Privacy Impact Assessment

Datenschutz-Folgenabschätzung nach ISO/IEC 29134 und ihre Anwendung im Rahmen der EU-DSGVO

Mathias Reinis

• Verlag: Books on Demand
• Jahr: 2018
• ISBN drucken: 9783744872072
• eBook-ISBN: 9783744865753
• Auflage: 2
• Thema: Betriebswirtschaft
• Thema: Business allgemein

Die Datenschutz-Folgenabschätzung ist ein in Deutschland bisher weitgehend unbekanntes Verfahren, das zum Ziel hat, die mit einem Verarbeitungssystem verbunden Gefahren für die Privatsphäre von erfassten Kunde, Mitarbeitern oder anderen Betroffenen zu ermitteln und für den Schutz ihrer Informationen und die Einhaltung geltender Bestimmungen zu sorgen.Der internationale Standard ISO/IEC 29134 will Anleitung für die Vorbereitung und Durchführung der Datenschutz-Folgenabschätzung geben und bietet dabei eine umfangreiche Zusammenstellung von Kontrollfragen. Das vorliegende Buch beleuchtet die Anforderungen der EU-DSGVO an eine Datenschutz-Folgenabschätzung und erklärt die Konzepte und Bausteine der ISO/IEC 29134 zur Erfüllung dieser Anforderungen, wobei auch weitere Konzepte und Standards ergänzend mit herangezogen werden.Die ISO/IEC 29134 stellt ein Werkzeug dar, das zeitlich parallel zur EU-DSGVO entwickelt wurde. Sie lässt sich für eine gelegentliche Datenschutz-Folgenabschätzung ebenso nutzen wie als Regelaufgabe in Organisationsprozessen. Der Entwicklungsbeitrag von Experten aus den meisten Wirtschaftsregionen der Welt macht die ISO/IEC 29134 zudem für international tätige Unternehmen besonders geeignet.

Kapitel 1 – Das Umfeld zur Norm

1.1 ISO/IEC Normenreihe zum Datenschutz

Die Arbeiten zur Standardisierung im Datenschutz werden von der Internationale elektrotechnischen Kommission IEC und der Internationalen Standardisierungsorganisation ISO im gemeinsamen technischen Komitee JTC1, und dort in der Arbeitsgruppe 5 WG5 des Unterkomitees 27 SC27, durchgeführt.

Abbildung 1 auf der Folgeseite zeigt einen Überblick über die Stand September 2017 bei der Arbeitsgruppe 5 in Erarbeitung befindlichen und die bereits veröffentlichten ISO/IEC Normen zum Datenschutz. Die Darstellung gliedert sich in sechs Abschnitte, in denen die Arbeitsdokumente jeweils eingeordnet sind. Die erste Gruppe heißt Anwendungsgebiete (Application areas) und enthält zwei Vorstudien (Study periods SP), eine mit Blick auf die Anbieter von Smartphone Apps und die andere zu Intelligenten Wohnstädten (Smart cities).

Als grundsätzliches Rahmenwerk sind das bereits 2011 veröffentlichte Dokument ISO/IEC 29100 Privacy Framework und das fortgeschriebene „stehende“ Dokument SD2 Privacy references list anzuführen. Insbesondere das Privacy Framework wird für die Datenschutz-Folgenabschätzung noch eine besondere Rolle spielen.

Der dritte Abschnitt stellt die Management-Verfahren zum Datenschutz dar. Hier findet sich die Richtlinie 29134 zur Datenschutz-Folgenabschätzung, das in Erarbeitung befindliche Dokument 27552 zur Erweiterung des Informationssicherheits-Managementsystems ISO/IEC 27001 zu einem Datenschutz-Management und zwei Anwendungsregeln zum Datenschutz, die eine für Verantwortliche (29151) und die zweite für Auftragsverarbeiter in der Cloud (27018). Die Anwendungsregeln zur Informationssicherheit (27002) werden von der Schwester-Arbeitsgruppe 1 WG1 verantwortet und sind als Maßnahmen der Datensicherheit auch für den Datenschutz informativ aufgeführt.

Der vierte Abschnitt enthält Anleitungen zur Implementierung des Datenschutzes. Das Reifegradmodell für den Datenschutz (29190) ist bereits veröffentlicht, die Anleitung zu Kenntnis und Einwilligung (29184) und der Bericht zu einem ingenieurmäßigen Datenschutz (27550) sind noch im entstehen.

Abbildung 1: Arbeitsprogramm ISO/IEC JTC1 SC27 WG5

Mit spezifischen technologischen Aspekten setzen sich die Dokumente des fünften Abschnittes auseinander. Eine ausführliche Architekturempfehlung enthält die Norm 29101. Ein streckenweise anonymisiertes Anmeldeverfahren wird in der Norm 29191 beschrieben. Das entstehende Dokument 20889 beschäftigt sich mit Techniken zum entziehen des Personenbezugs aus Daten.

Der sechste Abschnitt ist zur Unterstützung anderer Normungsgremien gedacht. Das hier enthaltene, stehende Dokument SD4 gibt Hinweise zur Behandlung von personenbezogenen Daten in den Verfahren und Technologien der entstehenden Normen.

Das Unterkomitee 27 der gemeinsamen Arbeitsgruppe JTC1 von ISO/IEC trifft sich in halbjährlichen Zyklen mit seinen Arbeitsgruppen. Die Dauer von der Annahme eines neuen Vorhabens bis zur Veröffentlichung des Ergebnisses beträgt erfahrungsgemäß zwischen vier und fünf Jahren.

1.2 Die Datenschutz-Folgenabschätzung in der Datenschutzgrundverordnung

Folgt man der Begründung des Parlaments und Rates der Europäischen Union im Erwägungsgrund 89, geht dem risikobasierenden Ansatz und der Datenschutz-Folgenabschätzung die Erkenntnis voraus, dass die mit der vorherigen Datenschutzrichtlinie 95/46/EG erwartete grundsätzliche Meldepflicht sich als bürokratisch und ineffizient erwiesen hat.

Ein wirksameres Verfahren verspricht man sich darin, sich vorrangig mit denjenigen Arten von Verarbeitungsvorgängen [zu] befassen, die aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen.

Durch EU-DSGVO verwendet dabei die Einzahl „Risiko“ und definiert damit implizit ein Gesamtrisiko, statt differenziert auf einzelne Risikoursachen einzugehen. Dieses Risiko sollte der Verantwortliche im Erwägungsgrund 90 vor der Verarbeitung mittels Datenschutz-Folgenabschätzung bewerten, indem er „unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und der Ursachen des Risikos“ dessen spezifisch...

Inhaltsverzeichnis

• Inhaltsverzeichnis
• Abbildungsverzeichnis
• Vorwort
• Einleitung
• Kapitel 1 - Das Umfeld zur Norm
• Kapitel 2 - Die Richtlinie ISO/IEC 29134 im Überblick
• Kapitel 3 - Kernkonzepte der ISO/IEC 29134
• Kapitel 4 - Die Datenschutz-Folgenabschätzung als Prozess
• Kapitel 5 - Governance der Datenschutz-Folgenabschätzung
• Kapitel 6 - Eingangsinformationen
• Kapitel 7 - Risiko-Ermittlung
• Kapitel 8 - Risikobewertung
• Kapitel 9 - Behandlung der Risiken
• Kapitel 10 - Berichtslegung
• Anlage: Wichtige Grundsätze zum Datenschutz
• Literaturverzeichnis
• Stichwortverzeichnis
• Weitere Informationen
• Impressum