DSFA Durchführung

Diese Seite ist derzeit noch ein Entwurf. Weitere Informationen sowie Diskussionen über Änderungen an diesem Entwurf gibt es evtl. auf der Diskussion-Seite.

---

Eine Datenschutz-Folgenabschätzung (DSFA) ist ein zentrales Instrument des Datenschutzes, das Unternehmen und Organisationen dabei unterstützt, die Risiken und Folgen einer geplanten Verarbeitung personenbezogener Daten systematisch abzuschätzen und entsprechende Maßnahmen zu ergreifen. Im Folgenden findest du eine ausführliche Anleitung zur Durchführung einer DSFA, angelehnt an das Vorgehen einer Risikoanalyse nach BSI-Standard 200-3.

Einleitung

Die Datenschutz-Folgenabschätzung (DSFA) ist ein zentrales Instrument des Datenschutzmanagements und hat insbesondere seit der Einführung der DSGVO erheblich an Bedeutung gewonnen. Sie dient dazu, die Risiken und möglichen Auswirkungen einer geplanten Verarbeitung personenbezogener Daten systematisch zu bewerten und Maßnahmen zur Minimierung dieser Risiken zu entwickeln. Im Wesentlichen ist die DSFA eine spezifische Form der Risikoanalyse, die sich auf den Schutz der Rechte und Freiheiten der betroffenen Personen konzentriert.

Ziel dieses Leitfadens ist es, die Durchführung einer DSFA zu vereinfachen, indem auf die bewährte Praxis der Risikoanalyse nach dem BSI-Standard 200-3 zurückgegriffen wird. Der BSI-Standard bietet eine etablierte Methodik zur Identifikation, Bewertung und Behandlung von Risiken im Rahmen des IT-Grundschutzes. Durch die Übertragung dieses Vorgehens auf die Anforderungen einer DSFA wird den Anwendenden des IT-Grundschutzes eine klare und strukturierte Anleitung an die Hand gegeben, die sowohl den gesetzlichen Anforderungen entspricht als auch in der Praxis umsetzbar ist.

Im Folgenden wird Schritt für Schritt erläutert, wie eine DSFA mit Hilfe des BSI-Standards 200-3 durchgeführt werden kann. Der Leitfaden richtet sich daher vor allem an Organisationen, die bereits mit den Prinzipien des IT-Grundschutzes vertraut sind, und zeigt auf, wie diese Prinzipien genutzt werden können, um Datenschutzkonformität zu gewährleisten und gleichzeitig ein hohes Maß an Datensicherheit zu erreichen.

Vorbereitung und Identifizierung der Notwendigkeit einer DSFA

Feststellen der Erforderlichkeit

Überprüfe, ob die geplante Verarbeitung eine hohe Gefahr für die Rechte und Freiheiten natürlicher Personen birgt, insbesondere bei:

• umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. Gesundheitsdaten).
• systematischer Überwachung öffentlich zugänglicher Bereiche.
• umfangreicher Verarbeitung, die eine Bewertung persönlicher Aspekte von Einzelpersonen zur Folge hat (z.B. Profiling).

Überprüfe die Liste der Verarbeitungstätigkeiten, die gemäß den Vorgaben der Datenschutzbehörde grundsätzlich einer DSFA unterliegen.

• Liste von Verarbeitungsvorgängen gemäß Artikel 35 Abs. 4 DSGVO für Verarbeitungstätigkeiten öffentlicher Stellen des Bundes
• Liste von Verarbeitungsvorgängen der DSK für den nicht-öffentlichen Bereich.

Definition des Verarbeitungszwecks und des Umfangs

• Beschreibe klar den Zweck der Datenverarbeitung.
• Identifiziere die betroffenen personenbezogenen Daten, die Datenkategorien und die betroffenen Personengruppen.
• Bestimme die Mittel und Methoden, die für die Verarbeitung verwendet werden.

Schutzbedarfsfeststellung

Führe eine Schutzbedarfsanalyse durch, um den notwendigen Schutz der betroffenen Daten festzustellen. Diese Analyse orientiert sich an der Kritikalität der Daten im Kontext der geplanten Verarbeitung.

Beteiligung relevanter Akteure

Einbindung von Datenschutzbeauftragten (DSB)

Involviere den DSB frühzeitig, um sicherzustellen, dass die DSFA den rechtlichen Anforderungen entspricht.

Beteiligung weiterer Stakeholder

Beteilige relevante Abteilungen (z.B. IT, Compliance, Rechtsabteilung) und externe Dienstleistende, um eine umfassende Sicht auf die Verarbeitungstätigkeit zu erhalten.

Detaillierte Beschreibung der Verarbeitung

Verarbeitungsaktivitäten dokumentieren

Erstelle eine detaillierte Beschreibung der geplanten Verarbeitung, einschließlich:

• Art der Daten (z.B. Name, Adresse, biometrische Daten).
• Verarbeitungsprozesse (z.B. Erhebung, Speicherung, Übermittlung).
• Technologie und Systeme, die verwendet werden (z.B. Datenbanken, Cloud-Dienste).

Zweck und Verhältnismäßigkeit

Erläutere den Zweck der Verarbeitung und prüfe, ob die Verarbeitung in Bezug auf diesen Zweck notwendig und verhältnismäßig ist.

Risikobewertung

Identifizierung potenzieller Risiken

• Analysiere die Gefährdungen für die Rechte und Freiheiten der betroffenen Personen, z.B. Risiken im Zusammenhang mit Datenschutzverletzungen, Datenverlust, unbefugtem Zugriff oder Missbrauch.
• Als Grundlage für die Gefährdungsanalyse kann der zu diesem Zweck erstellte DSFA-Gefährdungskatalog mit typischen Datenschutzgefährdungen verwendet werden. Prüfe jede dieser Gefährdungen ob sie für den Anwendungsfall relevant ist.
• Prüfe, ob weitere spezifische Gefährdungen relevant sein könnten, und ergänze diese.

Wahrscheinlichkeit und Auswirkungen

Bewerte für jede identifizierte relevante Gefährdung:

• Die Wahrscheinlichkeit des Eintretens.
• Die Schwere der potenziellen Auswirkungen auf die betroffenen Personen.

Nutze hierfür die im Anhang verlinkte Gefährdungstabelle und Risikomatrix. Die Tabelle berechnet aus beiden Werten das Risiko.

Maßnahmen zur Risikominderung

Identifikation von Maßnahmen

Bestimme technische und organisatorische Maßnahmen (TOMs), die dazu beitragen, die identifizierten Risiken zu minimieren.

Auch hier kann auf eine vorbereitete Liste von TOMs zurückgegriffen werden, die im weiteren Verlauf auf die Maßnahmen der ISO 27001 bzw. des BSI IT-Grundschutz abgebildet werden.

Prüfe, ob ggf. weitere spezifische Maßnahmen zur Reduzierung höherer Risiken ergriffen werden müssen und dokumentiere diese.

Bewertung der Wirksamkeit der Maßnahmen

Beurteile, inwiefern die vorgeschlagenen Maßnahmen die Risiken reduzieren und ob sie ausreichend sind, um ein akzeptables Sicherheitsniveau zu gewährleisten.

Dokumentation und Berichterstattung

Erstellung eines DSFA-Berichts

Dokumentiere den gesamten Prozess der DSFA, einschließlich:

• Beschreibung der Verarbeitungstätigkeit.
• Bewertung der Notwendigkeit und Verhältnismäßigkeit.
• Identifizierte Risiken und deren Bewertung.
• Getroffene Maßnahmen zur Risikominderung.

Stelle sicher, dass der Bericht verständlich und nachvollziehbar ist.

Einbindung der Aufsichtsbehörde (falls erforderlich)

Konsultiere die Datenschutzaufsichtsbehörde, wenn trotz der Maßnahmen ein hohes Restrisiko verbleibt, bevor du mit der Verarbeitung beginnst.

Implementierung und Überwachung

Umsetzung der Maßnahmen

Implementiere die identifizierten Maßnahmen in den laufenden Betrieb und überwache deren Wirksamkeit kontinuierlich.

Kontinuierliche Überprüfung und Aktualisierung

Überprüfe die DSFA regelmäßig (jährlich), insbesondere bei Änderungen in der Verarbeitungstätigkeit oder bei neuen Risiken, und passe die Maßnahmen entsprechend an.

Kommunikation und Sensibilisierung

Schulung und Sensibilisierung

Informiere und schule die Mitarbeitenden, die mit der Datenverarbeitung betraut sind, über die Ergebnisse der DSFA und die notwendigen Maßnahmen zur Risikominderung.

Transparenz gegenüber Betroffenen

Stelle sicher, dass die betroffenen Personen über ihre Rechte und die getroffenen Maßnahmen zum Schutz ihrer Daten informiert werden.

Abschluss und kontinuierliche Verbesserung

Abschlussdokumentation

Behalte die DSFA-Dokumentation als Teil der allgemeinen Datenschutzdokumentation und überarbeite sie, wenn sich Änderungen in der Verarbeitung oder im Risikoprofil ergeben.

Lernende Organisation

Nutze die Erfahrungen aus der DSFA für zukünftige Datenschutzprojekte und verbessere kontinuierlich die Prozesse zur Durchführung von Datenschutz-Folgenabschätzungen.

Die sorgfältige Durchführung einer DSFA trägt wesentlich dazu bei, die Datenschutzkonformität einer Organisation sicherzustellen und das Vertrauen von Kunden, Mitarbeitenden und Geschäftspartnern zu stärken.