Source: https://www.datenschutzstelle.li/datenschutz/themen-z/datenschutz-folgenabschaetzung
Timestamp: 2018-12-12 02:47:37
Document Index: 98524830

Matched Legal Cases: ['Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 9', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 37', 'Art. 39', 'Art. 35', 'Art. 36', 'Art. 58', 'Art. 35', 'Art. 35']

Datenschutz-Folgenabschätzung :: Datenschutzstelle
Die Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) ist Ausdruck des risikobasierten Ansatzes der DSGVO. Soweit eine Datenverarbeitung hohe Risiken für die Rechte und Freiheiten natürlicher Personen beinhaltet, sollen diese mithilfe der DSFA frühzeitig erkannt werden, um sie durch geeignete Schutzmassnahmen technischer und/oder organisatorischer Art von Anfang an eindämmen zu können.
Zweck der DSFA ist es, im Falle von besonders riskanten Datenverarbeitungsvorgängen die voraussichtlichen Risiken für die persönlichen Rechte und Freiheiten betroffener Personen zu identifizieren.
Verpflichtung zur Durchführung einer DSFA gemäss Art. 35 Abs.1 DSGVO
Art. 35 DSGVO sieht mehrere Gründe für die verpflichtende Durchführung einer DSFA vor:
Im Falle einer riskanten Datenverarbeitung gemäss Abs. 1;
Im Falle der in Abs. 3 genannten Beispiele, die nicht als abschliessende Aufzählung zu betrachten sind;
Im Falle, dass die gemäss Abs. 4 von den zuständigen nationalen Aufsichtsbehörden verfassten Listen die Durchführung einer DSFA für einen bestimmten Verarbeitungsvorgang erforderlich machen.
Riskante Datenverarbeitung gemäss Abs. 1:
Eine Datenschutz-Folgenabschätzung ist bei einem zu erwartenden hohen Risiko für die Rechte und Freiheiten natürlicher Personen vorgängig zu einer solchen Datenverarbeitung zwingend durchzuführen.
Das zu erwartende hohe Risiko beinhaltet Risiken für die Privatsphäre und Datenschutzrechte, aber auch Auswirkungen auf weitere Grundrechte und Interessen der betroffenen Personen. Einen wichtigen Hinweis liefert auch ErwGr. 75, der das Risiko mit einem potenziellen Schaden verbindet:
Die Risiken für die Rechte und Freiheiten natürlicher Personen – mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere – können aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn die Verarbeitung zu einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen führen kann, wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren,[...]
Eine DSFA kann bereits dann erforderlich sein, wenn die Datenverarbeitung allein aufgrund des mit ihr verfolgten Zweckes als riskant zu bewerten ist.
Zur Beurteilung des „hohen“ Risikos ist sowohl die Eintrittswahrscheinlichkeit des Schadens und die Schwere des Schadens für die betroffene Person zu berücksichtigen. Der Begriff „Risiko“ impliziert eine mehr als nur geringe Möglichkeit eines Schadenseintritts. Die Ergänzung durch den Begriff „hoch“ impliziert einen höheren Schwellenwert, entweder weil der Schadenseintritt wahrscheinlicher ist oder der potentielle Schaden schwerwiegend ist.
Die Artikel-29-Arbeitsgruppe (WP29) hat Leitlinien mit neun Kriterien (WP248) veröffentlicht, die als Indikatoren für die Feststellung eines „wahrscheinlich hohen Risikos“ dienen können:
Bewertung und Einstufung (Scoring) einschliesslich Prognosen und Profilerstellung: Erwägungsgründe 71 und 91 DSGVO verstehen hierunter das Erstellen von Profilen und Prognosen, insbesondere auf der Grundlage von „Aspekten bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, Zuverlässigkeit oder Verhalten, Aufenthaltsort oder Ortswechsel der betroffenen Person“.
Beispiel: Ein Unternehmen erstellt anhand der Nutzung ihrer Internetsite personenbezogene Verhaltensprofile.
Automatisierte Entscheidungsfindung mit rechtlichen oder ähnlich signifikanten Auswirkungen für Betroffene: Dies umfasst Verarbeitungsvorgänge, welche die Grundlage für Entscheidungen bilden, „die Rechtswirkung gegenüber natürlichen Personen entfalten“ oder diese „in ähnlich erheblicher Weise beeinträchtigen“ (vgl. Art. 35 Abs. 3 Bst. a DSGVO). Die Verarbeitung führt in Folge zum Ausschluss oder zur Benachteiligung von Personen. Verarbeitungsvorgänge, die keine oder nur wenige Auswirkungen auf Personen haben, erfüllen dieses Kriterium nicht.
Systematisches Monitoring: Dies umfasst Verarbeitungsvorgänge, welche die Beobachtung, Überwachung oder Kontrolle von betroffenen Personen bezwecken und beispielsweise auf Daten basieren, die über Netzwerke generiert wurden oder auf „eine systematische [...] Überwachung öffentlich zugänglicher Bereiche“ (vgl. Art. 35 Abs. 3 Bst. c DSGVO) abzielen.
Verarbeitung besonderer Kategorien personenbezogener Daten gemäss Art. 9 oder 10 DSGVO;
Umfangreiche Datenverarbeitung;
Vergleich oder Kombination von Datensätzen aus unterschiedlichen Quellen;
Verarbeitung von Daten schutzbedürftiger natürlicher Personen;
Einsatz innovativer Technologien oder neuartiger organisatorischer Lösungen;
Datenverarbeitung, die verhindert, dass die betroffene Person ein Recht ausüben oder eine Dienstleistung oder einen Vertrag ausführen kann.
In den meisten Fällen weist eine Kombination von zwei dieser Faktoren auf die Notwendigkeit einer DSFA hin.
Beispielfälle gemäss Art. 35 Abs. 3 DSGVO
Art. 35 Abs. 3 DSGVO benennt drei Kategorien von Fällen, die eine Datenschutz-Folgenabschätzung jedenfalls erforderlich machen. Dies sind:
(a) systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschliesslich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen;
(b) umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäss Artikel 9 Absatz 1 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäss Artikel 10 DSGVO; oder
(c) systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Liste der Datenschutzstelle von Fällen einer obligatorisch durchzuführenden DSFA (Art. 35 Abs. 4 DSGVO)
Gemäss Art. 35 Abs. 4 DSGVO ist jede Datenschutzaufsichtsbehörde verpflichtet, eine Liste der Verarbeitungsvorgänge zu veröffentlichen, für die eine DSFA verpflichtend durchzuführen ist.
Diese Liste orientiert sich an den Leitlinien des Europäischen Datenschutzausschusses und nennt zehn Verarbeitungsvorgänge, welche nach Einschätzung der Datenschutzstelle Liechtenstein (DSS) eine DSFA notwendig machen.
Die DSS hat diese Liste gemäss Art. 35 Abs. 4 DSGVO dem Europäischen Datenschutzausschuss vorgelegt, welcher dazu voraussichtlich im Januar 2019 eine Stellungnahme abgeben wird. Aus der Stellungnahme sollten sich aber keine grösseren Änderungen ergeben.
Liste der Datenschutzstelle Liechtenstein
Vorgehensweise zur Durchführung einer DSFA
Mindestinhalt einer Datenschutz-Folgenabschätzung
Diesen legt die DSGVO in Art. 35 Abs. 7 wie folgt fest:
Systematische Beschreibung der Verarbeitungsvorgänge und der Zwecke der Verarbeitung;
Bewertung der Notwendigkeit und Verhältnismässigkeit der Verarbeitung in Bezug zum Zweck der Verarbeitung;
Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen;
Geplante Abhilfemassnahmen zur Bewältigung der Risiken.
Verbleibt ein hohes Restrisiko, sind folgende Schritte zu unternehmen:
Der Verantwortliche ist verpflichtet, eine DSFA durchzuführen;
Ferner hat er vor einem Einsatz einer derartigen Datenverarbeitung die zuständige Datenschutzaufsichtsbehörde zu konsultieren und
deren Entscheidung (Einsatz nur nach Ergreifung weiterer Schutzmassnahmen, Verbot der geplanten Verarbeitung) zu beachten.
Konkrete Verfahrensschritte einer DSFA
Bildung eines Teams zur Durchführung der DSFA
Beurteilungsumfang festlegen (Beschreibung des Verarbeitungsvorgangs einschliesslich Datenflüsse und Zwecke der Verarbeitung in Abgrenzung zu ‎anderen (Geschäfts-)Prozessen
Betroffene und Akteure identifizieren (Datenschutzbeauftragten und gegebenenfalls Betroffene in den Prozess einbinden)
Rechtsgrundlagen für die Verarbeitung prüfen und dokumentieren
Prüfung der Notwendigkeit / Verhältnismässigkeit in Bezug auf den ‎Verarbeitungszweck
Risikoquellen identifizieren
Risikobewertung unter Berücksichtigung ‎möglicher physischer, materieller oder immaterieller Schäden, ‎deren Schwere sowie ‎Eintrittswahrscheinlichkeit
Identifizierung von geeigneten Abhilfemassnahmen, insbesondere technische und organisatorische Massnahmen (TOMs)‎
Verbleibende Restrisiken identifizieren und dokumentieren
DSFA-Bericht erstellen
Abhilfemassnahmen umsetzen
Wirksamkeit der Abhilfemassnahmen prüfen
Freigabe der Verarbeitungsvorgänge
DSFA bei Bedarf aktualisieren, das heisst eine DSFA ist erneut durchzuführen, wenn sich die Faktoren der Datenverarbeitung massgebend geändert haben, sprich neue Risikofaktoren hervorgetreten sind.
Dokumentation der DSFA
Der Nachweis der Durchführung einer verpflichtenden DSFA ist Bestandteil der Rechenschaftspflicht. Diese verpflichtet verantwortliche Stellen, alle Vorgaben der DSGVO einzuhalten, wirksam umzusetzen, zu überprüfen und bei Bedarf nachzubessern.
Die Entscheidung über die Durchführung bzw. Nichtdurchführung einer Datenschutz-Folgenabschätzung ist mit den massgebenden Gründen, die zur jeweiligen Entscheidung geführt haben, schriftlich zu dokumentieren.
Wenn ein Datenschutzbeauftragter gemäss Art. 37 DSGVO bestellt ist, ist er für Fragen rund um die DSFA zu Rate zu ziehen. Dies ergibt sich aus Art. 39 Abs. 1 Bst. c sowie Art. 35 Abs. 2 DSGVO.
Der Datenschutzbeauftragte sollte Gelegenheit haben, insbesondere zu folgenden Fragen Stellung zu nehmen:
Muss eine DSFA durchgeführt werden?
Wie sollte die DSFA durchgeführt werden?
Soll die DSFA mit internen Mitarbeitenden durchgeführt werden oder extern vergeben werden?
Welche Massnahmen sollen zur Risikominimierung ergriffen werden?
Wurde die DSFA ordnungsgemäss durchgeführt und dokumentiert?
Kann die Verarbeitung nach erfolgter Prüfung stattfinden?
Es wird empfohlen, die Stellungnahmen des Datenschutzbeauftragten zu dokumentieren. Im Falle einer Abweichung von seinen Einschätzungen sollte auch die Begründung der Abweichung dokumentiert sein.
Gemäss Art. 36 DSGVO konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde, wenn aus der Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Massnahmen zur Eindämmung des Risikos trifft.
Die Konsultation ist bei Zutreffen der genannten Umstände für den Verantwortlichen zwingend vorzunehmen.
Für den Fall, dass faktisch keine Garantien, Sicherheitsvorkehrungen oder sonstige technische oder organisatorische Massnahmen verfügbar sind, kann die Aufsichtsbehörde als ultima ratio die Verarbeitung verbindlich untersagen.
Soweit dies möglich ist, steht es der Aufsichtsbehörde aber auch frei, schriftliche Empfehlungen auszusprechen und ergänzend ihre in Art. 58 DSGVO genannten Befugnisse auszuüben.
Liste der Verarbeitungstätigkeiten gemäss Art. 35 Abs. 4 DSGVO, für die die Datenschutzstelle als Datenschutzaufsichtsbehörde in Liechtenstein eine Datenschutz-Folgenabschätzung (DSFA) verlangt (Version: 23. Oktober 2018)
List of processing operations according to Art. 35 (4) GDPR, for which the Data Protection Office (DSS) as the supervisory authority for GDPR in Liechtenstein requires a data protection impact assessment (DPIA)_ENG_(October 23, 2018)
Artikel-29-Datenschutzgruppe, Leitlinien zur Datenschutz-Folgenabschätzung (DSFA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt“ (wp248 rev.01)