Mit der am 25.5.2018 in Kraft tretenden EU-Datenschutzgrundverordnung (DSGVO) wird unter anderem die Datenschutzfolgenabschätzung eingeführt. Die Artikel-29-Datenschutzgruppe hat hierzu Hinweise veröffentlicht. Zudem bietet es sich an, das von den Aufsichtsbehörden entwickelte Standard-Datenschutzmodell; sowie die ISO-Normen 29100 und 29134 bei der Datenschutzfolgenabschätzung zu Grunde zu legen.
Foto: oatawa - shutterstock.com
Standard-Datenschutz, ISO 29100 und 29134
Das "Standard-Datenschutzmodell" der deutschen Datenschutzaufsichtsbehörden soll als Grundlage dienen, die sowohl Behörden als auch Unternehmen bei der Umsetzung der DSGVO etwas "an die Hand gibt". Hierauf kann auch für Datenschutzfolgenabschätzungen zurückgegriffen werden. International existieren mit Normen der ISO (International Organization for Standardization) und der IEC (International Electrotechnical Commission) im Datenschutz und bei Datenschutzfolgenabschätzun-gen auf internationaler Ebene Leitlinien zur Vereinheitlichung der Vorgehensweise. Die ISO/IEC-Norm 29100:2011 stellt (vergleichbar mit dem deutschen Standard-Datenschutzmodell) Prinzipien auf, die im Datenschutz allgemein gelten und bei jeder Datenverarbeitung zu beachten sein sollen. Die ISO/IEC 29134:2017 beschreibt detailliert den Ablauf einer Datenschutzfolgenabschätzung von der Vorbereitungs- über die Durchführungs- bis hin zur Nachbereitungs- und Report-Phase.
Wann ist eine Datenschutzfolgenabschätzung Pflicht?
Eine Datenschutzfolgenabschätzung ist nach Art. 35 DSGVO immer dann erforderlich, wenn durch die jeweilige Datenverarbeitung voraussichtlich hohe Risiken für die Rechte und Freiheiten natürlicher Personen drohen. Die in Art. 35 Abs. 3 DSGVO genannten Kategorien an Datenverarbeitungen werden vom Gesetzgeber stets als risikobehaftet angesehen, sodass eine Datenschutzfolgenabschätzung zwingend durchzuführen ist.
Die Aufzählung ist jedoch nicht abschließend. Vielmehr kann auch in anderen "risikoreichen" Fällen eine Datenschutzfolgenabschätzung durch den Verantwortlichen durchzuführen sein. Das Kriterium "hohes Risiko" wird in der Datenschutzgrundverordnung jedoch nicht explizit definiert, sodass Unklarheiten bei der genauen Bestimmung dieses Kriteriums verbleiben. Deshalb hat die Artikel-29-Datenschutzgruppe (ein unabhängiges Beratungsgremium der Europäischen Kommission zu Themen rund um den Datenschutz) Leitlinien und Kriterien vorgeschlagen, wann ein hohes Risiko gegeben und wann eine Datenschutzfolgenabschätzung erforderlich sein soll.
Sie schlägt als Daumenregel vor, dass erst bei einer Datenverarbeitung, die mindestens zwei der in ihrer Leitlinie genannten Risikokriterien (z. B. "Datenverarbeitung in großem Umfang", "Datentransfer außerhalb der EU" etc.) erfüllt, ein "hohes Risiko" im Sinne des Art. 35 Abs. 1 DSGVO anzunehmen und daher eine Datenschutzfolgenabschätzung durchzuführen sei. Es wird aber zugleich darauf hingewiesen, dass in Ausnahmefällen schon das Vorliegen nur eines Kriteriums zur Notwendigkeit einer Datenschutzfolgenabschätzung führen kann. Dies führt dazu, dass bei Zweifeln an der Erforderlichkeit der Durchführung einer Datenschutzfolgenabschätzung eine solche stets erfolgen sollte. Die GDPR (General Data Protection Regulation) gibt für die Vorgehensweise vor und während einer Datenschutzfolgenabschät-zung keine expliziten Anweisungen an die Hand. In Art. 35 Abs. 7 DSVO werden lediglich inhaltliche Mindestanforderungen beschrieben. Zu beachten ist zudem, dass auch die Nichtdurchführung einer Datenschutzfolgenabschätzung gemäß Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO ausführlich begründet werden muss.
Datenschutzfolgenabschätzung als Best Practice
Bei der Datenverarbeitung im Konzern wird stets eine Datenschutzfolgenabschätzung notwendig sein. Denn bei international tätigen Unternehmen mit tausenden von Arbeitnehmern und/oder Kunden sind regelmäßig zwei oder mehr der zuvor genannten Kriterien (auch aus der Leitlinie der Artikel-29-Datenschutzgruppe) erfüllt.
Daneben existieren aber noch weitere Gründe, die es sinnvoll erscheinen lassen, im Unternehmen eine Datenschutzfolgenabschätzung durchzuführen, selbst wenn diese grundsätzlich gar nicht notwendig wäre. Denn die verantwortliche Stelle ist ohnehin verpflichtet, gemäß Art. 30 DSGVO ein Verzeichnis der Datenverarbeitungsvorgänge anzulegen. Von dem hierfür erforderlichen Aufwand ist es nur noch ein kleiner Schritt zu einer vollständigen Datenschutzfolgenabschätzung beziehungsweise zur Erfüllung der Mindestanforderungen gem. Art. 35 Abs. 7 DSGVO. Denn nach der Vorbereitungs- und der Risikobewertungs-Phase folgt nur noch die Maßnahmenphase zur Eliminierung oder Eindämmung der festgestellten Risiken.
Der Mehraufwand ist - im Verhältnis zum möglichen Nutzen - eher gering. Denn durch eine ordnungsgemäß durchgeführte Datenschutzfolgenabschätzung erlangt der Verantwortliche Überblick über die unternehmensinternen Datenverarbeitungsvorgänge und mögliche Risiken. Dies ermöglicht ihm eine klare Kommunikation über den Datenschutz im Unternehmen gegenüber Behörden, die zukünftig immer wichtiger werden wird. Das LDA Bayern hat zum Beispiel angekündigt, im Rahmen der EU-Datenschutzgrundverordnung verstärkt zu prüfen. Zur Unterstützung der Umsetzung und Vorbereitung auf die GDPR hat das LDA Bayern vor Kurzem einen (fiktiven) Fragebogen veröffentlicht, den es an circa 150 Unternehmen in Bayern verschickt hat.
Neben Informationen zur Implementierung von Datenschutzfolgenabschätzungen werden auch Daten zu Verarbeitungsverzeichnissen und möglichen Auftragsverarbeitern abgefragt. Mit Hilfe einer Datenschutzfolgenabschätzung können also potentielle Risiken und Sicherheitslücken frühzeitig erkannt und behoben werden. Dies wiederum führt zur Vermeidung von Sanktionen durch die Aufsichtsbehörden, die teils sehr empfindlich (vgl. Art. 80 DSGVO, bis zu vier Prozent des weltweiten, vorjährigen Unternehmensgesamtumsatzes) sein können.
Mapping mit internationalen ISO-Standards
Der Zweck des deutschen Standard-Datenschutzmodells ist es, die datenschutzrechtlichen Grundprinzipien der Datenschutzgrundverordnung in technisch-organisatorische Maßnahmen zu transferieren und es so allen Beteiligten zu erleichtern, ihre Datenverarbeitung datenschutzkonform auszugestalten. Deswegen wirken sich einige der Gewährleistungsziele auch auf eine gemäß Art. 35 DSGVO vorzunehmende Datenschutzfolgenabschätzung aus. Zu nennen sind hier insbesondere die Ziele "Integrität", "Vertraulichkeit", "Nichtverkettung" und "Transparenz". Auch die Artikel-29-Datenschutzgruppe bezieht sich in ihren Ausführungen zur Datenschutzfolgenabschätzung auf die ISO/IEC-Normen zum Datenschutz. International tätige Konzerne, welche die Vorgaben der DSGVO und des Standard-Datenschutzmodells bei der Durchführung einer Datenschutzfolgenabschätzung umsetzen, haben daher ein genuines Interesse daran, dass diese Umsetzung nicht nur dem deutschen Standard-Datenschutzmodell, sondern auch internationalen Standards entspricht.
Dementsprechend können die bereits genannten Gewährleistungsziele mit den Prinzipien der ISO-Norm ISO/IEC 29100:2011 verknüpft werden. Die Gewährleistungsziele sind nicht gänzlich deckungsgleich, überschneiden sich jedoch an vielen Stellen und können daher einander zugeordnet werden (sogenanntes Mapping). In vielen Fällen enthalten die ISO-Normen mehr technische Bezüge. Explizite technische Ausführungen zum Standard-Datenschutzmodell wurden hingegen noch nicht veröffentlicht. Ein Rückgriff auf die ISO-Normen schon bei Einführung neuer Datenverarbeitungen erscheint daher naheliegend, um das Ziel des "privacy by design" zu erreichen.
Prozessvorgehen nach ISO 29134
Die ISO/IEC 29134:2017 orientiert sich an den Prinzipien von ISO/IEC 29100, sodass sie zu großen Teilen ebenfalls den Anforderungen des (deutschen) Standard-Datenschutzmodells entspricht. Für Konzerne bietet es sich daher, aufgrund der für sie in der Regel obligatorischen Datenschutzfolgenabschätzung an, zur Konzeption und Ausführung auch auf den international anerkannten Standard ISO 29134 zurückzugreifen. Diese Norm gibt Anwendern einen detaillierten Ablaufplan an die Hand. Es werden jeweils das zu erreichende Ziel, die benötigten Informationen und das zu erwartende Ergebnis beschrieben. Daraufhin werden die Handlungsmöglichkeiten aufgezeigt und eine Hilfestellung zur Implementierung des jeweiligen Punktes des Ablaufplans gegeben. Ähnlich wie die Gliederung der Datenschutzfolgenabschätzung in eine Vorbereitungs-, eine Bewertungs- und eine Maßnahmen-Phase unterteilt auch die ISO 29134 den Ablauf einer Datenschutzfolgenabschätzung in eine Planungs-, eine Durchführungs-, und eine Abschluss-Phase.
Danach muss zunächst eine Datenschutzfolgenabschätzung für eine erfolgreiche Durchführung angemessen vorbereitet werden. Neben einer Festlegung der zu erreichenden Ziele und des Umfangs der Datenschutzfolgenabschätzung muss auch ihre Notwendigkeit festgestellt werden. Sodann soll die Planung der Folgenabschätzung hinsichtlich Personal, Ressourcen, Ablauf und gegebenenfalls der Hinzuziehung der von der Datenverarbeitung betroffenen oder an ihr mitwirkenden Personen stattfinden. In der Durchführungsphase der Datenschutzfolgenabschätzung sollen die jeweiligen Verarbeitungsvorgänge, die personenbezogene Daten betreffen, identifiziert und das relevante Datenschutzniveau festgelegt werden. Danach erfolgt die Identifikation von Datenschutz-Risiken und deren Analyse hinsichtlich Schwere und Umfang, sowie die Vorbereitung von Abhilfemaßnahmen. Abschließend soll die Anfertigung und Veröffentlichung eines Reports zur jeweils durchgeführten Datenschutzfolgenabschätzung erfolgen. Außerdem sollen die erarbeiteten Abhilfemaßnahmen und gegebenenfalls weitere Änderungen in den Datenverarbeitungsvorgang implementiert, sowie die abgeschlossene Datenschutzfolgenabschätzung nochmals überprüft und evaluiert werden.
Das sollten Unternehmen jetzt tun
Die deutschen Datenschutzbehörden werden das Standard-Datenschutzmodell - beziehungsweise Teile davon - als Grundlage verwenden, um datenverarbeitende Stellen hinsichtlich der Datenschutzkonformität ihrer Verarbeitungen zu überprüfen. Hierzu gehört unter anderem die ordnungsgemäße Durchführung und Dokumentation von Datenschutzfolgenabschätzungen. Zur Vorbereitung hierauf kann, aufbauend auf den vorgestellten Verknüpfungen und des Ablaufplans der ISO 29134, ein entsprechendes Formular zur Datenschutzfolgenabschätzung entwickelt werden, das aufzeigt, an welcher Stelle die ISO-Normen mit den Gewährleistungszielen des Standard-Datenschutzmodells und damit den Vorgaben der EU-Datenschutzgrundverordnung korrelieren.
Bei der Datenverarbeitung im Konzern ist eine Datenschutzfolgenabschätzung im Zweifel immer durchzuführen. In Anbetracht der zunehmenden Kontrolltätigkeit der Aufsichtsbehörden sollte daher mit Hilfe von Datenschutzfolgenabschätzungen und den zugehörigen Maßnahmen (zum Beispiel der Verzeichniserstellung gem. Art. 30 DSGVO) der unternehmensinterne Datenschutz auf eine solide Basis gestellt werden. Nur so können Risiken für Daten frühzeitig erkannt, Gegenmaßnahmen eingeleitet und diese Datenschutz-Compliance gegenüber Behörden, betroffenen Personen und der Öffentlichkeit kommuniziert und nachgewiesen werden. Die Verknüpfung mit ISO-Normen und Standard-Datenschutzmodell-Gewährleistungszielen ist dabei ein wichtiger Teil des "Puzzles". Der Rückgriff auf die ISO-Normen kann bereits jetzt helfen, Datenschutz-Management-Tools und Konzepte für Datenschutzfolgenabschätzungen im Rahmen des Konzerndatenschutzes nicht nur auf europäischer, sondern auch auf internationaler Ebene zukunftssicher zu gestalten.
Sie möchten mehr zum Thema erfahren? Dann sollten Sie sich auch den wissenschaftlichen Beitrag zur Datenschutzfolgenabschätzung nicht entgehen lassen. Hier geht's zur Leseprobe. (fm)