Bessere Priorisierung im Datenschutz

Tools zur Datenschutz-Folgen­abschätzung nach DSGVO

| Autor / Redakteur: Oliver Schonschek / Peter Schmitz

Nach einem harten Brexit müssen deutsche Unternehmen gewährleisten, dass die notwendigen Sicherheiten nach DSGVO für eine Datenübermittlung in ein Drittland gegeben sind.
Nach einem harten Brexit müssen deutsche Unternehmen gewährleisten, dass die notwendigen Sicherheiten nach DSGVO für eine Datenübermittlung in ein Drittland gegeben sind. (Bild: gemeinfrei)

Die Zahl der Baustellen im Datenschutz wird nicht weniger, scheint es. Die Datenschutz­folgen eines harten Brexit sind nur ein Beispiel. Umso wichtiger ist es, die richtigen Prioritäten im Datenschutz zu setzen. Das beste Instrument dafür ist die Datenschutz-Folgen­abschätzung, für die es ein auch kostenloses Tool und zahlreiche Hilfestellungen gibt.

Über die möglichen Folgen eines „No-Deal-Brexits“ wurde in den Medien viel berichtet, doch nicht nur der Whisky aus Schottland könnte teurer werden, wie manche Schlagzeile warnte. Auch für den Datenschutz würde dies deutliche Konsequenzen haben, denn Großbritannien würde dann nach DSGVO „über Nacht“ zum Drittland. Die Datenübermittlung in ein Drittland beschäftigte viele Unternehmen bisher hauptsächlich wegen USA, doch mit den USA gibt es Privacy Shield. Bei einem ungeregelten Austritt von UK gibt es eine solche Vereinbarung dagegen nicht. Unternehmen müssten dann anderweitig gewährleisten, dass die notwendigen Sicherheiten nach DSGVO für eine Datenübermittlung in ein Drittland gewährleistet sind, andernfalls läge eine Datenschutzverletzung vor.

Doch der harte Brexit kann Unternehmen kalt lassen, wenn sie keine Datenübermittlung nach Großbritannien planen oder bereits durchführen. Für diese Unternehmen hat das Thema Brexit und Datenschutz keine Relevanz. Was in diesem Bereich offensichtlich ist, wird in anderen Themenfeldern leicht vergessen: Der Datenschutz muss angemessen und verhältnismäßig sein, es kommt auf die möglichen Datenrisiken an. Nicht jede Baustelle im Datenschutz muss angegangen oder zumindest sofort angegangen werden.

Was Brexit und Privacy Shield gemeinsam haben

Datenübermittlung in die Cloud

Was Brexit und Privacy Shield gemeinsam haben

18.10.16 - Die Übermittlung personenbezogener Daten in Drittstaaten darf nur unter definierten Voraussetzungen erfolgen. Was mit Privacy Shield versucht wird, ist eine spezielle Lösung für die USA. Letztlich müssen aber alle Datenübermittlungen ins Nicht-EU-Ausland geregelt werden. lesen

DSFA wird als Instrument unterschätzt

Zu den Grundsätzen für die Verarbeitung personenbezogener Daten nach DSGVO gehört es, dass die personenbezogenen Daten in einer Weise verarbeitet werden müssen, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, dabei sollte die Betonung auf der Angemessenheit liegen. Weder ein zu geringer Schutz noch ein übertriebener Schutz soll es sein.

Viele Datenschutzexperten raten deshalb dazu, das Instrument der Datenschutz-Folgenabschätzung (DSFA) als willkommene Hilfe im Datenschutz anzusehen, nicht als lästige und aufwändige Vorgabe nach Artikel 35 der Datenschutz-Grundverordnung.

Die DSFA ist eine spezielle Risikoanalyse, Risikobewertung und Definition von Maßnahmen zur Minderung der Risiken. Wer bereits ein Risikomanagement im Unternehmen betreibt, dem wird die DSFA in weiten Bereichen methodisch bekannt vorkommen. Trotzdem ist die Einführung eines neuen Instruments immer eine Herausforderung. Deshalb ist es umso erfreulicher, dass es zahlreiche Hilfestellungen der Aufsichtsbehörden dafür gibt.

Risiken und Probleme bei der Datenschutzfolgenabschätzung

Fragen zur Datenschutz-Grundverordnung

Risiken und Probleme bei der Datenschutzfolgenabschätzung

23.04.18 - Die Datenschutz-Grundverordnung (DSGVO) fordert generell einen risikobasierten Ansatz bei der Wahl der Schutzmaßnahmen. In bestimmten Fällen muss zudem eine Datenschutzfolgenabschätzung durchgeführt werden. Ohne Vorbereitung werden Unternehmen dazu aber nicht in der Lage sein, ein ganzer Prozess muss geplant und aufgesetzt werden. lesen

Für die DSFA gibt es nicht nur „Muss-Listen“

Allgemein gilt, dass „für jede Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, die aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, vorab eine Datenschutz-Folgenabschätzung durchgeführt werden muss“.

Die Aufsichtsbehörden in Deutschland haben bekanntlich eine (nicht abschließende) Liste von Verarbeitungsvorgängen nach Art. 35 DSGVO für Unternehmen (den nicht-öffentlichen Bereich) veröffentlicht, die auch als Muss-Liste bezeichnet wird, da in diesen genannten Fällen eine DSFA durchzuführen ist. Eine entsprechende Liste des Europäischen Datenschutzausschusses (EDPB) befindet sich noch in Arbeit. Trotzdem ist diese Liste der deutschen Aufsichtsbehörden eine wichtige Grundlage für die DSFA.

Eine weitere wichtige Unterstützung liefert ein kostenloses Tool der französischen Datenschutzaufsichtsbehörde, das auch von deutschen Aufsichtsbehörden empfohlen wird.

Kostenloses Tool für die Datenschutz-Folgenabschätzung

Das Tool „Privacy Impact Assessment (PIA)“ der französischen Datenschutzaufsichtsbehörde Commission nationale de l’informatique et des libertés (CNIL) liefert eine Software-Unterstützung, so dass der komplette Zyklus der Erstellung einer DSFA in Software durchgeführt und dokumentiert werden kann, so zum Beispiel der Bayerische Landesbeauftragte für den Datenschutz (BayLfD). Die Software (PIA-Tool) ermöglicht es demnach, eine vollständige DSFA durchzuführen, in der alle nötigen Kriterien enthalten sind. Verschiedene Visualisierungstools bieten die Möglichkeit, bestehende Risiken schnell zu identifizieren. Zu finden ist das kostenlose Tool unter anderem auf GitHub.

Der Weg hin zu einem angemessenen Datenschutz

Damit es einfacher wird, die richtigen Prioritäten und damit einen angemessenen Datenschutz anzuwenden, haben sich die Aufsichtsbehörden auch Gedanken über ein ganzes Vorgehensmodell gemacht, in dem die DSFA eingebunden ist.

So hat die Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen) den Prozess zur Auswahl angemessener Sicherungsmaßnahmen (ZAWAS) entwickelt. Dieser Prozess hilft sowohl bei der Durchführung einer Datenschutz-Folgenabschätzung als auch bei einer normalen Verarbeitungstätigkeit die technisch-organisatorischen Maßnahmen (TOM) systematisch herzuleiten.

ZAWAS beschreibt in acht Schritten eine Abfolge von Tätigkeiten, an deren Ende die Auswahl angemessener TOM steht, so die LfD Niedersachsen. Mit der Veröffentlichung des Prozesses ZAWAS möchte die LfD Niedersachsen eine Lücke in der praktischen Anwendbarkeit der DSGVO schließen, eine willkommene Unterstützung für Unternehmen auf dem Weg hin zu einem angemessenen Datenschutz, der sich an den Risiken im jeweiligen Unternehmen und für die jeweiligen Daten orientiert und nicht etwa an den Schlagzeilen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 45844742 / Compliance und Datenschutz )