Newsletter EU-Datenschutz-Grundverordnung - Nr. 14

Behandlung bereits vorhandener Datenverarbeitungen

Vorgehensweise

1. Für jede Verarbeitung ist mittels einer systematischen Risikobewertung (sog. „Schwellenwertanalyse“) zu klären, ob eine Datenschutz-Folgenabschätzung durchgeführt werden muss. Das Ergebnis ist zu dokumentieren (z. B. bei der Beschreibung der Verarbeitung im sog. Verzeichnis von Verarbeitungstätigkeiten).
2. Für mehrere ähnliche Verarbeitungsvorgänge (umfasst alle Daten, Systeme [Hard- und Software] und Prozesse) reicht eine Abschätzung, sofern diese ein ähnlich hohes Risiko haben.
3. Vorstufe einer Risikobewertung ist eine Schutzbedarfsfeststellung der zu verarbeitenden personenbezogenen Daten anhand der Datenarten (Kundendaten, Mitarbeiterdaten, Steuerdaten, Gesundheitsdaten etc.):

Schutzbedarfskategorien – Schadensschwere

Bestandteile einer Datenschutz-Folgenabschätzung

1. Risikobewertung

• nach der Eintrittswahrscheinlichkeit (zu berücksichtigen ist hier auch die Risiko-Quelle, also der Angreifer und ein durch diesen zu verursachender Schaden)
• nach der Schwere des Schadens

Verfahren zur Risikobestimmung

Praxis-Tipps:

• EU-weit anerkannte Vorgehensmodelle zur Risikobestimmung einsetzen.
• Das verwendete Vorgehensmodell muss das Verfahren gut dokumentieren (wichtiges Kriterium für einen massenhaften Einsatz).
• Maßnahmenkataloge (technisch-organisatorische Maßnahmen zur Verfügbarkeit, Vertraulichkeit, Integrität und Belastbarkeit) zur Behandlung von Risiken sollten gut dokumentiert und erprobt sein.
• Jedoch gibt es einheitliche Kriterien für eine Risikobestimmung. Die Art. 29-Datenschutzgruppe hat in den Leitlinien zur DSFA* Kriterien festgelegt, anhand deren geprüft werden sollte, ob eine DSFA durchgeführt werden muss. Dies soll umso wahrscheinlicher sein, wenn mindestens zwei und mehr der nachfolgenden und als besonders riskant eingestuften Kriterien erfüllt sind:

1. Scoring und Evaluierung, inkl. Profilbildung und Vorhersagen
2. Automatisierte Entscheidungen mit rechtlicher oder im Gewicht vergleichbarer Wirkung
3. systematische Beobachtung (z. B. von Arbeitsräumen)
4. Sensible Daten
5. Datenverarbeitung in großem Umfang
6. Datensätze, die abgeglichen oder kombiniert werden
7. Daten von besonders schutzbedürftigen Personen (z. B. Arbeitnehmer, Kinder)
8. Innovative Nutzung oder Verwendung von technologischen und organisatorischen Lösungen (z. B. eine Kombination aus Fingerabdruckscan und Gesichtserkennung)
9. Betroffene können ein Recht oder eine Dienstleistung ohne vorgeschaltete Datenverarbeitung nicht in Anspruch nehmen (z. B.: Eine Bank verlangt die Durchleuchtung von Daten eines potenziellen Kreditkunden vor einer Entscheidung über einen Vertragsabschluss)

2. Schaden

• Diskriminierung
• Identitätsdiebstahl
• Rufschädigung
• Finanzieller Verlust
• Hinderung der Kontrolle über eigene Daten
• Profilbildung mit Standortdaten

3. Risikominimierung

• organisatorischen Maßnahmen (z. B. Datenschutzschulung von Mitarbeitern, interne Regelungen zum Datenschutz, Notfallkonzept) und
• technischen Maßnahmen (z. B. Einsatz von Firewall und Virenscanner und deren zeitgemäßer Update, Verschlüsselung von Daten).

4. Nachweise hierüber erbringen (Dokumentation!)

Zu dokumentieren sind:

• die Durchführung einer Risikobewertung,
• das Ergebnis der Analyse (normales, hohes, sehr hohes Risiko) und
• eine daraus ggf. abzuleitende DSFA

• Whitelist
  Datenschutzaufsichtsbehörden können (optional) eine Liste von Verarbeitungstätigkeiten (sog. Whitelist) veröffentlichen, die aus ihrer Sicht nie hochrisikobehaftet sind und damit keiner DSFA bedürfen.
  Offen ist, ob die Datenschutzaufsichtsbehörden von dieser gesetzlichen Möglichkeit Gebrauch machen werden.
• Die Verarbeitungsvorgänge vor dem 25.05.2017 von einer Datenschutzaufsichtsbehörde oder einem Datenschutzbeauftragten im Wege einer Vorabkontrolle geprüft worden sind.
• die Verarbeitung eine gesetzliche Aufgabe nach Art. 6 Abs. 1 c DS-GVO (Erfüllung einer rechtlichen Verpflichtung) oder Art. 6 Abs. 1 e DS-GVO (Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt) ist; eine allgemeine DSFA hierfür ist bereits bei Erlass der Rechtsgrundlage (z. B. Gewerberegister) vorgenommen worden, und der Mitgliedstaat hat die Durchführung einer DSFA für nicht notwendig erklärt.
• Kein hohes Risiko als Ergebnis der Prüfung.

• Blacklist
  Datenschutzaufsichtsbehörden müssen eine sog. Blacklist veröffentlichen. Diese enthält Datenverarbeitungen, die aus Sicht der Datenschutzaufsicht generell ein hohes Risiko haben und daher stets (ohne weitere sonstige Prüfung) vor deren Einsatz eine Vorabkonsultation der Aufsicht erfordern.
• Ergebnis der Risikobewertung:
  (sehr) hohes Risiko und eine Risikoreduzierung ist nicht möglich.

Mindestinhalt einer Datenschutz-Folgenabschätzung

• Systematische Beschreibung der Verarbeitungsvorgänge und Zwecke
• Notwendigkeit und Verhältnismäßigkeit der Verarbeitung im Verhältnis zum Zweck der Verarbeitung
• Risikobewertung (s. o.)
• Geplante Abhilfemaßnahmen zur Bewältigung der Risiken

• Der Verantwortliche hat eine Datenschutz-Folgenabschätzung durchzuführen.
• Ferner hat er vor einem Einsatz einer derartigen Datenverarbeitung die zuständige Datenschutzaufsichtsbehörde zu konsultieren und
• deren Entscheidung (z. B. Einsatz nur nach Ergreifung weiterer Schutzmaßnahmen, Verbot der geplanten Verarbeitung) zu beachten.

Rolle des Datenschutzbeauftragten

• Die verantwortliche Stelle hat den Rat des Datenschutzbeauftragten einzuholen.
• Zu den Aufgaben eines Datenschutzbeauftragten gehört auf Anfrage die Beratung im Zusammenhang mit der Durchführung einer DSFA und die Überwachung ihrer Durchführung.

Prozessschritte einer DSFA

1. DSFA-TEAM erstellen
2. Prüfplanung
3. Beurteilungsumfang festlegen
   z. B.
   ‎a.‎ Beschreibung des Verarbeitungsvorgangs
   ‎b.‎ inkl. der Datenflüsse und Zwecke der Verarbeitung in Abgrenzung zu ‎anderen (Geschäfts-)Prozessen
4. Akteure und Betroffene identifizieren
   d.h. Datenschutzbeauftragten, Betriebsrat und ggf. Betroffene einbinden
5. Prüfung der Notwendigkeit/Verhältnismäßigkeit bezogen auf den ‎Verarbeitungszweck
6. Rechtsgrundlagen für die Verarbeitung prüfen und dokumentieren
7. Risikoquellen identifizieren
   (Beweggründe, Ziele, Eintrittswahrscheinlichkeit) ‎
8. ‎Risikobewertung unter Berücksichtigung
   a.‎ möglicher physischer, materieller oder immaterieller Schäden,
   ‎b.‎ deren Schwere sowie
   ‎c.‎ Eintrittswahrscheinlichkeit
9. Auswahl geeigneter Abhilfemaßnahmen
   ‎a.‎ u. a. durch technische und organisatorische Maßnahmen (toMs)‎ und
   b.‎ verbleibende Restrisiken eruieren und dokumentieren
10. ‎DSFA-Bericht erstellen
11. Abhilfemaßnahmen umsetzen
12. Abhilfemaßnahmen auf Wirksamkeit testen
13. Dokumentation ‎
    a.‎ des DSFA-Berichts und
    b.‎ der Überprüfung der Wirksamkeit der Maßnahmen
14. Freigabe der Verarbeitungsvorgänge
    inkl. Überprüfung und Audit einer DSFA und deren Aktualisierung
15. ‎DSFA fortschreiben bei Aktualisierungsbedarf.

Publikationen

Beispiele für EU-weite allgemeine Rahmenbedingungen

Beispiele für EU-weite branchenspezifische Rahmenbedingungen