45 DSGVO-Wischiwaschi: Die Datenschutz-Folgenabschätzung

Die DSFA im Datenschutz ist funktional äquivalent zu einer FMEA im QM. Es geht darum, wegen des prinzipiell hohen Risikos der Verarbeitung die Risiken systematischer zu erfassen und zu behandeln, als das sonst üblich ist, um sich nicht auf Instinkt, Tagesform, Abschätzungen und Augenzwinkern verlassen zu müssen. Damit muss sie VOR der Implementierung ergriffen und auch danach weitergeführt werden. Sie ist ein iterativer Prozess, der eigentlich auch aktuell gehalten werden muss. Der Sinn ist nicht nur, Maßnahmen zu finden, die das Risiko auf ein akzeptables Niveau senken. Der primäre Sinn ist, sich die verschiedenen Risikoszenarien erstmal bewusst zu machen und zu prüfen, wo diese noch relevant sein könnten und ob und wenn ja welche Maßnahmen notwendig sind. Wenn man dann feststellt, dass man bereits standardmäßig alle notwendigen Maßnahmen ergreift, um so besser (ist aber ganz ehrlich unrealistisch). Es gibt da rein logisch auch kein „ich brauche keine DSFA“, wenn die Verarbeitung an sich eine Hochrisikoverarbeitung ist. Das wäre wie beim Bau eines Autos keine FMEA zu machen, mit dem Resultat, dass die Leute reihenweise aufgrund versagender Bremsen gegen nen Baum fahren, weil man halt aufgrund unsystematischer Betrachtungsweise doch etwas vergessen hat. Man kann auch gar nicht wissen, ob man alles richtig macht, wenn man keine DSFA (also systematische Erfassung der Risiken und ihrer potenziellen Folgen) gemacht hat. Dass man dann in diesem iterativen Prozess Maßnahmen festlegt, um das Risiko runterzubringen auf ein akzeptables Niveau ist vor allen Dingen eine Frage der Rechtmäßigkeit der Verarbeitung. Ich könnte genauso gut auch an jeder Stelle abbrechen und sagen „Ach ne, ich lass das bleiben!“ und hätte trotzdem eine ordentliche DSFA gemacht.

Was ich in der Praxis sehe in Sachen DSFA ist aber häufig purer sinnloser Dilettantismus ohne praktische Relevanz. Praktisch ist eine DSFA tatsächlich nur dann nützlich, wenn sowohl DSB als auch Geschäftsführung ihre Datenschutzverpflichtungen ernst nehmen. Aber da greift dann, dass man eben auch an dieser Stelle nur Berater ist und unterstützt. Die Ernsthaftigkeit kann man den Leuten als DSB nicht verbindlich vorschreiben. Aber ganz ehrlich, wenn ich Aufsichtsbehörde wäre, und jemand würde mir die DSFA’s vorlegen, die ich in der Praxis so zu sehen bekomme, würde ich die wohl in der Luft zerreißen.

Eine enge Auslegung der Vorschrift, unter Berücksichtigung vom Wortlaut der Präposition „bei“, lässt den Schluss zu, dass lediglich die Verarbeitung und Nutzung von Daten in der tatsächlich vorgenommenen Art und Weise in Betracht kommt. Demnach können mögliche Risikoabwägungen auch nur anhand der tatsächlichen vorgenommenen Verarbeitung der personenbezogenen Daten getroffen werden. Eine hypothetische Verarbeitung folgt demnach nicht dem Sinn und Zweck der Vorschrift. Ich erkenne hier ebenfalls einen Zirkelschluss, welcher im Podcast treffend beschrieben wurde.