Datenschutz-Folgenabschätzung nach der DSGVO – was ist zu beachten?

Die aus dem bisherigen Datenschutzrecht bekannte Vorabkontrolle wird durch die Datenschutz-Folgenabschätzung abgelöst. Ab dem 25.05.2018 sind die Vorgaben der DSGVO zu beachten!

Problematisch ist, dass nach Art. 35 DSGVO der Regelungsumfang und die Voraussetzungen zur Durchführung einer Datenschutz-Folgenabschätzung nur unvollkommen gesetzlich geregelt sind. Hinzu kommt, dass die Nichtdurchführung einer Datenschutz-Folgenabschätzung mit einer Geldbuße von bis zu 10 Millionen Euro oder 2 Prozent des weltweit erzielten Umsatzes geahndet werden kann.

Wann ist eine Datenschutz-Folgenabschätzung grundsätzlich erforderlich?

Nach Art. 35 Ds-GVO soll eine Datenschutz-Folgenabschätzung für solche Verarbeitungsvorgänge erfolgen, die ein hohes Risiko für Rechte und Freiheiten natürlicher Personen beinhalten. Im Ergebnis können daher auch eine Software oder ein IT-Service, die personenbezogene Daten verarbeiten, Prüfungsgegenstände der Datenschutz-Folgenabschätzung sein. Des Weiteren kommt eine Datenschutz-Folgenabschätzung insbesondere bei der Verarbeitung von Gesundheitsdaten durch Ärzte oder Krankenhäuser (z. B. Cloud-Dienste), bei der Leistungsmessung von Arbeitnehmern oder der Auswertung von Social Media-Daten in Betracht.

Wann besteht ein hohes Risiko für Rechte und Freiheiten natürlicher Personen?

Wann ein hohes Risiko besteht, ist nicht gesetzlich definiert. Ein hohes Risiko kann beispielsweise bei der Verwendung neuer oder neuartiger Technologien bestehen. Auch sehr umfangreiche Verarbeitungsvorgänge können ein hohes Risiko begründen. Ein Beispiel könnte die Verarbeitung von Patientendaten eines Krankenhauses sein. 

Im Zweifel sollte Sie eine Beratung durch einen Fachanwalt für IT-Recht nutzen. Darüber hinaus nennt Art. 35 Abs. 3 DSGVO weitere Beispiele, bei denen eine Datenschutz-Folgenabschätzung erforderlich ist.

Prognoseentscheidung des Verantwortlichen

Ob eine Datenschutz-Folgenabschätzung durchgeführt wird, ist von einer Prognoseentscheidung des Verantwortlichen abhängig. Diese sollte vollständig dokumentiert werden. Eine begründete und dokumentierte Entscheidungsfindung kann zugunsten des Verantwortlichen wirken, wenn die Aufsichtsbehörde von der Notwendigkeit der Datenschutz-Folgenabschätzung – entgegen der Prognoseentscheidung – ausgehen sollte.

Wie ist die Datenschutz-Folgenabschätzung durchzuführen?

Wie empfehlen, den Prozess bzw. das Projekt der Datenschutz-Folgenabschätzung von Anfang an durch einen Fachanwalt für IT-Recht begleiten zu lassen. 

Wird ein hohes Risiko bejaht, sind die Vorgaben des Art. 35 DSGVO zu beachten. Ein Vorgehen könnte beispielsweise wie folgt aussehen:

• Wurde ein Datenschutzbeauftragter benannt, ist dieser beratend zu beteiligen.
• Erstellung eines Projekts
• Wir empfehlen eine genaue Dokumentation in Textform – Mindestinhalte können Sie Art. 35 Abs. 7 DS-GVO entnehmen.

Besondere Pflichten zur Konsultation der Aufsichtsbehörde

Gemäß Art. 36 DSGVO bestehen Konsultationspflichten im Rahmen der Durchführung der Datenschutz-Folgenabschätzung. Unter Umständen ist die Aufsichtsbehörde zu konsultieren. Dies muss vor Beginn der Verarbeitungstätigkeit geschehen, wenn ein hohes Risiko besteht und das Risiko nach Einschätzung des Verantwortlichen nicht ohne Weiteres einzudämmen ist. 

Die Behörde kann nach Ablauf einer Bearbeitungszeit entweder ein Verbot aussprechen oder Empfehlungen aussprechen. Angesichts der benannten Haftungsrisiken stellt sich die Frage, ob es sinnvoll ist, grundsätzlich vor der Einführung eines neuen Verfahrens, nicht nur eine Datenschutz-Folgenabschätzung vorzunehmen, sondern auch eine Abstimmung mit der Aufsichtsbehörde zu suchen. Dies wird zum Teil bejaht. Fraglich ist auch, was eigentlich passiert, wenn die Behörde nicht fristgemäß reagiert.

Wir beraten Sie zu sämtlichen Fragen des Datenschutzrechts bundesweit – rufen Sie uns an oder vereinbaren Sie einen Beratungstermin.