homepages, die wir verlinkt haben. Vielen Dank an alle, die uns auf solche Änderungen hinweisen.
Auch Hessen hat nun eine Liste veröffentlicht.
Inzwischen gibt es eine Blacklist der DSK. Siehe unseren Beitrag hier.
Die Verlinkungen sind überprüft und angepasst worden. Inzwischen gibt es eine „Blacklist“ der DSK, die auch von einigen Aufsichtsbehörden verlinkt wird. Andere verlinken ihre eigenen Listen.
« Whois Geolokalisierung nach den Regeln der DSGVO	Update im Streit um die Whois Datenbank »
26. Juni 2018 @ 16:08
Hessen hat auch veröffentlicht:
19. Juni 2018 @ 11:49
Der Link zur Liste der Verarbeitungstätigkeiten von Thüringen funktioniert nicht mehr. Den richtigen Link konnte ich auf der Thüringer Seite leider nicht finden.
19. Juni 2018 @ 11:53
ich habe den Link gerade erneuert. Hier aber auch für Sie direkt https://www.tlfdi.de/mam/tlfdi/datenschutz/liste_dsfa.pdf
18. Juni 2018 @ 16:23
Auch vom Saarland und Sachsen-Anhalt liegen jetzt Listen vor:
19. Juni 2018 @ 8:48
Vielen Dank Nicholas für die Infos.
6. Juni 2018 @ 22:20
1. Juni 2018 @ 11:19
Kann man sich bei der Defintion einer „umfangreichen Verarbeitung“ auf die 5.000.000 Betroffenen resp. 40% der betroffenen Personengruppe stützen?
1. Juni 2018 @ 10:51
Bremen hat zwischenzeitlich ebenfalls eine Liste veröffentlicht.
1. Juni 2018 @ 13:48
Vielen Dank. Wir haben den Beitrag angepasst.
6. Juni 2018 @ 23:15