Risi­ko­ma­nage­ment beim Datenschutz

Ein zen­tra­ler Bestand­teil der neu­en EU-wei­ten Daten­schutz-Grund­ver­ord­nung (DSGVO) ist die Daten­schutz-Fol­gen­ab­schät­zung. Sie ist ele­men­tar für das Risi­ko­ma­nage­ment von Unter­neh­men oder öffent­li­chen Stel­len. Und sie dient in Zei­ten der Digi­ta­li­sie­rung auch als eine Art Früh­warn­sys­tem für Män­gel im Daten­schutz. Wie ernst es die Euro­päi­sche Uni­on mit der Daten­schutz-Fol­gen­ab­schät­zung (DSFA) meint, bewei­sen die neu­en Buß­gel­der: Ver­stö­ße kön­nen mit bis zu vier Pro­zent oder 20 Mil­lio­nen Euro des welt­wei­ten Umsat­zes einer Fir­ma geahn­det werden.

Laut DSGVO ist der „Ver­ant­wort­li­che“ im Unter­neh­men für die DSFA zustän­dig – in ers­ter Linie sind das Geschäfts­füh­rer oder der Vor­stand. Sie tra­gen die juris­ti­sche Ver­ant­wor­tung für den kor­rek­ten Daten­schutz. Außer­dem heißt es in der DSGVO: „Der Ver­ant­wort­li­che holt bei der Durch­füh­rung einer Daten­schutz­fol­gen­ab­schät­zung den Rat des Daten­schutz­be­auf­trag­ten ein.“ Das klingt recht harm­los, führt aber dazu, dass Daten­schutz­be­auf­trag­te noch stär­ker in die Ein­füh­rung oder Ände­rung von Daten­ver­ar­bei­tungs­ver­fah­ren ein­be­zo­gen wer­den müssen.

Rech­te an Daten schüt­zen: Ein Bei­spiel aus der Praxis

Grund­sätz­lich will die EU mit der neu­en DSGVO die Rech­te von Per­so­nen an ihren pri­va­ten Daten stär­ken. Dabei muss der oder die Daten­schutz­be­auf­trag­te abschät­zen, wie hoch das Risi­ko ist, dass die Daten in irgend­ei­ner unrecht­mä­ßi­gen Wei­se genutzt wer­den könn­ten. Der Gesetz­ge­ber sieht das sehr streng. Da bei­na­he jedes Unter­neh­men und jede Behör­de Daten erhebt, muss fast jeder eine Risi­ko­ab­schät­zung nach Arti­kel 35 der DSGVO vornehmen.

Bei­spiel Arzt­pra­xis: Das Auf­neh­men per­sön­li­cher Daten von Pati­en­ten ist üblich. „Des­halb ist auch hier eine Risi­ko­ab­schät­zung für die Daten­ver­ar­bei­tung not­wen­dig“, sagt Marit Han­sen, Lan­des­be­auf­trag­te für Daten­schutz Schles­wig-Hol­stein. Ziel sei immer das Imple­men­tie­ren geeig­ne­ter Maß­nah­men, um sol­che Risi­ken einzudämmen.

Bei über­sicht­li­chen Ver­ar­bei­tungs­sys­te­men kann eine DSFA schlank gehal­ten wer­den. Auf­wän­di­ger wird eine DSFA, wenn es sich um ein Kran­ken­haus mit vie­len Abtei­lun­gen han­delt. Denn dann muss geprüft wer­den, unter wel­chen Umstän­den und mit wel­chen Sicher­heits­vor­keh­run­gen bei­spiels­wei­se ein Arzt die Daten eines Pati­en­ten an die Rönt­gen­sta­ti­on oder an die Sozi­al­sta­ti­on wei­ter­lei­ten darf.

So sieht eine Daten­schutz-Fol­gen­ab­schät­zung aus

Auch bis­her prüf­ten Daten­schutz­be­auf­trag­te im Rah­men der Vor­ab­kon­trol­le nach dem Bun­des­da­ten­schutz­ge­setz das Risi­ko beim Ver­ar­bei­ten per­so­nen­be­zo­ge­ner Daten. Mit der neu­en EU-Ver­ord­nung ändert sich der Umfang der Auf­ga­ben. Bis­lang umfass­te der Geset­zes­text zur Risi­ko­prü­fung der Daten nur weni­ge Absät­ze. Die DSFA hin­ge­gen besteht aus meh­re­ren Sei­ten mit detail­lier­ten Anga­ben und neu­en Anfor­de­run­gen, die umzu­set­zen sind.

Was aber ist in einer recht­mä­ßi­gen DSFA genau abge­bil­det? Zum Bei­spiel beschreibt sie, war­um das Unter­neh­men ein berech­tig­tes Inter­es­se an der Daten­ver­ar­bei­tung hat. Außer­dem gibt sie an, wel­chen Zwe­cken die­se dient und ob die­se Zwe­cke not­wen­dig und ver­hält­nis­mä­ßig sind. Sie ana­ly­siert, wie groß die Risi­ken für die Rech­te der betrof­fe­nen Per­so­nen sind. Über­dies ent­hält sie Garan­tien, Sicher­heits­vor­keh­run­gen und Ver­fah­ren zur Bewäl­ti­gung der Risiken.

Wann eine DSFA not­wen­dig ist

Die sorg­fäl­ti­ge Risi­ko­prü­fung ist beson­ders dann not­wen­dig, wenn neue Tech­no­lo­gien ein­ge­setzt wer­den. Dazu zählt bei­spiels­wei­se, wenn eine Chip­kar­te für den Zugang zu bestimm­ten Sicher­heits­be­rei­chen im Unter­neh­men durch RFID-Funk­tech­nik ersetzt wird. Dabei stellt sich näm­lich die Fra­ge, ob mit der Ver­än­de­rung höhe­re Risi­ken ver­bun­den sind. Wei­te­re Situa­tio­nen, in denen eine DSFA vor­ge­nom­men wer­den muss:

• Video­über­wa­chung von öffent­li­chen Räu­men, zum Bei­spiel im Ein­gangs­be­reich eines Unter­neh­mens oder einer Behörde
• Big-Data-Pro­jek­te
• Pro­filing, also Ver­ar­bei­tungs­vor­gän­ge, bei denen per­sön­li­che Daten sys­te­ma­tisch auf bestimm­te Kri­te­ri­en hin aus­ge­wer­tet werden.

Umfas­send dokumentieren

Die Daten­schutz­fol­gen­ab­schät­zung soll­ten Unter­neh­men und ande­re Orga­ni­sa­tio­nen umfas­send doku­men­tie­ren. So bele­gen sie gegen­über Auf­sichts­be­hör­den, dass sie die DSFA ord­nungs­ge­mäß durch­ge­führt haben. „Im Zwei­fels­fall soll­te man die Auf­sichts­be­hör­den kon­tak­tie­ren“, rät Daten­schutz-Exper­tin Han­sen. „Das bie­tet ange­sichts der noch rela­tiv jun­gen The­ma­tik mehr Sicher­heit bei der Umsetzung.“

Aber es reicht nicht aus, ein dem Risi­ko ange­mes­se­nes Schutz­ni­veau zu imple­men­tie­ren: Die DSGVO ver­langt regel­mä­ßi­ges Über­prü­fen, Bewer­ten und Eva­lu­ie­ren der Maß­nah­men. „Das erreicht man am bes­ten mit einem funk­tio­nie­ren­den Risi­ko­ma­nage­ment“, sagt Marit Han­sen. „Bei einem Anti­vi­ren-Pro­gramm reicht es ja auch nicht aus, es ein­mal auf den PC auf­zu­spie­len: Man muss stän­dig prü­fen, ob es Updates mit Ver­bes­se­run­gen gibt. Das gilt auch bei der DSFA.“

Die Auf­sichts­be­hör­den wer­den nach Inkraft­tre­ten der DSGVO am 25. Mai 2018 sicher wei­te­re Prä­zi­sie­run­gen und Aus­füh­run­gen ver­öf­fent­li­chen, die dann beach­tet wer­den müssen.

Mehr zu den Daten­schutz-Semi­na­ren der TÜV Nord Aka­de­mie gibt es auf der Web­site. Wei­te­re Infor­ma­tio­nen zur Daten­schutz­fol­gen­ab­schät­zung sind in einem White­pa­per des Forum Pri­vat­heit und selbst­be­stimm­tes Leben in der digi­ta­len Welt mit Autoren vom Fraun­ho­fer-Insti­tut für Sys­tem- und Inno­va­ti­ons­for­schung (Fraun­ho­fer) ISI, vom Unab­hän­gi­gen Lan­des­zen­trum für Daten­schutz Schles­wig-Hol­stein und von der Uni­ver­si­tät Kas­sel, Insti­tut für Wirt­schafts­recht verfügbar.