Datenschutz-Folgenabschätzung richtig durchführen: So gehts

Um für einen konkreten Fall zu prüfen, ob bzw. wann du eine Datenschutz-Folgenabschätzung durchführen musst, empfiehlt sich ein mehrstufiges Vorgehen. Im Kern dreht sich hierbei alles um die Frage, ob ein hohes Risiko für die Betroffenen besteht bzw. zu befürchten ist. Du solltest also die folgenden Prüfungsschritte einhalten:

1. Findet sich die (geplante) Datenverarbeitung auf der sog. Positiv-Liste der Datenschutzaufsichtsbehörden?
2. Liegt ein gesetzliches Regelbeispiel gemäß Art. 35 Abs. 3 DSGVO bezüglich einer Notwendigkeit einer Datenschutz-Folgenabschätzung vor?
3. Besteht gemessen an den Kriterien der Art.-29-Gruppe ein sonstiges hohes Risiko?

Wenn du eine dieser Fragen mit „Ja“ beantwortest, dann lautet das Ergebnis deiner Schwellwertanalyse, dass du voraussichtlich eine Datenschutz-Folgenabschätzung (DSFA) durchführen musst. Daher lohnt es sich, einen näheren Blick auf die Details der drei Punkte zu werfen.

In den Positiv-Listen der Aufsichtsbehörden sind diverse Datenverarbeitungsvorgänge enthalten, die regelmäßig mit einem hohen Risiko verbunden sind. So hat beispielsweise die Datenschutzkonferenz (DSK), ein Zusammenschluss der deutschen Datenschutzaufsichtsbehörden, jeweils eine Positiv-Liste zur Datenschutz-Folgenabschätzung für den öffentlichen Bereich (also für Behörden und andere öffentliche Stellen) und für den nicht-öffentlichen Bereich (also für Unternehmen) veröffentlicht. Auf der DSK-Positiv-Liste für den nicht-öffentlichen Bereich finden sich z. B. folgende Verarbeitungsvorgänge, für die eine Datenschutz-Folgenbestimmung erforderlich ist:

• Verarbeitung von biometrischen Daten zur eindeutigen Identifizierung natürlicher Personen (z. B. Fingerabdrucksensoren zur Zutrittskontrolle)
• umfangreiche Verarbeitung von Daten über den Aufenthalt von Betroffenen (z. B. GPS-Verfolgung von Dienstfahrzeugen)
• umfangreiche Verarbeitung von Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeitstätigkeit derart eingesetzt werden können, dass sich Rechtsfolgen für die Betroffenen ergeben oder diese in sonstiger Weise erheblich beeinträchtigt werden (z. B. zentrale Aufzeichnung der Aktivitäten, wie etwa E-Mail-Verkehr am Arbeitsplatz mit dem Ziel, unerwünschtes Verhalten von Beschäftigten zu erkennen)
• Erstellung umfassender Profile über die Interessen, das Netz persönlicher Beziehungen oder die Persönlichkeit der Betroffenen (z. B. Betrieb eines Online-Datingportals)
• Zusammenführung von personenbezogenen Daten aus verschiedenen Quellen und der Verarbeitung der so zusammengeführten Daten (z. B. Analyse von Kauf- und Bonitätsdaten)
• Einsatz von Künstlicher Intelligenz (KI) zur Verarbeitung von Daten zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte (z. B. Kundensupport mittels künstlicher Intelligenz)
• Erstellung umfassender Profile über die Bewegung und das Kaufverhalten von Betroffenen (z. B. Betrieb eines Treue- / Bonuspunkte-Programms für Kunden)

Sofern du also planst, eine der auf der DSK-Liste enthaltenen Prozesse ein- bzw. fortzuführen, dann musst du auf jeden Fall eine Datenschutz-Folgenabschätzung durchführen. Wenn du hier nicht fündig wirst, bedeutet das allerdings nicht, dass du von der DSFA-Pflicht befreit bist. Denn dann könnte eine solche auch noch deshalb bestehen, weil deine (geplante) Datenverarbeitung einem gesetzlichen Regelbeispiel aus Art. 35 Abs. 3 DSGVO entspricht. Danach ist eine DSFA durchzuführen für:

• systematische und umfassende Bewertungen persönlicher Aspekte natürlicher Personen, die sich auf eine automatisierte Verarbeitung (einschließlich Profiling) gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber den Betroffenen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen (z. B. Detektiv-Dienstleistungen, Betrieb eines Online-Werbenetzwerkes oder KI-gestützte Analyse von Bewerbungsgesprächen),
• umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten im Sinne von Art. 9, 10 DSGVO (z. B. Durchführung medizinischer Studien durch eine Klinik bzw. einen Dienstleister) oder für
• systematische umfangreiche Überwachungen öffentlich zugänglicher Bereiche (z. B. Videoüberwachung an Bahnhöfen oder Flugplätzen).

Auch hier lassen die einzelnen Beispiel-Szenarien mit Pflicht zur Datenschutz-Folgenabschätzung schon erahnen, dass es um sehr riskante Datenverarbeitungsvorgänge geht. Alltägliche Prozesse wie Personalaktenführung, Versand von Werbung oder Datenübermittlung an den Steuerberater werden hier offenkundig nicht erfasst. Allerdings kann bereits die (geplante) Anbringung einer Überwachungskamera auf dem Parkplatz vor dem Bürogebäude dazu führen, dass du zumindest eine Schwellwertanalyse durchführen und dokumentieren musst.

Sofern du weder auf der DSK-Liste noch in Art. 35 Abs. 3 DSGVO einen Prozess findest, der auf deinen passt, kann gleichwohl ein hohes Risiko vorliegen. Um ein solches in der Praxis besser einschätzen bzw. abwägen zu können, hat die Art.-29-Gruppe – der Vorläufer des jetzigen Europäischen Datenschutzausschusses (EDSA) – in ihrem „Working Paper 248“ neun verschiedene Kriterien aufgestellt. Wenn mindestens zwei davon vorliegen, ist ein hohes Risiko für die betreffende Datenverarbeitung anzunehmen:

• Evaluierung- bzw. Scoring-Maßnahmen
• automatisierte Entscheidung mit rechtlicher Relevanz o. ä. Wirkung für den Betroffenen (z. B. Profiling)
• systematische Beobachtung von Betroffenen
• Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9, 10 DSGVO)
• in großem Umfang verarbeitete personenbezogene Daten
• Abgleich bzw. Kombination verschiedener Datensätze
• personenbezogene Daten verletzlicher Datensubjekte (z. B. von Prominenten oder Kindern)
• Einsatz neuartiger Lösungen / Technologien
• Übermittlung von personenbezogenen Daten in unsichere Drittstaaten
• Datenverarbeitungen, die Betroffene davon abhalten, ihre Rechte geltend zu machen oder einen Dienst bzw. Vertrag zu nutzen

Wenn du also beispielsweise planst, ein neuartiges KI-System zur automatisierten Auswahl von Bewerbern einzusetzen und dabei Kriterien, wie etwa das Tragen einer Brille, eine Rolle spielen, erfüllst du jedenfalls zwei der genannten Kriterien und wärst voll in der DSFA-Pflicht.