Bessere Priorisierung im Datenschutz Tools zur Datenschutz-Folgen­abschätzung nach DSGVO

Die Zahl der Baustellen im Datenschutz wird nicht weniger, scheint es. Die Datenschutz­folgen eines harten Brexit sind nur ein Beispiel. Umso wichtiger ist es, die richtigen Prioritäten im Datenschutz zu setzen. Das beste Instrument dafür ist die Datenschutz-Folgen­abschätzung, für die es ein auch kostenloses Tool und zahlreiche Hilfestellungen gibt.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Insider Research

Specops Software GmbH

Über die möglichen Folgen eines „No-Deal-Brexits“ wurde in den Medien viel berichtet, doch nicht nur der Whisky aus Schottland könnte teurer werden, wie manche Schlagzeile warnte. Auch für den Datenschutz würde dies deutliche Konsequenzen haben, denn Großbritannien würde dann nach DSGVO „über Nacht“ zum Drittland. Die Datenübermittlung in ein Drittland beschäftigte viele Unternehmen bisher hauptsächlich wegen USA, doch mit den USA gibt es Privacy Shield. Bei einem ungeregelten Austritt von UK gibt es eine solche Vereinbarung dagegen nicht. Unternehmen müssten dann anderweitig gewährleisten, dass die notwendigen Sicherheiten nach DSGVO für eine Datenübermittlung in ein Drittland gewährleistet sind, andernfalls läge eine Datenschutzverletzung vor.

Doch der harte Brexit kann Unternehmen kalt lassen, wenn sie keine Datenübermittlung nach Großbritannien planen oder bereits durchführen. Für diese Unternehmen hat das Thema Brexit und Datenschutz keine Relevanz. Was in diesem Bereich offensichtlich ist, wird in anderen Themenfeldern leicht vergessen: Der Datenschutz muss angemessen und verhältnismäßig sein, es kommt auf die möglichen Datenrisiken an. Nicht jede Baustelle im Datenschutz muss angegangen oder zumindest sofort angegangen werden.

Datenübermittlung in die Cloud

Was Brexit und Privacy Shield gemeinsam haben

DSFA wird als Instrument unterschätzt

Zu den Grundsätzen für die Verarbeitung personenbezogener Daten nach DSGVO gehört es, dass die personenbezogenen Daten in einer Weise verarbeitet werden müssen, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, dabei sollte die Betonung auf der Angemessenheit liegen. Weder ein zu geringer Schutz noch ein übertriebener Schutz soll es sein.

Viele Datenschutzexperten raten deshalb dazu, das Instrument der Datenschutz-Folgenabschätzung (DSFA) als willkommene Hilfe im Datenschutz anzusehen, nicht als lästige und aufwändige Vorgabe nach Artikel 35 der Datenschutz-Grundverordnung.

Die DSFA ist eine spezielle Risikoanalyse, Risikobewertung und Definition von Maßnahmen zur Minderung der Risiken. Wer bereits ein Risikomanagement im Unternehmen betreibt, dem wird die DSFA in weiten Bereichen methodisch bekannt vorkommen. Trotzdem ist die Einführung eines neuen Instruments immer eine Herausforderung. Deshalb ist es umso erfreulicher, dass es zahlreiche Hilfestellungen der Aufsichtsbehörden dafür gibt.

Fragen zur Datenschutz-Grundverordnung

Risiken und Probleme bei der Datenschutzfolgenabschätzung

Für die DSFA gibt es nicht nur „Muss-Listen“

Allgemein gilt, dass „für jede Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, die aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, vorab eine Datenschutz-Folgenabschätzung durchgeführt werden muss“.

Die Aufsichtsbehörden in Deutschland haben bekanntlich eine (nicht abschließende) Liste von Verarbeitungsvorgängen nach Art. 35 DSGVO für Unternehmen (den nicht-öffentlichen Bereich) veröffentlicht, die auch als Muss-Liste bezeichnet wird, da in diesen genannten Fällen eine DSFA durchzuführen ist. Eine entsprechende Liste des Europäischen Datenschutzausschusses (EDPB) befindet sich noch in Arbeit. Trotzdem ist diese Liste der deutschen Aufsichtsbehörden eine wichtige Grundlage für die DSFA.

Eine weitere wichtige Unterstützung liefert ein kostenloses Tool der französischen Datenschutzaufsichtsbehörde, das auch von deutschen Aufsichtsbehörden empfohlen wird.

Kostenloses Tool für die Datenschutz-Folgenabschätzung

Das Tool „Privacy Impact Assessment (PIA)“ der französischen Datenschutzaufsichtsbehörde Commission nationale de l’informatique et des libertés (CNIL) liefert eine Software-Unterstützung, so dass der komplette Zyklus der Erstellung einer DSFA in Software durchgeführt und dokumentiert werden kann, so zum Beispiel der Bayerische Landesbeauftragte für den Datenschutz (BayLfD). Die Software (PIA-Tool) ermöglicht es demnach, eine vollständige DSFA durchzuführen, in der alle nötigen Kriterien enthalten sind. Verschiedene Visualisierungstools bieten die Möglichkeit, bestehende Risiken schnell zu identifizieren. Zu finden ist das kostenlose Tool unter anderem auf GitHub.

Der Weg hin zu einem angemessenen Datenschutz

Damit es einfacher wird, die richtigen Prioritäten und damit einen angemessenen Datenschutz anzuwenden, haben sich die Aufsichtsbehörden auch Gedanken über ein ganzes Vorgehensmodell gemacht, in dem die DSFA eingebunden ist.

So hat die Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen) den Prozess zur Auswahl angemessener Sicherungsmaßnahmen (ZAWAS) entwickelt. Dieser Prozess hilft sowohl bei der Durchführung einer Datenschutz-Folgenabschätzung als auch bei einer normalen Verarbeitungstätigkeit die technisch-organisatorischen Maßnahmen (TOM) systematisch herzuleiten.

ZAWAS beschreibt in acht Schritten eine Abfolge von Tätigkeiten, an deren Ende die Auswahl angemessener TOM steht, so die LfD Niedersachsen. Mit der Veröffentlichung des Prozesses ZAWAS möchte die LfD Niedersachsen eine Lücke in der praktischen Anwendbarkeit der DSGVO schließen, eine willkommene Unterstützung für Unternehmen auf dem Weg hin zu einem angemessenen Datenschutz, der sich an den Risiken im jeweiligen Unternehmen und für die jeweiligen Daten orientiert und nicht etwa an den Schlagzeilen.

(ID:45844742)