Mit Einführung der Datenschutz-Grundverordnung wurde das für die Tätigkeit der bayerischen Behörden maßgebliche Datenschutzrecht 2018 grundlegend reformiert. Bekannte und bewährte Regelungen des alten Rechts stehen seither neben noch ungewohnten Bestimmungen, die in der Verwaltungspraxis erst einmal „ankommen“ müssen – auch, weil Arbeitsabläufe anzupassen und Erfahrungen neu zu gewinnen sind.
Die Datenschutz-Folgenabschätzung gab es im alten Recht nicht. Schon vor der Datenschutzreform 2018 waren Behörden, die personenbezogene Daten verarbeiten, aber verpflichtet, für ein ausreichendes Maß an Datensicherheit zu sorgen. Hat eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, muss der für sie Verantwortliche nach dem neuen Recht nun eine Datenschutz-Folgenabschätzung durchführen. Dabei erarbeitet er strukturiert eine Beschreibung der Risiken und setzt ihnen geeignete technische und organisatorische Maßnahmen entgegen.
Bayerische Behörden sind für zahllose Datenverarbeitungen verantwortlich. Darunter können sich auch solche Verarbeitungen befinden, die einer Datenschutz-Folgenabschätzung bedürfen. Um die Identifizierung dieser „Hochrisiko-Verarbeitungen“ zu erleichtern, habe ich heute die „Bayerische Blacklist“ veröffentlicht, welche die wichtigsten Fälle aufzählt. Dazu bin ich nach der Datenschutz-Grundverordnung im Übrigen verpflichtet.
Zur Unterstützung der bayerischen Behörden habe ich außerdem meine bereits Mitte Mai 2018 veröffentlichte Orientierungshilfe „Datenschutz-Folgenabschätzung“ überarbeitet und um ein neues, ausführliches Arbeitspapier zur Methodik ergänzt. Eine Fallstudie zeigt hier beispielhaft, wie eine Datenschutz-Folgenabschätzung IT-gestützt effektiv und effizient erarbeitet werden kann. Sie illustriert zugleich den Nutzen, den dieses Instrument im Rahmen eines geordneten Risikomanagements hat.
Die „Bayerische Blacklist“, die aktualisierte Orientierungshilfe mit dem zugehörigen neuen Arbeitspapier sowie die im Rahmen der Fallstudie eingesetzte Software – eine deutsche Version des bewährten, von der französischen Datenschutz-Aufsichtsbehörde herausgegebenen PIA-Tools – stehen seit heute auf meiner Homepage https://www.datenschutz-bayern.de in der Rubrik „Datenschutzreform 2018“ zum kostenlosen Download bereit.
Prof. Dr. Thomas Petri:
„Die Datenschutz-Folgenabschätzung ist ein wichtiges Instrument, um die Rechte und Freiheiten natürlicher Personen bei Datenverarbeitungen mit voraussichtlich hohem Risiko zu schützen. Meine Beratungspraxis hat allerdings gezeigt, dass bei vielen bayerischen öffentlichen Stellen immer noch große Unsicherheiten bestehen, wann und wie eine Datenschutz-Folgenabschätzung genau durchzuführen ist. Mit der ‚Bayerischen Blacklist‘ und dem umfangreichen Begleitmaterial möchte ich hier Hilfe und Orientierung für die behördliche Praxis bieten.“
Pressemitteilung des Bayerischen Landesbeauftragten für den Datenschutz Prof. Dr. Thomas Petri v. 06.03.2019
