Die Datenschutz-Folgenabschätzung ist das DSGVO-Dokument, das ein Softwareunternehmen zuletzt schreibt und zuerst schreiben sollte: sie ist vor Beginn der Verarbeitung fällig, sie ist der Ort, an dem die riskanteste Funktion des Produkts in den eigenen Begriffen der Verordnung beschrieben wird, und sie ist das, was die Aufsichtsbehörde liest, wenn eine Beschwerde diese Funktion nennt. Dieser Artikel liest Artikel 35 Punkt für Punkt für ein Unternehmen, das Software baut, und gibt Ihnen die Seite, die entscheidet, ob eine fällig ist, und sie schreibt.

Wann eine fällig ist: Artikel 35 Absatz 1 und die drei benannten Fälle

Artikel 35 Absatz 1 verlangt eine Abschätzung, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Artikel 35 Absatz 3 nennt dann drei Fälle, in denen sie in jedem Fall erforderlich ist: (a) eine systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung, einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung dient; (b) die umfangreiche Verarbeitung der besonderen Kategorien nach Artikel 9 Absatz 1 oder von Daten über Straftaten nach Artikel 10; (c) die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Für ein Softwareunternehmen ist der erste Fall der, der Produktfunktionen erfasst: ein Bewerber-Ranking, ein Kredit- oder Betrugs-Score, eine automatisierte Berechtigungsprüfung, eine Inhalts- oder Kontoentscheidung durch ein Modell. Das ist eine systematische und umfassende Bewertung, ob jemand sie Profiling nennt oder nicht, und sie schaltet die Abschätzung ein. Der zweite Fall erfasst Gesundheits-, biometrische und ähnliche Daten in großem Umfang, der dritte öffentliche Video- und Sensoranalytik.

Die neun Kriterien hinter „voraussichtlich hohes Risiko“

Außerhalb der drei Fälle wird „voraussichtlich ein hohes Risiko“ mit den Leitlinien gelesen, die die Artikel-29-Datenschutzgruppe angenommen und der Europäische Datenschutzausschuss übernommen hat, und die neun Kriterien nennen: Bewertung oder Scoring; automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlicher Wirkung; systematische Überwachung; sensible Daten oder Daten höchst persönlicher Natur; Datenverarbeitung in großem Umfang; Abgleich oder Zusammenführung von Datensätzen; Daten schutzbedürftiger Personen; innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen; und Verarbeitung, die betroffene Personen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung oder eines Vertrags hindert. Die Faustregel der Leitlinien lautet, dass eine Verarbeitung, die zwei der Kriterien erfüllt, in den meisten Fällen eine Abschätzung verlangt, und dass ein Kriterium genügen kann.

Artikel 35 Absatz 4 verlangt von jeder Aufsichtsbehörde, eine Liste der Verarbeitungsarten zu veröffentlichen, für die eine Abschätzung durchzuführen ist, und Artikel 35 Absatz 5 erlaubt ihr eine Liste der Arten, für die keine erforderlich ist; die Listen unterscheiden sich je Mitgliedstaat, und die Ihrer federführenden Behörde ist die, die zu lesen ist. Produktanalytik, die Nutzungsdaten mit Kontodaten zusammenführt, eine KI-Funktion auf Kundeninhalten und jedes Tracking von Nutzern über Dienste hinweg erfüllen mehrere der neun, und ein Unternehmen, das diese Funktionen ausliefert, ist meist in der Abschätzung, bevor es die benannten Fälle erreicht.

Die vier Elemente: Artikel 35 Absatz 7

Die Abschätzung enthält zumindest: (a) eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der vom Verantwortlichen verfolgten berechtigten Interessen; (b) eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck; (c) eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen; (d) die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis der Einhaltung erbracht wird, unter Berücksichtigung der Rechte und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener.

Zwei weitere Absätze formen das Dokument. Artikel 35 Absatz 2 verlangt vom Verantwortlichen, den Rat des Datenschutzbeauftragten einzuholen, wo einer benannt ist, und Artikel 35 Absatz 9 verlangt, gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter zur beabsichtigten Verarbeitung einzuholen. Artikel 35 Absatz 8 lässt die Einhaltung genehmigter Verhaltensregeln in die Abschätzung einfließen. Element (d) ist der Ort, an dem die Abschätzung auf das Sicherheitsprogramm trifft: die Maßnahmen sind die ISO-27001-Maßnahmen und die ISO-27701-Datenschutzmaßnahmen, die das Unternehmen bereits betreibt, je Risiko benannt statt allgemein, und die Seite, die die Abschätzung schreibt, beschriftet jedes Element mit dem Punkt von Artikel 35 Absatz 7, den es beantwortet.

Vorherige Konsultation: Artikel 36

Geht aus der Abschätzung hervor, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft, verlangt Artikel 36 Absatz 1, dass der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde konsultiert. Artikel 36 Absatz 2 gibt der Behörde acht Wochen für ein schriftliches Empfehlungsschreiben, verlängerbar um sechs Wochen unter Berücksichtigung der Komplexität der Verarbeitung, und erlaubt ihr, jede ihrer Befugnisse nach Artikel 58 zu nutzen. Artikel 36 Absatz 3 zählt auf, was die Konsultation liefert: die Zuständigkeiten des Verantwortlichen, der gemeinsam Verantwortlichen und der Auftragsverarbeiter, die Zwecke und Mittel, die Maßnahmen und Garantien, die Kontaktdaten des Beauftragten, die Abschätzung selbst, und alles Weitere, was die Behörde anfordert. In der Praxis ist die Konsultation selten, weil Element (d) so geschrieben wird, dass das Restrisiko sinkt; die Seite stellt die Frage nach dem Restrisiko zuletzt und schreibt den Absatz zu Artikel 36 nur, wenn die Antwort lautet, dass ein hohes Risiko bleibt.

Die Überprüfung, und das Bußgeld

Artikel 35 Absatz 11 verlangt vom Verantwortlichen, die Abschätzung erforderlichenfalls zu überprüfen, zumindest wenn sich das mit den Verarbeitungsvorgängen verbundene Risiko ändert; ein neues Modell, eine neue Datenquelle oder ein neuer Zweck ist eine solche Änderung. Artikel 83 Absatz 4 Buchstabe a setzt die Obergrenze für einen Verstoß gegen die Artikel 35 und 36 auf EUR 10 Millionen oder 2 % des weltweiten Jahresumsatzes, und die Entscheidungen der Behörden zur Abschätzung drehen sich um zwei Feststellungen: ob eine vor Beginn der Verarbeitung existierte und ob ihr Element (d) Maßnahmen nannte, die dann tatsächlich betrieben wurden.

Sie schreiben

Die Seite zur Folgenabschätzung stellt die drei Fragen von Artikel 35 Absatz 3 in den eigenen Worten der Verordnung, dann die Frage nach Artikel 35 Absatz 1, wo keiner der Fälle vorliegt, schreibt die Lesart mit der Vorschrift dahinter und nimmt die vier Elemente als Eingaben entgegen, beschriftet mit dem Punkt selbst; die Frage nach dem Restrisiko entscheidet, ob der Absatz zu Artikel 36 hinzukommt. Das Ergebnis ist die Abschätzung als Dokument zum Kopieren oder Herunterladen, eine je Verarbeitungstätigkeit, geführt neben dem Verzeichnis der Verarbeitungstätigkeiten, das die Tätigkeit beschreibt; die Bestimmung der Pflichten übergibt ihre drei Antworten, damit die Fragen einmal gestellt werden.