TL;DR
Eine DSFA ist vor Beginn der Verarbeitung Pflicht, wenn ein hohes Risiko wahrscheinlich ist. Die Liste der polnischen Behörde (M.P. 2019 Pos. 666) nennt zwölf Kategorien von Vorgängen. WP248 nennt neun Kriterien: werden zwei erfüllt, ist die Abschätzung in der Regel geschuldet. Bleibt das Risiko hoch, verlangt Art. 36 die Konsultation der Behörde vor dem Start.
Der häufigste Fehler betrifft nicht den Inhalt, sondern den Zeitpunkt
Art. 35 Abs. 1 lässt keinen Spielraum: die Abschätzung erfolgt VORAB. In der Praxis entsteht die DSFA meist dann, wenn das System bereits läuft und jemand — ein Mandant, ein Prüfer, die Behörde — danach fragt. Ein nachträglich verfasstes Dokument kann inhaltlich richtig sein und die Pflicht dennoch nicht erfüllen, denn die Abschätzung soll die Entscheidung über das Ob tragen, nicht das bereits Geschehene rechtfertigen. Der Unterschied steht im Datum des Dokuments, und keine spätere Überarbeitung behebt ihn.
Behördenliste und WP248-Kriterien sind zwei verschiedene Werkzeuge
Die Mitteilung des Präsidenten der polnischen Datenschutzbehörde vom 17. Juni 2019, veröffentlicht im Monitor Polski (M.P. 2019 Pos. 666), enthält eine Liste von zwölf Kategorien von Verarbeitungsvorgängen, die eine Abschätzung erfordern, mit Beispielen. Sie ist nicht der einzige Bezugspunkt: daneben stehen die Leitlinien der Art.-29-Gruppe (WP248 rev.01), von der EDSA übernommen, mit neun Kriterien — Bewertung oder Scoring, automatisierte Entscheidungen mit Rechtswirkung, systematische Überwachung, besondere Datenkategorien, Verarbeitung in großem Umfang, Abgleich oder Zusammenführung von Datensätzen, schutzbedürftige betroffene Personen, innovativer Technologieeinsatz, Verhinderung der Ausübung eines Rechts oder der Nutzung eines Dienstes. Werden zwei davon erfüllt, ist eine DSFA in der Regel geschuldet.
- Die Behördenliste wirkt nur in eine Richtung: steht der Vorgang darauf, ist die DSFA Pflicht. Steht er nicht darauf, heißt das nicht, dass sie entfällt.
- Art. 35 Abs. 7 legt den Mindestinhalt fest: systematische Beschreibung der Vorgänge und Zwecke, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken für Rechte und Freiheiten, geplante Abhilfemaßnahmen.
- Art. 35 Abs. 9: der Verantwortliche holt den Standpunkt der betroffenen Personen oder ihrer Vertreter ein, sofern das nicht unmöglich ist oder Geschäftsinteressen beeinträchtigt. Das Ausbleiben ist zu begründen, nicht zu verschweigen.
- Art. 36: bleibt das Risiko trotz Maßnahmen hoch, ist die Behörde vor Beginn zu konsultieren. Die Antwortfrist beträgt acht Wochen, verlängerbar um sechs.
Ein Muster ist ein Ausgangspunkt, kein fertiges Dokument
Ein DSFA-Muster beschreibt eine Struktur, nicht Ihre Verarbeitung. Eine Abschätzung, die niemand an die konkreten Datenkategorien, den Umfang und die Technologie angepasst hat, erkennt man auf den ersten Blick und sie trägt in keinem Streit: sie enthält nichts, was sich nicht auch ohne Kenntnis der Organisation hätte schreiben lassen. Ein Muster spart eine Stunde Formatierung, nicht die Analyse.
Ebenso gilt Art. 35 Abs. 11: die Abschätzung ist zu überprüfen, wenn sich das Risiko ändert. Ein Anbieterwechsel, ein neues Modul, eine Übermittlung außerhalb des EWR können eine zwei Jahre alte DSFA entwerten. Sie ist kein Archivdokument, sondern das lebende Protokoll einer Entscheidung.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
