Datenschutz-Folgenabschätzung im System führen

Die Folgenabschätzung im System ist etwas anderes als eine Datei mit dem Titel „Datenschutz-Folgenabschätzung”. Eine solche Datei wird einmal geschrieben und dann abgelegt. Tatsächlich beschreibt Art. 35 DSGVO ein Verfahren mit vier Schritten, das vor der Verarbeitung durchlaufen wird und bei Änderungen erneut ansteht.

Schritt eins wird am häufigsten übersprungen

Die Schwellwertprüfung: Ist überhaupt eine Folgenabschätzung nötig? Das ist keine Formalie, sondern der Nachweis, dass Sie die Frage gestellt haben – auch wenn die Antwort nein lautet.

Geprüft wird gegen die Kriterien aus Art. 35 Abs. 3, gegen die Listen der Aufsichtsbehörden und gegen die anerkannten Risikomerkmale: Bewertung und Profilbildung, automatisierte Entscheidungen, systematische Überwachung, besondere Kategorien, große Zahl betroffener Personen, Datenabgleich, schutzbedürftige Personen, neue Technologien.

Geführt bedeutet: Die Prüfung wird je Verarbeitung im Verzeichnis durchlaufen und ihr Ergebnis dort festgehalten. Damit ist später belegbar, warum für dreißig Verarbeitungen keine Folgenabschätzung nötig war.

Die drei weiteren Schritte

Die systematische Beschreibung der Verarbeitung – Zwecke, Datenkategorien, Empfänger, Speicherdauer, Systeme. Sie liegt bereits vor: im Verzeichniseintrag und im Datenflussdiagramm. Das ist der Punkt, an dem ein System den meisten Aufwand spart, denn diese Beschreibung ist in der freihändigen Fassung die halbe Arbeit.

Die Bewertung von Notwendigkeit, Verhältnismäßigkeit und Risiken für die Rechte und Freiheiten der betroffenen Personen. Sie greift auf das Risikoregister zu – mit dem Unterschied, dass hier nicht das Risiko für das Unternehmen zählt, sondern das für die Menschen.

Die Abhilfemaßnahmen und das verbleibende Restrisiko. Aus jeder Maßnahme wird eine Aufgabe mit Verantwortlichem und Termin; das akzeptierte Restrisiko wird mit Entscheider und Datum festgehalten.

Bleibt trotz Maßnahmen ein hohes Risiko, ist vor der Verarbeitung die Aufsichtsbehörde einzuschalten – Art. 36 DSGVO. Auch dieser Schritt gehört dokumentiert, einschließlich der Entscheidung, dass er nicht nötig war.

Beteiligte und Wiederholung

Der Rat des Datenschutzbeauftragten ist einzuholen – durchgeführt wird die Folgenabschätzung jedoch vom Verantwortlichen. Wo angemessen, ist der Standpunkt der betroffenen Personen einzuholen; bei Beschäftigtendaten übernimmt das in der Praxis der Betriebsrat.

Und sie ist zu wiederholen, wenn sich das Risiko ändert – neue Datenquelle, neuer Dienstleister, neue Auswertung. Eine Wiedervorlage im Aufgabensystem ist wirksamer als der Vorsatz, daran zu denken.

Grenzen der Folgenabschätzung im System

Das System nimmt die Bewertung nicht ab. Es führt durch die Schritte, sammelt die Angaben und hält das Ergebnis. Ob eine Verarbeitung verhältnismäßig ist, bleibt eine fachliche Entscheidung mit Begründungspflicht.

Eine ausgefüllte Vorlage ist keine Folgenabschätzung. Wer die Felder füllt, ohne die Fragen zu stellen, hat ein Dokument und keine Prüfung. Das Verfahren im Einzelnen steht unter Datenschutz-Folgenabschätzung.