Source: http://www.lfd.niedersachsen.de/startseite/datenschutzreform/dsgvo/liste_von_verarbeitungsvorgaengen_nach_art_35_abs_4_dsgvo/liste-von-verarbeitungsvorgaengen-nach-art-35-abs-4-ds-gvo-164661.html
Timestamp: 2018-06-18 09:05:58
Document Index: 63293941

Matched Legal Cases: ['Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 35', 'Art. 6', 'Art. 35', 'Art. 58', 'Art. 83', 'Art. 78']

Liste von Verarbeitungsvorgängen nach Art. 35 Abs. 4 DS-GVO | Die Landesbeauftragte für den Datenschutz Niedersachsen
Entwurf zur Vorlage beim Europäischen Datenschutzausschuss nach Art. 35 Abs. 6 DSGVO
Ab dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) in allen Mitgliedstaaten der Europäischen Union und somit auch in Deutschland als unmittelbar geltendes Recht anzuwenden. Zu den Pflichten des Verantwortlichen gehört es, bei Formen der Verarbeitung, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchzuführen.
Die Konferenz der Datenschutzbehörden des Bundes und der Länder hat im Rahmen ihrer Kurzpapiere zur Umsetzung der DSGVO auch die Kurzpapiere Nr. 5 zur Datenschutz-Folgenabschätzung und Nr. 18 zum Risikobegriff veröffentlicht. Die beiden Kurzpapiere sind neben weiteren Kurzpapieren unter https://www.lfd.niedersachsen.de/startseite/dsgvo/anwendung_dsgvo_kurzpapiere abrufbar. Auch die Art.-29-Gruppe, ein unabhängiges europäisches Beratungsgremium für den Schutz personenbezogener Daten und die Privatsphäre, hat eine Leitlinie zur Datenschutz-Folgenabschätzung und dem Risikobegriff erstellt. Sie kann unter https://www.lfd.niedersachsen.de/startseite/dsgvo/leitlinien_art_29gruppe/ abgerufen werden.
Nach Art. 35 Abs. 4 DSGVO erstellt die Aufsichtsbehörde eine Liste von Verarbeitungsvorgängen, für die aufgrund eines voraussichtlich hohen Risikos für die Rechte und Freiheiten natürlicher Personen eine Datenschutz-Folgenabschätzung durchzuführen ist. Die Landesbeauftragte für den Datenschutz Niedersachsen macht von dieser Norm mit der vorliegenden Liste im Rahmen ihrer Zuständigkeit Gebrauch.
Die Einträge beruhen auf der Anwendung der oben genannten Leitlinie der Art.-29-Gruppe. Der Leitlinie sind folgende maßgebliche Kriterien zur Einordnung des Risikos von Verarbeitungsvorgängen zu entnehmen (S. 10 ff.):
("Sensitive data or data of a highly personal nature")
("Data concerning vulnerable data subjects")
("Data processed on a large scale")
("Systematic monitoring")
("Innovative use or applying new technological or organisational solutions")
("Evaluation or scoring")
("Matching or combining datasets")
("Automated-decision making with legal or similar significant effect")
("When the processing in itself prevents data subjects from exercising a right or using a service or a contract")
Sind zwei dieser Kriterien erfüllt, ist ausweislich der Leitlinie in den meisten Fällen eine Datenschutz-Folgenabschätzung durchzuführen. Je mehr Kriterien erfüllt sind, desto wahrscheinlicher ist es, dass eine Datenschutz-Folgenabschätzung durchzuführen ist. Es ist aber auch möglich, dass ein hohes Risiko gegeben ist, wenn nur ein Kriterium erfüllt ist.
Ist ein Verarbeitungsvorgang in der Liste aufgeführt, so ist für diesen Verarbeitungsvorgang eine Datenschutz-Folgenabschätzung zu erstellen. Die Liste ist aber nicht abschließend. Wenn ein Verarbeitungsvorgang nicht auf der Liste aufgeführt ist, kann daraus nicht geschlossen werden, dass für diesen Verarbeitungsvorgang keine Datenschutz-Folgenabschätzung durchzuführen ist. Es ist dann zu prüfen, ob einer der Fälle aus Art. 35 Abs. 3 DSGVO vorliegt oder ob ein hohes Risiko nach Art. 35 Abs. 1 DSGVO vorliegt, obwohl der Verarbeitungsvorgang nicht auf der Liste steht und kein Fall aus Art. 35 Abs. 3 DSGVO vorliegt.
Wenn der Verarbeitungsvorgang auf der Liste nicht genannt ist, ist zu prüfen, ob der Verarbeitungsvorgang einen Fall nach Art. 35 Abs. 3 DSGVO darstellt.
Handelt es sich bei dem Verarbeitungsvorgang auch nicht um einen Fall des Art. 35 Abs. 3 DSGVO, dann ist zu prüfen, ob dennoch ein hohes Risiko nach Art. 35 Abs. 1 DSGVO vorliegt. Ist dies nicht der Fall, muss eine Datenschutz-Folgenabschätzung nicht durchgeführt werden.
Nach Art. 6 Abs. 1 DSGVO ist eine Verarbeitung nur dann rechtmäßig, wenn eine der dort genannten Bedingungen vorliegt. Mit der vorliegenden Liste wird keine Aussage darüber getroffen, ob für einen Verarbeitungsvorgang eine Rechtsgrundlage vorliegt oder nicht. Ein Eintrag auf der Liste bedeutet daher weder, dass eine Verarbeitung verboten ist, noch dass ein Verarbeitungsvorgang allein auf der Grundlage einer Datenschutz-Folgenabschätzung durchgeführt werden kann.
Die Liste macht es an mehreren Stellen zur Voraussetzung einer hochriskanten Verarbeitung, dass es sich um eine „umfangreiche Verarbeitung" handelt. Die DSGVO definiert den Begriff nicht, sondern gibt nur in Erwägungsgrund 91 einige Anhaltspunkte. Es ist derzeit nicht möglich, hier konkrete Zahlen festzulegen. Die Art.-29-Gruppe hat jedoch in der oben genannten Leitlinie und in ihrer Leitlinie in Bezug auf Datenschutzbeauftragte Stellung dazu genommen, welche Aspekte bei der Bestimmung einer „umfangreichen Verarbeitung" zu berücksichtigen sind und nennt Beispiele, die den Verantwortlichen bei der Prüfung helfen.
In der ersten Spalte erfolgt zur einfachen Bezugnahme eine Nummerierung. In der zweiten Spalte findet sich die maßgebliche Beschreibung des Verarbeitungsvorgangs. Fällt ein Verarbeitungsvorgang unter diese Beschreibung, dann ist für ihn eine Datenschutz-Folgenabschätzung durchzuführen. Lässt sich ein Verarbeitungsvorgang nicht unter die zweite Spalte subsumieren, ist nach dem oben dargestellten Schema weiter zu prüfen. Die dritte und die vierte Spalte enthalten zur Veranschaulichung typische Einsatzfelder und Beispiele für Verarbeitungsvorgänge, die unter die zweite Spalte zu subsumieren wären. In der Liste für den öffentlichen Bereich konnte auf die dritte und vierte Spalte verzichtet werden.
Führt ein Verantwortlicher hochriskante Verarbeitungsvorgänge aus, ohne vorab eine Datenschutz-Folgenabschätzung durchgeführt zu haben, so kann die zuständige Aufsichtsbehörde wegen Verstoßes gegen Art. 35 Abs. 1 DSGVO von ihren Abhilfebefugnissen gemäß Art. 58 Abs. 2 DSGVO einschließlich der Verhängung von Geldbußen gemäß Art. 83 Abs. 4 DSGVO Gebrauch machen. Gegen einen derartigen Beschluss der Aufsichtsbehörde steht der Rechtsweg gemäß Art. 78 DSGVO offen.