Mit der nunmehrigen Kundmachung der Verordnung der Datenschutzbehörde über Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist, sind die Grenzen gesteckt für Verarbeitungen, für die jedenfalls eine und für die jedenfalls keine Datenschutz-Folgenabschätzung durchzuführen ist. Dazwischen bleibt ein Graubereich.
[lindepaywall tokens=“dsaktuell-media“]
Gemäß Art 35 Abs 1 DSGVO ist eine Datenschutz-Folgenabschätzung („DSFA“) durchzuführen, wenn aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung diese Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Diese doch eher unklare Regelung soll durch von der Aufsichtsbehörde erstellte Listen der Verarbeitungsvorgänge, für die eine DSFA durchzuführen ist und für Verarbeitungsvorgänge für die keine DSFA erforderlich ist, konkretisiert werden (Art 35 Abs 4 und 5 DSGVO). Diesen Vorgaben ist die Datenschutzbehörde mit der Verordnung über die Ausnahmen von der Datenschutz-Folgenabschätzung („DSFA-AV“) und der Verordnung über Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist („DSFA-V“) nachgekommen.
Ausnahmen von der Datenschutz-Folgenabschätzung
Nach der DSFA-AV ist primär dann keine DSFA durchzuführen, wenn es sich um eine in der Anlage zur DSFA-AV genannte Datenverarbeitung handelt. Darunter fallen einerseits an die frühere Standard- und Musterverordnung angelehnte Standardverarbeitungen wie „Personalverwaltung“ oder „Kundenverwaltung, Rechnungswesen, Logistik, Buchführung“, aber auch die durchwegs relevante Ausnahme der Videoüberwachung. Für eine Videoüberwachung ist demnach keine DSFA notwendig, sofern ua der Aufnahmebereich nicht mehr als einen halben Meter über die überwachte Liegenschaft in den öffentlichen Bereich hinausgeht, keine höchstpersönlichen Lebensbereiche gefilmt werden, die Bildverarbeitung entsprechend gekennzeichnet ist, die Speicherdauer 72 Stunden nicht überschreitet (außer bei Vorliegen gesetzlicher Gründe oder einer Betriebsvereinbarung) und es sich um eine Wohnung bzw. ein Einfamilienhaus oder um einen allgemein zugänglichen Ort handelt, der dem Hausrecht des Verantwortlichen unterliegt. Ebenso sind etwa die Verarbeitung von Patientendaten durch einzelne Ärzte oder von Klientendaten durch einzelne Rechtsanwälte oder Steuerberater von einer Pflicht zur DSFA ausgenommen.
Neben diesen taxativ aufgezählten Ausnahmen der Anlage sind weiters Datenverarbeitungen von der DSFA ausgenommen, die nach dem DSG 2000 der Vorabkontrolle unterlagen und vor 24.5.2018 im Datenverarbeitungsregister registriert wurden oder Datenverarbeitungen, die nicht meldepflichtig waren, weil sie einer Standardanwendung entsprachen, sofern diese Datenanwendungen mit Ablauf des 24. Mai 2018 den Vorgaben der DSGVO entsprachen und seitdem keine wesentlichen Änderungen vorgenommen wurden.
Zum Verhältnis von DSFA-AV und DSFA-V zueinander
Mit der DSFA-AV hat die DSB somit eine relativ klare und wenig auslegungsbedürftige Whitelist geschaffen. Die Blacklist dagegen, also die Verordnung, wann eine DSFA durchzuführen ist, ist weniger konkret formuliert und soll – entsprechend dem risikobasierten Ansatz der DSGVO – in der Gesamtbetrachtung dazu führen, dass im Zweifel lieber eine DSFA durchgeführt wird. Wird jedoch eine Datenverarbeitung von der DSFA-AV erfasst, ist gemäß § 2 Abs 1 DSFA-V aber jedenfalls keine DSFA durchzuführen; die DSFA-AV geht somit der DSFA-V vor. Wird eine Datenverarbeitung weder von der DSFA-V noch von der DSFA-AV erfasst, ist im Einzelfall zu prüfen ob eine DSFA erforderlich ist oder nicht.
Verpflichtende DSFA bei Vorliegen eines Kriteriums
Eine DSFA ist gemäß § 2 Abs 2 DSFA-V zum einen durchzuführen, wenn zumindest eines der folgenden Kriterien (römische Ziffern) erfüllt ist:
Kriterium I: Verarbeitungen, die eine Bewertung oder Einstufung natürlicher Personen umfassen, einschließlich der Profilerstellung, betreffend die Bereiche Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Zuverlässigkeit, Verhalten oder Aufenthaltsort und ausschließlich auf einer automatisierten Verarbeitung beruhen und negative rechtliche, physische oder finanzielle Auswirkungen haben können.
Gemeint sind damit automatisierte Entscheidungsfindungen mit rechtlichen oder anderen tiefgreifenden Wirkungen für die betroffene Person, wie die automatische Ablehnung eines Kreditantrages oder einer Bewerbung ohne menschlichen Einfluss darauf. Auch umfasst dieses Kriterium das Profiling betreffend die genannten Bereiche, sofern dieses rechtliche oder ähnliche Wirkungen für die betroffene Person entfaltet. In den Erläuterungen werden beispielhaft als diesem Kriterium entsprechend genannt: Verarbeitungsvorgänge im Zusammenhang mit Bonitätsdatenbanken, mit deren Hilfe Betroffenen der Zugriff auf eine Dienstleistung oder der Abschluss eines Vertrages gestattet, geändert oder verwehrt werden soll; ein Kreditinstitut, das eine von Kreditauskunfteien betriebene Datenbank, eine im Sinne der Verfahren für die Bekämpfung der Geldwäscherei und der Terrorismusbekämpfung eingerichtete Datenbank oder eine Betrugsdatenbank nach seinen Kunden durchsucht; ein Biotechnologie-Unternehmen, das sich zwecks genetischer Tests direkt an die Betroffenen wendet, um die Erkrankungs- oder Gesundheitsrisiken abschätzen bzw. prognostizieren zu können; ein Unternehmen, das anhand der Nutzung seiner Website bzw der Navigation der Website durch die Nutzer Verhaltens- oder Marketingprofile (ausgenommen personalisierte Werbung) erstellt; oder ein „Dating-Portal“, das Profile der Nutzer erstellt.
Kriterium II: Verarbeitungen von Daten, die zur Bewertung des Verhaltens und anderer persönlicher Aspekte von natürlichen Personen dienen und von Dritten dazu genutzt werden können, automatisierte Entscheidungsfindungen zu treffen, die rechtliche oder ähnliche Wirkungen gegenüber den bewerteten Personen entfalten.
Darunter ist wohl eine abgeschwächte Variante des ersten Kriteriums zu verstehen. Gemeint sind Datenverarbeitungen, die eine menschliche Entscheidungsfindung durch entsprechende Profilerstellung vorbereiten sollen.
Kriterium III: Verarbeitungsvorgänge zur Überwachung, Beobachtung und Kontrolle, insbesondere mittels Videoüberwachung, die auf eine systematische, umfangreiche Überwachung öffentlich zugänglicher Bereiche abzielen, wie öffentliche Orte, Straßen mit öffentlichem Verkehr, Örtlichkeiten, welche aufgrund eines Kontrahierungszwanges oder aufgrund des öffentlichen Interesses von jedermann betreten werden dürfen; zudem Bildverarbeitungen unter Einsatz von mobilen Kameras zum Zweck der Vorbeugung oder Abwehr gefährlicher Angriffe oder krimineller Verbindungen; Videoüberwachungen von Liegenschaften zu Wohnzwecken, die nicht von der DSFA-AV umfasst sind; oder die Überwachung in Kirchen und Gebetshäusern.
Zusammengefasst werden hier alle Möglichkeiten der (Video-) Überwachung von Bereichen umfasst, in denen sich Betroffene dieser Beobachtung nicht entziehen oder dieser widersprechen können, weil es sich um Orte handelt, die sie benützen müssen (zB Bahnhöfe, Spitäler, Behörden). Dieses Kriterium stellt daher gleichsam den Gegenpol zur Ausnahme A09 der DSFA-AV dar. Weiters umfasst dieses Kriterium aber auch bewegliche Kameras wie Bodycams und wohl auch Dashcams.
Kriterium IV: Verarbeitung von biometrischen Daten und/oder die Verarbeitung unter der Verwendung neuartiger Technologien, deren Auswirkungen noch nicht zur Gänze abschätzbar sind, insbesondere unter Verwendung von künstlicher Intelligenz („AI“).
Kriterium V: Die Zusammenführung und/oder der Abgleich von Daten aus zwei oder mehreren Verarbeitungen, die ursprünglich zu unterschiedlichen Zwecken und/oder von verschiedenen Verantwortlichen durchgeführt wurden, wobei diese Verarbeitung über das hinausgeht was der Betroffene ursprünglich erwarten durfte und sofern durch Algorithmen Entscheidungen getroffen werden können, die die betroffene Person in erheblicher Weise beeinträchtigen.
Davon umfasst sollen daher etwa „Scoringmethoden“ sein, also die Erhebung oder Verwendung von Wahrscheinlichkeitswerten für ein bestimmtes zukünftiges Verhalten, um über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses entscheiden zu können. Entscheidend ist nach den Erläuterungen, dass Daten aus zwei oder mehreren Verarbeitungen „verschnitten“ werden und die Verarbeitung über die vom Betroffenen üblicherweise, dh nach der Verkehrsauffassung oder nach der Lebenserfahrung, zu erwartenden Verarbeitungen hinausgeht.
Kriterium VI: Verarbeitungsvorgänge im höchstpersönlichen Bereich von Personen, auch wenn die Verarbeitung auf einer Einwilligung beruht. Dazu zählen etwa Bildaufnahmen in Sanitäranlagen, Bildaufnahmen von Wohnungsgängen in Mehrparteienhäusern oder Datenaufzeichnungen im Rahmen von Selbsthilfegruppen.
Festzuhalten ist, dass im Beschäftigungskontext keine DSFA notwendig ist, wenn eine Betriebsvereinbarung über die Datenverarbeitung abgeschlossen wurde.
Verpflichtende DSFA bei Vorliegen von zwei Kriterien
Weiters ist gemäß § 2 Abs 3 DSFA-V eine DSFA dann durchzuführen, wenn zumindest zwei der folgenden Kriterien (arabische Ziffern) erfüllt sind:
Die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Kriterium 1) oder von personenbezogenen Daten über strafrechtliche Verurteilungen (Kriterium 2).
Davon umfasst sind die umfangreiche Verarbeitung personenbezogener Daten betreffend die rassische und ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit, die Verarbeitung von genetischen oder biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, von Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung und die umfangreiche Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten, einschließlich Verwaltungsübertretungen.
Bei der Beurteilung, ob eine umfangreiche Verarbeitung vorliegt, sollten Faktoren wie die Zahl der Betroffenen (konkret oder absolut in Relation zur entsprechenden Bevölkerungsgruppe), die verarbeitete Datenmenge, die Dauer oder Dauerhaftigkeit der Verarbeitung und das geografische Ausmaß der Datenverarbeitung berücksichtigt werden. Die Erläuterungen verweisen in diesem Zusammenhang, insbesondere hinsichtlich der fehlenden Notwendigkeit einer ziffernmäßigen Festlegung, auf die Stellungnahme des Europäischen Datenschutzausschusses Nr. 6/2018.
Kriterium 3: Die Erfassung von Standortdaten, unabhängig ob mittels GPS oder Sendemasten (§ 92 Abs 3 Z 6 TKG 2003).
Kriterium 4: Die Verarbeitung von Daten schutzbedürftiger betroffener Personen, wie unmündige Minderjährige, Arbeitnehmer, Patienten, psychisch Kranker und Asylwerber. Im Beschäftigungskontext gilt dies nur bei Verarbeitungen, die nicht dem Zweck der Personalverwaltung dienen und sofern keine Betriebsvereinbarung vorliegt.
Kriterium 5: Die Zusammenführung und/oder der Abgleich von Datensätzen aus zwei oder mehreren Verarbeitungen, die ursprünglich zu unterschiedlichen Zwecken und/oder von verschiedenen Verantwortlichen durchgeführt wurden, wobei diese Verarbeitung über das hinausgeht, was der Betroffene ursprünglich erwarten durfte und sofern diese für Zwecke erfolgt, für welche nicht alle der zu verarbeitenden Daten direkt bei der betroffenen Person erhoben wurden.
Dieses Kriterium entspricht im Wesentlichen dem Kriterium V des Absatz 2, mit der Maßgabe, dass nicht alle Daten bei der betroffenen Person selbst erhoben wurden.
Zusammenfassung
Bei einer Gesamtbetrachtung machen daher die bereits bekanntermaßen risikobehafteten Verarbeitungen, also insbesondere Verarbeitungen besonderer Kategorien personenbezogener Daten, die Videoüberwachung öffentlicher Orte, das Profiling, Scoring oder die Ortung mit sehr hoher Wahrscheinlichkeit eine DSFA erforderlich. Einzig die Erfassung einer Verarbeitung in der DSFA-AV kann mit Sicherheit eine Ausnahme von der DSFA-Pflicht begründen, wobei davon, wie bisher in der Standard- und Musterverordnung, hauptsächlich „harmlose“ Datenverarbeitungen betroffen sind oder solche, die bereits von der Datenschutzbehörde genehmigt wurden und damals schon der DSGVO entsprachen.
Im Graubereich zwischen den beiden Verordnungen, der aufgrund der engen Grenzen der DSFA-AV und der weiten Formulierung der DSFA-V wohl größer als gewollt ist, wird im Zuge einer Risikoabwägung in vielen Fällen der Zeiger in Richtung der Durchführung einer DSFA deuten.
[/lindepaywall]
Mit der nunmehrigen Kundmachung der Verordnung der Datenschutzbehörde über Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist, sind die Grenzen gesteckt für Verarbeitungen, für die jedenfalls eine und für die jedenfalls keine Datenschutz-Folgenabschätzung durchzuführen ist. Dazwischen bleibt ein Graubereich.
[lindepaywall tokens=“dsaktuell-media“]
Gemäß Art 35 Abs 1 DSGVO ist eine Datenschutz-Folgenabschätzung („DSFA“) durchzuführen, wenn aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung diese Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Diese doch eher unklare Regelung soll durch von der Aufsichtsbehörde erstellte Listen der Verarbeitungsvorgänge, für die eine DSFA durchzuführen ist und für Verarbeitungsvorgänge für die keine DSFA erforderlich ist, konkretisiert werden (Art 35 Abs 4 und 5 DSGVO). Diesen Vorgaben ist die Datenschutzbehörde mit der Verordnung über die Ausnahmen von der Datenschutz-Folgenabschätzung („DSFA-AV“) und der Verordnung über Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist („DSFA-V“) nachgekommen.
Ausnahmen von der Datenschutz-Folgenabschätzung
Nach der DSFA-AV ist primär dann keine DSFA durchzuführen, wenn es sich um eine in der Anlage zur DSFA-AV genannte Datenverarbeitung handelt. Darunter fallen einerseits an die frühere Standard- und Musterverordnung angelehnte Standardverarbeitungen wie „Personalverwaltung“ oder „Kundenverwaltung, Rechnungswesen, Logistik, Buchführung“, aber auch die durchwegs relevante Ausnahme der Videoüberwachung. Für eine Videoüberwachung ist demnach keine DSFA notwendig, sofern ua der Aufnahmebereich nicht mehr als einen halben Meter über die überwachte Liegenschaft in den öffentlichen Bereich hinausgeht, keine höchstpersönlichen Lebensbereiche gefilmt werden, die Bildverarbeitung entsprechend gekennzeichnet ist, die Speicherdauer 72 Stunden nicht überschreitet (außer bei Vorliegen gesetzlicher Gründe oder einer Betriebsvereinbarung) und es sich um eine Wohnung bzw. ein Einfamilienhaus oder um einen allgemein zugänglichen Ort handelt, der dem Hausrecht des Verantwortlichen unterliegt. Ebenso sind etwa die Verarbeitung von Patientendaten durch einzelne Ärzte oder von Klientendaten durch einzelne Rechtsanwälte oder Steuerberater von einer Pflicht zur DSFA ausgenommen.
Neben diesen taxativ aufgezählten Ausnahmen der Anlage sind weiters Datenverarbeitungen von der DSFA ausgenommen, die nach dem DSG 2000 der Vorabkontrolle unterlagen und vor 24.5.2018 im Datenverarbeitungsregister registriert wurden oder Datenverarbeitungen, die nicht meldepflichtig waren, weil sie einer Standardanwendung entsprachen, sofern diese Datenanwendungen mit Ablauf des 24. Mai 2018 den Vorgaben der DSGVO entsprachen und seitdem keine wesentlichen Änderungen vorgenommen wurden.
Zum Verhältnis von DSFA-AV und DSFA-V zueinander
Mit der DSFA-AV hat die DSB somit eine relativ klare und wenig auslegungsbedürftige Whitelist geschaffen. Die Blacklist dagegen, also die Verordnung, wann eine DSFA durchzuführen ist, ist weniger konkret formuliert und soll – entsprechend dem risikobasierten Ansatz der DSGVO – in der Gesamtbetrachtung dazu führen, dass im Zweifel lieber eine DSFA durchgeführt wird. Wird jedoch eine Datenverarbeitung von der DSFA-AV erfasst, ist gemäß § 2 Abs 1 DSFA-V aber jedenfalls keine DSFA durchzuführen; die DSFA-AV geht somit der DSFA-V vor. Wird eine Datenverarbeitung weder von der DSFA-V noch von der DSFA-AV erfasst, ist im Einzelfall zu prüfen ob eine DSFA erforderlich ist oder nicht.
Verpflichtende DSFA bei Vorliegen eines Kriteriums
Eine DSFA ist gemäß § 2 Abs 2 DSFA-V zum einen durchzuführen, wenn zumindest eines der folgenden Kriterien (römische Ziffern) erfüllt ist:
Kriterium I: Verarbeitungen, die eine Bewertung oder Einstufung natürlicher Personen umfassen, einschließlich der Profilerstellung, betreffend die Bereiche Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Zuverlässigkeit, Verhalten oder Aufenthaltsort und ausschließlich auf einer automatisierten Verarbeitung beruhen und negative rechtliche, physische oder finanzielle Auswirkungen haben können.
Gemeint sind damit automatisierte Entscheidungsfindungen mit rechtlichen oder anderen tiefgreifenden Wirkungen für die betroffene Person, wie die automatische Ablehnung eines Kreditantrages oder einer Bewerbung ohne menschlichen Einfluss darauf. Auch umfasst dieses Kriterium das Profiling betreffend die genannten Bereiche, sofern dieses rechtliche oder ähnliche Wirkungen für die betroffene Person entfaltet. In den Erläuterungen werden beispielhaft als diesem Kriterium entsprechend genannt: Verarbeitungsvorgänge im Zusammenhang mit Bonitätsdatenbanken, mit deren Hilfe Betroffenen der Zugriff auf eine Dienstleistung oder der Abschluss eines Vertrages gestattet, geändert oder verwehrt werden soll; ein Kreditinstitut, das eine von Kreditauskunfteien betriebene Datenbank, eine im Sinne der Verfahren für die Bekämpfung der Geldwäscherei und der Terrorismusbekämpfung eingerichtete Datenbank oder eine Betrugsdatenbank nach seinen Kunden durchsucht; ein Biotechnologie-Unternehmen, das sich zwecks genetischer Tests direkt an die Betroffenen wendet, um die Erkrankungs- oder Gesundheitsrisiken abschätzen bzw. prognostizieren zu können; ein Unternehmen, das anhand der Nutzung seiner Website bzw der Navigation der Website durch die Nutzer Verhaltens- oder Marketingprofile (ausgenommen personalisierte Werbung) erstellt; oder ein „Dating-Portal“, das Profile der Nutzer erstellt.
Kriterium II: Verarbeitungen von Daten, die zur Bewertung des Verhaltens und anderer persönlicher Aspekte von natürlichen Personen dienen und von Dritten dazu genutzt werden können, automatisierte Entscheidungsfindungen zu treffen, die rechtliche oder ähnliche Wirkungen gegenüber den bewerteten Personen entfalten.
Darunter ist wohl eine abgeschwächte Variante des ersten Kriteriums zu verstehen. Gemeint sind Datenverarbeitungen, die eine menschliche Entscheidungsfindung durch entsprechende Profilerstellung vorbereiten sollen.
Kriterium III: Verarbeitungsvorgänge zur Überwachung, Beobachtung und Kontrolle, insbesondere mittels Videoüberwachung, die auf eine systematische, umfangreiche Überwachung öffentlich zugänglicher Bereiche abzielen, wie öffentliche Orte, Straßen mit öffentlichem Verkehr, Örtlichkeiten, welche aufgrund eines Kontrahierungszwanges oder aufgrund des öffentlichen Interesses von jedermann betreten werden dürfen; zudem Bildverarbeitungen unter Einsatz von mobilen Kameras zum Zweck der Vorbeugung oder Abwehr gefährlicher Angriffe oder krimineller Verbindungen; Videoüberwachungen von Liegenschaften zu Wohnzwecken, die nicht von der DSFA-AV umfasst sind; oder die Überwachung in Kirchen und Gebetshäusern.
Zusammengefasst werden hier alle Möglichkeiten der (Video-) Überwachung von Bereichen umfasst, in denen sich Betroffene dieser Beobachtung nicht entziehen oder dieser widersprechen können, weil es sich um Orte handelt, die sie benützen müssen (zB Bahnhöfe, Spitäler, Behörden). Dieses Kriterium stellt daher gleichsam den Gegenpol zur Ausnahme A09 der DSFA-AV dar. Weiters umfasst dieses Kriterium aber auch bewegliche Kameras wie Bodycams und wohl auch Dashcams.
Kriterium IV: Verarbeitung von biometrischen Daten und/oder die Verarbeitung unter der Verwendung neuartiger Technologien, deren Auswirkungen noch nicht zur Gänze abschätzbar sind, insbesondere unter Verwendung von künstlicher Intelligenz („AI“).
Kriterium V: Die Zusammenführung und/oder der Abgleich von Daten aus zwei oder mehreren Verarbeitungen, die ursprünglich zu unterschiedlichen Zwecken und/oder von verschiedenen Verantwortlichen durchgeführt wurden, wobei diese Verarbeitung über das hinausgeht was der Betroffene ursprünglich erwarten durfte und sofern durch Algorithmen Entscheidungen getroffen werden können, die die betroffene Person in erheblicher Weise beeinträchtigen.
Davon umfasst sollen daher etwa „Scoringmethoden“ sein, also die Erhebung oder Verwendung von Wahrscheinlichkeitswerten für ein bestimmtes zukünftiges Verhalten, um über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses entscheiden zu können. Entscheidend ist nach den Erläuterungen, dass Daten aus zwei oder mehreren Verarbeitungen „verschnitten“ werden und die Verarbeitung über die vom Betroffenen üblicherweise, dh nach der Verkehrsauffassung oder nach der Lebenserfahrung, zu erwartenden Verarbeitungen hinausgeht.
Kriterium VI: Verarbeitungsvorgänge im höchstpersönlichen Bereich von Personen, auch wenn die Verarbeitung auf einer Einwilligung beruht. Dazu zählen etwa Bildaufnahmen in Sanitäranlagen, Bildaufnahmen von Wohnungsgängen in Mehrparteienhäusern oder Datenaufzeichnungen im Rahmen von Selbsthilfegruppen.
Festzuhalten ist, dass im Beschäftigungskontext keine DSFA notwendig ist, wenn eine Betriebsvereinbarung über die Datenverarbeitung abgeschlossen wurde.
Verpflichtende DSFA bei Vorliegen von zwei Kriterien
Weiters ist gemäß § 2 Abs 3 DSFA-V eine DSFA dann durchzuführen, wenn zumindest zwei der folgenden Kriterien (arabische Ziffern) erfüllt sind:
Die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Kriterium 1) oder von personenbezogenen Daten über strafrechtliche Verurteilungen (Kriterium 2).
Davon umfasst sind die umfangreiche Verarbeitung personenbezogener Daten betreffend die rassische und ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit, die Verarbeitung von genetischen oder biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, von Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung und die umfangreiche Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten, einschließlich Verwaltungsübertretungen.
Bei der Beurteilung, ob eine umfangreiche Verarbeitung vorliegt, sollten Faktoren wie die Zahl der Betroffenen (konkret oder absolut in Relation zur entsprechenden Bevölkerungsgruppe), die verarbeitete Datenmenge, die Dauer oder Dauerhaftigkeit der Verarbeitung und das geografische Ausmaß der Datenverarbeitung berücksichtigt werden. Die Erläuterungen verweisen in diesem Zusammenhang, insbesondere hinsichtlich der fehlenden Notwendigkeit einer ziffernmäßigen Festlegung, auf die Stellungnahme des Europäischen Datenschutzausschusses Nr. 6/2018.
Kriterium 3: Die Erfassung von Standortdaten, unabhängig ob mittels GPS oder Sendemasten (§ 92 Abs 3 Z 6 TKG 2003).
Kriterium 4: Die Verarbeitung von Daten schutzbedürftiger betroffener Personen, wie unmündige Minderjährige, Arbeitnehmer, Patienten, psychisch Kranker und Asylwerber. Im Beschäftigungskontext gilt dies nur bei Verarbeitungen, die nicht dem Zweck der Personalverwaltung dienen und sofern keine Betriebsvereinbarung vorliegt.
Kriterium 5: Die Zusammenführung und/oder der Abgleich von Datensätzen aus zwei oder mehreren Verarbeitungen, die ursprünglich zu unterschiedlichen Zwecken und/oder von verschiedenen Verantwortlichen durchgeführt wurden, wobei diese Verarbeitung über das hinausgeht, was der Betroffene ursprünglich erwarten durfte und sofern diese für Zwecke erfolgt, für welche nicht alle der zu verarbeitenden Daten direkt bei der betroffenen Person erhoben wurden.
Dieses Kriterium entspricht im Wesentlichen dem Kriterium V des Absatz 2, mit der Maßgabe, dass nicht alle Daten bei der betroffenen Person selbst erhoben wurden.
Zusammenfassung
Bei einer Gesamtbetrachtung machen daher die bereits bekanntermaßen risikobehafteten Verarbeitungen, also insbesondere Verarbeitungen besonderer Kategorien personenbezogener Daten, die Videoüberwachung öffentlicher Orte, das Profiling, Scoring oder die Ortung mit sehr hoher Wahrscheinlichkeit eine DSFA erforderlich. Einzig die Erfassung einer Verarbeitung in der DSFA-AV kann mit Sicherheit eine Ausnahme von der DSFA-Pflicht begründen, wobei davon, wie bisher in der Standard- und Musterverordnung, hauptsächlich „harmlose“ Datenverarbeitungen betroffen sind oder solche, die bereits von der Datenschutzbehörde genehmigt wurden und damals schon der DSGVO entsprachen.
Im Graubereich zwischen den beiden Verordnungen, der aufgrund der engen Grenzen der DSFA-AV und der weiten Formulierung der DSFA-V wohl größer als gewollt ist, wird im Zuge einer Risikoabwägung in vielen Fällen der Zeiger in Richtung der Durchführung einer DSFA deuten.
[/lindepaywall]