Datenschutz-Folgenabschätzung

Wann sie Pflicht wird

Artikel 35 DSGVO verlangt die Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Drei Fälle nennt die Norm ausdrücklich: die systematische umfassende Bewertung persönlicher Aspekte durch automatisierte Verarbeitung, die Verarbeitung besonderer Datenkategorien in großem Umfang und die systematische weiträumige Überwachung öffentlich zugänglicher Bereiche.

Eine normale Anmeldung mit Name, E-Mail und Unternehmen löst keine Pflicht aus. Das ist die gute Nachricht für die meisten Veranstaltungen.

Nicht zu verwechseln mit dem Verarbeitungsverzeichnis

Die beiden Dokumente werden regelmäßig durcheinandergebracht, und der Unterschied ist wichtig, weil das eine fast immer Pflicht ist und das andere fast nie. Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO ist eine Bestandsaufnahme: Es listet auf, welche Verarbeitungen es in Ihrer Organisation gibt, zu welchem Zweck, mit welchen Datenkategorien und welchen Empfängern. Für öffentliche Stellen gilt die Pflicht ohne Ausnahme, für Unternehmen praktisch ebenso, sobald die Verarbeitung nicht nur gelegentlich erfolgt.

Die Folgenabschätzung setzt darauf auf und geht tiefer, aber nur für die eine Verarbeitung, bei der die Risikoschwelle erreicht ist. Wer also fragt, ob er eine Folgenabschätzung braucht, hat häufig die falsche Frage gestellt. Die richtige lautet: Steht diese Veranstaltung schon im Verarbeitungsverzeichnis?

Die Schwellenwertprüfung

Bevor Sie eine vollständige Folgenabschätzung schreiben, prüfen Sie, ob überhaupt eine nötig ist. Diese Vorprüfung ist kurz und gehört dokumentiert, auch wenn sie negativ ausfällt: Sie ist Ihr Nachweis, dass Sie die Frage gestellt haben. Die deutschen Aufsichtsbehörden veröffentlichen dazu Listen von Verarbeitungen, die immer eine Folgenabschätzung erfordern; die gemeinsamen Papiere finden Sie bei der Datenschutzkonferenz.

Was drinsteht

Vier Bestandteile verlangt die Norm. Eine Beschreibung der geplanten Verarbeitung samt Zweck. Eine Bewertung, ob die Verarbeitung für diesen Zweck notwendig und verhältnismäßig ist. Eine Einschätzung der Risiken für die Betroffenen. Und die Maßnahmen, mit denen Sie diesen Risiken begegnen, also im Kern Ihre TOM.

Der zweite Punkt ist der, an dem die meisten Entwürfe schwach werden. Notwendigkeit heißt: Es gibt keinen milderen Weg zum selben Ziel. Wer ein Feld erhebt, weil es später nützlich sein könnte, wird diese Frage nicht überzeugend beantworten.

Typische Fälle bei Veranstaltungen

Drei Konstellationen kommen tatsächlich vor. Erstens ein Matching-Verfahren, das Teilnehmende automatisiert bewertet und daraus Empfehlungen ableitet, die spürbare Folgen haben, etwa Zugang zu Recruiting-Gesprächen. Ob das die Schwelle des KI-Matchings überschreitet, hängt an der Eingriffstiefe. Zweitens die Verarbeitung von Gesundheitsdaten in großem Umfang, was bei Veranstaltungen aber die Ausnahme ist. Drittens die Videoaufzeichnung von Publikumsbereichen.

In allen drei Fällen gilt: Die Folgenabschätzung gehört vor den Start. Eine nachträglich erstellte hat ihren Zweck verfehlt, weil sie nichts mehr beeinflussen kann.

Wer sie erstellt

Verantwortlich ist die Organisation. Die oder der Datenschutzbeauftragte wird beteiligt und berät, erstellt sie aber nicht anstelle der Fachabteilung: Die Sachkenntnis über die geplante Verarbeitung liegt bei Ihnen. Kommt die Prüfung zu dem Ergebnis, dass ein hohes Risiko trotz aller Maßnahmen bleibt, müssen Sie vor dem Start die Aufsichtsbehörde konsultieren. Das ist selten, verlängert die Planung aber erheblich und gehört deshalb früh bedacht. Den Rahmen beschreibt DSGVO im Eventkontext, die Rechte der Betroffenen stehen unter Betroffenenrechte, und wie lange die Unterlagen bleiben, klärt Ihre Löschfrist.

Brauche ich für eine normale Karrieremesse eine Folgenabschätzung?

In aller Regel nicht. Anmeldung, Check-in und Ausstellerverwaltung erreichen die Risikoschwelle nicht. Dokumentieren Sie trotzdem kurz, dass Sie geprüft haben.

Was ist der Unterschied zum Verarbeitungsverzeichnis?

Das Verzeichnis nach Artikel 30 listet alle Verarbeitungen auf und ist für öffentliche Stellen ohne Ausnahme Pflicht. Die Folgenabschätzung untersucht eine einzelne Verarbeitung vertieft und wird nur bei hohem Risiko fällig.

Wer entscheidet, ob die Schwelle erreicht ist?

Sie als Verantwortlicher, beraten durch die Datenschutzbeauftragung. Die Listen der Aufsichtsbehörden geben den Rahmen vor.

Was passiert, wenn eine nötige Folgenabschätzung fehlt?

Das ist ein eigenständiger Verstoß, unabhängig davon, ob tatsächlich etwas passiert ist. Die Pflicht besteht schon vor dem Start der Verarbeitung.

Muss ich sie veröffentlichen?

Nein. Sie ist ein internes Dokument, muss aber der Aufsichtsbehörde auf Verlangen vorgelegt werden können.