Große Ereignisse werfen ihre Schatten voraus: Die Europäische Datenschutz-Grundverordnung kommt – und mit ihr das Instrument der „Datenschutz-Folgenabschätzung“. Für Datenverarbeitungen, die voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten der Betroffenen bergen, sollen künftig laut Artikel 33 der Grundverordnung vorab die Folgen der vorgesehenen Verarbeitungsvorgänge abgeschätzt werden. Dies gilt insbesondere für die Verwendung neuer Technologien. Ziel ist eine gute Datenschutzvorsorge im Interesse der Bürgerinnen und Bürger: Bestehende Mängel und Risiken in Verfahren und Systemen sollen frühzeitig identifiziert und vor der Inbetriebnahme behoben werden.
Nach der Verabschiedung der Datenschutz-Grundverordnung, mit der im Frühjahr 2016 gerechnet wird, bleiben zwei Jahre Zeit, bis die Datenschutz-Folgenabschätzung für möglicherweise kritische Verarbeitungen Pflicht wird. In der Übergangszeit gilt es, die genauen Anforderungen an eine Datenschutz-Folgenabschätzung zu erarbeiten. Einen Entwurf zur Ausgestaltung der künftigen Datenschutz-Folgenabschätzungen hat nun das interdisziplinäre „Forum Privatheit und selbstbestimmtes Leben in der Digitalen Welt“ in einem White Paper vorgelegt, an dem Forscherinnen und Forscher des Fraunhofer-Instituts für System- und Innovationsforschung (ISI), der Universität Kassel sowie des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) mitgewirkt haben.
Aus der Einleitung des White Papers zu Datenschutz-Folgenabschätzungen (DSFA):
„Dass eine Folgenabschätzung vor dem Einsatz einer bestimmten Technologie, oder gar vor deren Entwicklung, sinnvoll ist, hat sich seit den 1960er Jahren unter dem Begriff der ‚Technikfolgenabschätzung‘ (TA) weitgehend durchgesetzt – allerdings zunächst vor allem mit Blick auf Folgen für Gesundheit und Umwelt. Die Ausweitung auf Fragen des Datenschutzes hat erst sehr viel später begonnen. Im Rahmen der Reform der Datenschutzvorschriften in der EU wurde die Idee aufgegriffen, Technikfolgen auch für das Recht auf Achtung des Privatlebens (Art. 7 Charta der Grundrechte der Europäischen Union; Charta) und den Schutz personenbezogener Daten (Art. 8 Charta) abzuschätzen. So wird es mit der Anwendbarkeit (voraussichtlich 2018) der Vorschriften der europäischen Datenschutz-Grundverordnung (DS-GVO) unter bestimmten Bedingungen verpflichtend sein, eine DSFA durchzuführen.
