Skip to main content

Datenschutz-Folgenabschätzungen für die betriebliche und behördliche Praxis

Im Projekt  “Datenschutz-Folgenabschätzungen für die betriebliche und behördliche Praxis” (DSFA) wird ein Konzept zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA) validiert. Die neue europäische Datenschutz-Grundverordnung (DS-GVO), die ab Mai 2018 angewendet wird, sieht für bestimmte Anwendungen die Durchführung einer DSFA obligatorisch vor. Aufgabe einer DSFA muss es sein, Kriterien des Grundrechtsschutzes zu definieren, die Folgen von Datenverarbeitungspraktiken möglichst umfassend zu erfassen sowie objektiv und nachvollziehbar mit Blick auf die verschiedenen Rollen und damit verbundenen Interessen so zu bewerten, dass typischen Angriffen durch Organisationen und durch Externe mit adäquaten Gegenmaßnahmen begegnet werden kann.  Eine DSFA darf nicht nur eine „lästige Pflicht“ für eine Organisationen darstellen, die sie durchführt, sondern ist ein wichtiges Element für einen innovativen Ansatz der Systementwicklung, das so genannte „Privacy by Design“ (PbD). Institutionen, die zuverlässig, rechtzeitig und umfassend mögliche Datenschutzrisiken erkennen, sind in der Lage, solche nicht-funktionalen Anforderungen frühzeitig in den Systementwurf zu berücksichtigen.

Die hierbei angestrebte Innovation betrifft die Entwicklung eines Rahmens für Datenschutzfolgen-Abschätzungen: Dies umfasst einen Prozess zu deren Durchführung, eine Methodik zum Einbezug aller relevanten Akteure, Kriterien zur zuverlässigen Messung und Bewertung von Datenschutzfolgen sowie Möglichkeiten, diese Elemente in einem Softwaretool zu integrieren.

Wie eine DSFA durchzuführen ist, ist in der DS-GVO nur rudimentär beschrieben. Ziel des Vorhabens ist es, das von den Antragstellern entwickelte Verfahren für eine DSFA zu validieren und praxistauglich zu machen. Es soll für unterschiedliche Anwendungen geeignet sein, von Akteuren aus der Wirtschaft wie der öffentlichen Verwaltung genutzt werden können, von Institutionen unterschiedlicher Größe gleichermaßen praktikabel sein und die Anforderungen des PbD erfüllen. Gegenstand des Projektes soll es sein, die verschiedenen Elemente des DSFA-Konzepts mit realen Anwendungen und in Kooperation mit Akteuren aus Wirtschaft und öffentlicher Verwaltung zu testen und auf Basis der Ergebnisse ggf. Modifikationen vorzunehmen.

Validierungsziele sind der Nachweis, dass mit das validierte DSFA-Konzept die Anforderungen sowohl des Gesetzgebers als auch der Aufsichtsbehörden erfüllt (Effektivität) und von den nutzenden  Unternehmen und Behörden als nützlich und praktikabel bewertet wird (Effizienz).

Für ein innovatives und zuverlässiges DSFA-Konzept existieren unterschiedliche Verwertungs- und Anwendungswege:  Da künftig jedes Unternehmen und jede öffentliche Einrichtung, die personenbezogene Daten verarbeiten, ggf. eine DSFA durchführen muss, gibt es eine hohe potenzielle Nachfrage nach Dienstleistung (vor allem Durchführung von DSFAen und Schulungen zum Einsatz der DSFA-Methodik) und nach unterstützenden Software-Werkzeugen.

Status

Laufendes Projekt (09/2017-08/2019)

Partner:

  • Fraunhofer ISI (Verbundkoordinator);
  • Fachhochschule Kiel
  • FIZ Karlsruhe – Leibniz-Institut für Informationsinfrastruktur
  • ULD (Unterauftragnehmer)
  • Datenschutz Nord (Unterauftragnehmer)
  • Ostfalia Fachhochschule