Datenschutz-Folgenabschätzung (DSFA) durchführen

Eine Datenschutz-Folgenabschätzung (DSFA) beurteilt vorab die Risiken einer Bearbeitung von Personendaten für die betroffenen Personen. Nach dem Schweizer DSG (Art. 22) ist sie nötig, wenn eine Bearbeitung voraussichtlich ein hohes Risiko mit sich bringt. In Varmo ergibt sich aus der Schutzbedarfsanalyse eines Systems, ob eine DSFA nötig ist; erstellt und freigegeben wird sie dann direkt beim Asset. Dieser Artikel richtet sich an Asset-Eigentümer, an die Stelle für den Datenschutz und an ISMS-Verantwortliche.

Bevor Sie beginnen

• Die DSFA erstellt der Eigentümer des Systems bzw. wer dessen Schutzbedarfsanalyse durchführen darf.
• Freigegeben wird sie von der Stelle Bestätigung durch den Datenschutz. Bei neuen Organisationen ist dafür die Fachrolle Datenschutzberater/in vorbelegt; die ISMS-Verantwortlichen können in den Einstellungen der Schutzbedarfsanalyse eine andere, auch eine eigene Fachrolle wählen. Hat die Fachrolle noch keine Mitglieder, wartet die Freigabe, bis jemand sie besetzt. Ohne diese Stelle lassen sich Analysen mit Personendaten nicht einreichen.
• Wie eine DSFA bewertet wird, steht unter ISMS-Einstellungen › Assets › Datenschutz-Folgenabschätzung: die Skala Auswirkung auf betroffene Personen, das Ergebnis je Risikostufe, die vorgeschlagenen Risiken für die Datenschutz-Folgenabschätzung mit Szenarien und die Angaben zur Bearbeitung. Grundlage ist Ihre aktive Risikomethodik.
• Die DSFA ist in allen Paketen enthalten.

Wann eine DSFA nötig ist

Verarbeitet ein System Personendaten, beantwortet sein Eigentümer in der Schutzbedarfsanalyse die Fragen der Risikovorprüfung. Bei Personendaten mit hohem Schutzbedarf, etwa besonders schützenswerten, stellt Varmo immer alle Fragen; bei gewöhnlichen Personendaten zuerst die Auslöser und erst dann alle Fragen, wenn einer zutrifft. Trifft eine Regel zu, ist eine DSFA erforderlich.

Fragen und Regeln pflegen die ISMS-Verantwortlichen unter ISMS-Einstellungen › Assets › Schutzbedarfsanalyse im Abschnitt Risikovorprüfung und Datenschutz-Folgenabschätzung. Die gesetzlich vorgegebenen Fragen und Regeln (Art. 22 DSG) sind fest; Ihre Organisation kann eigene ergänzen, aber keine entfernen.

1. SchutzbedarfsanalyseDSFA nötig

   Eine Regel der Risikovorprüfung trifft zu.

2. EigentümerErstellen und bewerten

   Bearbeitung beschreiben, Risiken vor und nach den Massnahmen bewerten.

3. DatenschutzFreigeben

   Nie, wer die DSFA erstellt oder eingereicht hat.

↩ Erhöhtes Risiko

Bei der Freigabe ist die Konsultation mit Datum, Ergebnis und Nachweis (PDF) Pflicht.

↩ Zurückgewiesen

Die erstellende Person überarbeitet die DSFA und reicht erneut ein.

Die Schutzbedarfsanalyse des Systems ergibt, dass eine DSFA nötig ist. Der Eigentümer beschreibt die Bearbeitung, bewertet die Risiken vor und nach den Massnahmen und reicht die DSFA ein. Die Stelle Bestätigung durch den Datenschutz gibt sie frei; bei erhöhtem Risiko hält sie dabei die Konsultation mit Nachweis fest. Bei einer Zurückweisung überarbeitet die erstellende Person die DSFA.

So erstellen Sie eine DSFA

1. Öffnen Sie das System. Ist eine DSFA nötig, zeigt die Asset-Seite die Karte dazu. Klicken Sie auf DSFA erstellen.
2. Füllen Sie die Angaben zur Bearbeitung aus: Zweck der Bearbeitung, Betroffene Personen, Empfänger und Bekanntgabe und Aufbewahrung sowie allfällige eigene Felder Ihrer Organisation. Speichern können Sie jederzeit; geprüft wird erst beim Einreichen.
3. Varmo schlägt unter Risiken aus dem Katalog die Risiken Ihrer Organisation vor. Entfernen Sie, was nicht passt, und ergänzen Sie mit Risiko hinzufügen.
4. Bewerten Sie jedes Risiko Vor den Massnahmen und Nach den Massnahmen. Verknüpfen Sie dazu Massnahmen des Assets oder legen Sie neue an; die verantwortliche Person erhält eine Pendenz zur Umsetzung. Ohne Massnahme gilt das Risiko nach den Massnahmen wie davor.
5. Das höchste Restrisiko bestimmt das Ergebnis: keine erhöhten Risiken, mögliche erhöhte Risiken oder erhöhtes Risiko. Ausser bei „keine erhöhten Risiken“ begründen Sie das Ergebnis.
6. Klicken Sie auf Zur Freigabe einreichen.

Haben Sie bereits eine DSFA ausserhalb von Varmo erstellt, wählen Sie stattdessen Bestehende DSFA übernehmen und laden Sie den Bericht als PDF (höchstens 20 MB) mit Datum, Ergebnis und Zusammenfassung hoch. Auch sie geht zur Freigabe.

So geben Sie eine DSFA frei

Die Stelle für den Datenschutz erhält eine Pendenz. Prüfen Sie Beschreibung, Risiken und Massnahmen und wählen Sie DSFA freigeben oder DSFA zurückweisen. Lautet das Ergebnis „erhöhtes Risiko“, halten Sie bei der Freigabe die Konsultation fest: bei privaten Organisationen durch die Datenschutzberaterin bzw. den Datenschutzberater (Art. 23 Abs. 4 DSG) oder durch den EDÖB, bei Bundesorganen durch den EDÖB, jeweils mit Datum der Stellungnahme und Nachweis als PDF.

Was danach passiert

• Mit der Freigabe gilt die DSFA als durchgeführt und ist beim Asset als Nachweis festgehalten.
• Nach einer Zurückweisung erhält die erstellende Person eine Pendenz zur Überarbeitung.
• Verlangt eine spätere Schutzbedarfsanalyse erneut eine DSFA, schlägt Varmo die Risiken aus der letzten freigegebenen DSFA vor.

Häufige Fragen

Warum kann ich die Frage zu besonders schützenswerten Personendaten nicht ändern?

Die Antwort ergibt sich aus den Datenkategorien der verarbeiteten Informationen und lässt sich nicht übersteuern.

Kann unsere Organisation eine DSFA öfter verlangen als das Gesetz?

Ja. Ergänzen Sie eigene Fragen und Regeln in der Risikovorprüfung. Die gesetzlichen Vorgaben bleiben in jedem Fall bestehen.

Welche Datenschutzgesetze unterstützt Varmo?

Derzeit das Schweizer Datenschutzgesetz (DSG).