Wie führt man eine Datenschutz-Folgenabschätzung (DSFA) durch?

Einführung

Die Datenschutz-Folgenabschätzung (DSFA) ist Bestandteil der EU-Datenschutz-Grundverordnung (DSGVO). 

Für diejenigen, die damit noch nicht vertraut sind: Die DSGVO ist das neue EU-Gesetz, das geschaffen wurde, um alle Datenschutzgesetze in der Europäischen Union zu vereinheitlichen. 

Gemäß der GDPR-Zertifizierung ist die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) nun für jedes Cloud-Hosting-Unternehmen obligatorisch, das ein neues Projekt startet, bei dem personenbezogene Daten von Kunden verarbeitet werden.

Die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) ist eine der besten Möglichkeiten, den zuständigen Behörden Ihre Einhaltung der DSGVO nachzuweisen, wenn Ihr Unternehmen personenbezogene Daten von Kunden verarbeitet. 

Wenn Sie sich allerdings nicht sicher sind, was ein DPIA-Prozess beinhaltet oder wie man eine Datenschutz-Folgenabschätzung gemäß DSGVO durchführt, sind Sie hier genau richtig. 

Dieser Artikel erklärt Ihnen alles Wissenswerte zur Datenschutz-Folgenabschätzung (DSFA) und beschreibt den 5-stufigen Prozess, den Sie befolgen müssen, um eine DSFA für Ihr Cloud-basiertes Unternehmen durchzuführen. 

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Die Datenschutz-Folgenabschätzung (DSFA) dient dazu, Risiken zu identifizieren, die bei der Erhebung, Speicherung, Nutzung oder Verarbeitung personenbezogener Daten entstehen können . Hauptziel der DSFA ist es, Datenschutzrisiken in neuen Projekten Ihres Cloud-Unternehmens zu ermitteln, zu analysieren und zu minimieren.

Die Durchführung von Datenschutz-Folgenabschätzungen ist in verschiedenen Situationen verpflichtend geworden. Beispielsweise ist eine Datenschutz-Folgenabschätzung obligatorisch, wenn Ihr Unternehmen plant, Profiling-Aktivitäten mithilfe personenbezogener Daten durchzuführen.

Es gibt viele weitere Fälle, in denen eine Datenschutz-Folgenabschätzung (DSFA) verpflichtend ist, die wir später noch besprechen werden. Zunächst möchten wir uns jedoch genauer mit dem Thema Datenschutz-Folgenabschätzung gemäß DSGVO befassen.

Anforderungen an die Datenschutz-Folgenabschätzung gemäß DSGVO

Die Datenschutz-Folgenabschätzung ist eine neue Vorgabe der DSGVO. Sie ist nun offizieller Bestandteil des in Artikel 35 der DSGVO aktualisierten Grundsatzes „Datenschutz durch Technikgestaltung“. 

Nach dem neuen Gesetz müssen Sie, wenn Ihr Cloud-Hosting-Unternehmen personenbezogene Daten verarbeitet, die ein hohes Risiko für die Freiheit und die Rechte des Durchschnittsbürgers darstellen könnten, vor der Verarbeitung der Daten Ihrer Kunden eine Datenschutz-Folgenabschätzung durchführen.

Eine Datenschutz-Folgenabschätzung (DSFA) wird typischerweise im Rahmen einer umfassenderen Datenschutzstrategie und nicht als einmalige Compliance-Prüfung in Auftrag gegeben, da die gleichen Datenflüsse, Verantwortlichen und Schutzmaßnahmen, die sie identifiziert, direkt in das laufende Register der Risiken und Kontrollen der Strategie einfließen.

Hier einige Beispiele für Situationen, in denen die Durchführung einer Datenschutz-Folgenabschätzung für Ihr Cloud-Unternehmen verpflichtend wird:

• Bei der Verwendung neuer Technologien
• Wenn das Verhalten oder der Standort von Nutzern verfolgt wird
• Bei der umfassenden Überwachung eines öffentlich zugänglichen Ortes 
• Bei der Verarbeitung von Kinderdaten
• Bei der Verarbeitung personenbezogener Daten über ethnische Herkunft, politische Meinungen, religiöse und weltanschauliche Überzeugungen, genetische Daten, biometrische Daten und Daten über die Gesundheit oder sexuelle Orientierung einer Person
• Bei der Verarbeitung personenbezogener Daten zur automatisierten Entscheidungsfindung über Kunden, die letztendlich rechtliche Konsequenzen haben kann.

Auch wenn das neue Projekt Ihres Unternehmens nicht den Standards für hohe Risiken entspricht, empfehlen wir dennoch die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) aus zwei Gründen. 

1) Die Durchführung einer Datenschutz-Folgenabschätzung hilft Ihnen, etwaige Haftungsrisiken im Zusammenhang mit dem Datenschutz aufzudecken und zu beseitigen. 

2) Es zeigt, dass Ihr Unternehmen die branchenweit besten Praktiken zum Schutz personenbezogener Daten anwendet. Dies stärkt das Vertrauen Ihrer Kunden und kann es auch den zuständigen Behörden nachweisen. 

Und falls Sie sich noch nicht sicher sind, wie Sie eine Datenschutz-Folgenabschätzung durchführen sollen, keine Sorge, wir haben bereits alles für Sie vorbereitet. 

Nachfolgend finden Sie eine 5-stufige Vorgehensweise, mit der Sie eine Folgenabschätzung zum Datenschutz für das neue Projekt Ihres Cloud-basierten Unternehmens durchführen können.

Leitlinien zur Datenschutz-Folgenabschätzung

Obwohl es kein vorgeschriebenes Verfahren zur Durchführung einer Datenschutz-Folgenabschätzung gibt, legt Artikel 35 der DSGVO die folgenden vier Mindestanforderungen fest:

• Eine Beschreibung der geplanten Verarbeitungsvorgänge und ihres Zwecks
• Eine Erklärung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung
• Eine Bewertung der Risiken hinsichtlich der Rechte und Freiheiten von Einzelpersonen
• Das System wurde eingerichtet, um die Risiken zu minimieren und die Einhaltung der DSGVO nachzuweisen.

Durch diesen breiten und generischen Charakter bietet Ihnen der DPIA-Rahmen volle Flexibilität und Skalierbarkeit, um eine DPIA zu entwerfen, die perfekt auf die Bedürfnisse Ihres Cloud-basierten Unternehmens zugeschnitten ist.

Vor diesem Hintergrund sind folgende Schritte notwendig, um eine gründliche Folgenabschätzung zum Datenschutz durchzuführen.

Schritt 1 – Wann könnte eine Datenschutz-Folgenabschätzung durchgeführt werden?

Bevor Sie den Prozess zur Datenschutz-Folgenabschätzung (DSFA) konzipieren, müssen Sie zunächst prüfen, ob eine DSFA überhaupt notwendig ist. Um festzustellen, ob eine DSFA erforderlich ist, müssen Sie lediglich die folgenden Aspekte des neuen Projekts Ihres Cloud-Unternehmens überprüfen:

• Natur – Was planen Sie mit den Daten Ihrer Kunden zu tun?
• Umfang – Welche personenbezogenen Daten werden verarbeitet?
• Kontext – Interne und/oder externe Faktoren, die die Erwartungen beeinflussen könnten
• Zweck – Warum muss Ihr neues Projekt die Daten Ihrer Kunden verarbeiten?

Schritt 2 – Festlegen, wer beteiligt werden soll

Verschiedene Personen müssen in die Durchführung einer Datenschutz-Folgenabschätzung einbezogen werden. 

Zunächst müssen Sie eine verantwortliche Person benennen, die die erfolgreiche Entwicklung Ihres neuen Projekts überwacht und sicherstellt.

Zweitens muss es auch einen Datenschutzbeauftragten (DSB) geben, der in die Durchführung der Datenschutz-Folgenabschätzung einbezogen werden muss. 

Und falls Sie DSGVO-Datenverarbeiter wie juristische Personen, Agenturen, Behörden oder ähnliche Stellen, die personenbezogene Daten verarbeiten, einsetzen, müssen Sie diese auffordern, die erforderlichen relevanten Informationen und Unterstützung bereitzustellen.

Schließlich sollten Sie auch die Beratung durch externe Datenschutzexperten wie Anwälte, Sicherheitsanalysten und Sicherheitsfachleute in Erwägung ziehen. 

Schritt 3 – Bewerten Sie Ihre Datenschutz und damit verbundene Risiken

Erstellen Sie zunächst eine Liste all Ihrer Assets und prüfen Sie diese auf etwaige Schwachstellen. Wenn Sie beispielsweise Kundendaten auf einem Server speichern, suchen Sie nach damit verbundenen Risiken wie potenziellen Sicherheitslücken, Cyberangriffen, Hardwareausfällen usw.

Um alle damit verbundenen Risiken zu ermitteln, führen Sie eine Risikoanalyse unter Berücksichtigung der folgenden Kriterien durch:

• Personenbezogene Daten, deren Offenlegung oder Verlust den Geschäftsbetrieb beeinträchtigen kann
• Prozesse, die diese personenbezogenen Daten verwenden
• Mögliche Bedrohungen, die die ordnungsgemäße Funktionsfähigkeit Ihres Unternehmens beeinträchtigen könnten.
• Die Wahrscheinlichkeit und Schwere aller entdeckten Bedrohungen

Schritt 4 – Datenschutzprozesse und -tools entwickeln und festlegen

Der nächste Schritt besteht darin, geeignete Datenschutzprozesse zu entwickeln und die Instrumente zur Durchführung relevanter Risikominderungsmaßnahmen zu bestimmen.

Darüber hinaus müssen Sie alle ermittelten Risiken mit den jeweiligen Lösungsansätzen zur Risikominderung in einem detaillierten Prozess dokumentieren.

Schritt 5 – Erstellen Sie einen abschließenden Datenschutz-Folgenabschätzungsbericht

Obwohl die Erstellung von Datenschutz-Folgenabschätzungsberichten (DSFA) rechtlich nicht vorgeschrieben ist, gilt es als bewährte Praxis, DSFA-Berichte ganz oder teilweise zu erstellen und zu veröffentlichen. 

Ein Datenschutz-Folgenabschätzungsbericht (DPIA) trägt dazu bei, Vertrauen bei potenziellen Kunden aufzubauen. Noch wichtiger ist, dass er dazu beiträgt, Rechenschaftspflicht und Transparenz gegenüber den zuständigen Behörden und Interessengruppen nachzuweisen.

Wenn Sie also zum ersten Mal einen Datenschutz-Folgenabschätzungsbericht erstellen, sollten Sie unbedingt die vier Mindestanforderungen erwähnen und hervorheben, die wir bereits genannt haben. Wir haben sie hier noch einmal aufgelistet 🙂

• Eine umfassende Erläuterung Ihres neuen Projekts und seines Zwecks
• Beurteilung des Umfangs und der Notwendigkeit der Verarbeitung personenbezogener Daten
• Bewertung der Risiken im Zusammenhang mit dem Schutz personenbezogener Daten und der Privatsphäre
• Erläuterung, wie Sie die festgestellten Risiken minimieren werden, um die Anforderungen der DSGVO zu erfüllen.

Zu guter Letzt sollten Sie unbedingt die Zustimmung aller Beteiligten einholen, einschließlich des Datenschutzbeauftragten, der Stakeholder, der Vorstandsmitglieder und der Mitglieder der obersten Führungsebene.

Fazit

Die Datenschutz-Folgenabschätzung (DSFA) ist ein äußerst komplexer und mitunter verwirrender Prozess. Sie ist jedoch verpflichtend, wenn Ihr Cloud-Unternehmen personenbezogene Daten Ihrer Kunden verarbeitet. Sprinto, eine automatisierte Compliance-Plattform, unterstützt Sie dabei, Ihre DSGVO-Konformität durch die Durchführung einer DSFA für Ihr Cloud-Unternehmen nachzuweisen.

Unsere Plattform automatisiert den gesamten Prozess der Datenschutz-Folgenabschätzung (DSFA) für Ihr Unternehmen und spart Ihnen so wertvolle Zeit und Mühe. Erfahren Sie in unserer Demo mehr darüber, wie Sprinto Sie bei Ihrer DSFA unterstützen kann.

Häufig gestellte Fragen