Datenschutz-Folgenabschätzung (DSFA) nach DSGVO in der KEP Branche

Aktuell gehen wir davon aus, dass bei KEP Diensten, die Standardleistungen anbieten, keine Datenschutz-Folgenabschätzung (DSFA) notwendig ist. Sofern jedoch z.B. Serviceangebote im medizinischen Bereich angeboten werden, muß über die Durchführung einer DSFA erneut entschieden werden.

Begründung:

Artikel 35 DSGVO: (1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden.

Die Datenschutzkonferenz hat die Erforderlichkeit einer DSFA wie folgt definiert:

Ob eine DSFA durchzuführen ist, ergibt sich aus einer Abschätzung der Risiken der Verarbeitungsvorgänge („Schwellwertanalyse“). Ergibt diese ein voraussichtlich hohes Risiko, dann ist eine DSFA durchzuführen. Wird festgestellt, dass der Verarbeitungsvorgang kein hohes Risiko aufweist, dann ist eine DSFA nicht zwingend erforderlich. In jedem Fall ist die Entscheidung über die Durchführung oder Nichtdurchführung der DSFA mit Angabe der maßgeblichen Gründe für den konkreten Verarbeitungsvorgang schriftlich zu dokumentieren. (Quelle: Kurzpapier Nr. 5 Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO)

Die Artikel 29 Datenschutzgruppe hat einen nicht rechtsverbindlichen Kriterienkatalog zur Abschätzung des  Risikos erarbeitet. Hier sind 10 Kriterien aufgeführt. Wenn davon mehr als ein Kriterium bei der Datenverarbeitung erfüllt ist, ist eine Datenschutzfolgeabschätzung vorzunehmen.

Kriterien incl. Beurteilung für KEP Unternehmen die Standarddienstleistungen (Stadtkurierdienst, Standardpakete, Briefbeförderung) anbieten. ACHTUNG: KEP Unternehmen mit besonderen Versandgütern oder Rahmenbedingungen sollten diese Bewertung für sich selbst validieren und ggfs. davon abweichen und eine DSFA durchführen. Es kann sein, dass bei bestimmten beförderten Sendungen oder Datenverarbeitungen die Risikobewertung abweichend ist. Dann kann es sein, dass eine DSFA notwendig ist.

1. Scoring, Profiling, Evaluation, z. B. Einschätzung der Kreditwürdigkeit, Behavioral Marketing etc. - findet i.d.R. bei KEP Diensten nicht statt
   
   
2. automatisierte Einzelfallentscheidungen - findet i.d.R. bei KEP Diensten nicht statt
   
   
3. systematische Überwachung - findet i.d.R. bei KEP Diensten nicht statt
   
   
4. Verarbeitung sensibler Daten - findet i.d.R. bei KEP Diensten nicht statt
   
   
5. umfangreiche Datenverarbeitungen (bezogen auf die Anzahl betroffener Personen und Datenkategorien, die Dauer der Verarbeitung, die geographische Ausdehnung) - trifft i.d.R. auf KEP Diensten zu
   
   
6. das Zusammenführen oder Abgleichen von Datenbeständen, wenn Betroffene nicht damit rechnen können - findet i.d.R. bei KEP Diensten nicht statt
   
   
7. die Verarbeitung von Daten besonders schutzbedürftiger Personen - trifft i.d.R. auf KEP Diensten nicht zu
   
   
8. Neuartigkeit von Verarbeitungsvorgängen, Verwendung neuer Technologien (bspw. Fingerabdrucksensoren oder Gesichtserkennung) - trifft i.d.R. bei KEP Diensten nicht zu, Innovative Technologien wie zur Tourenoptimierung benötigen keine personenbezogenen Daten bzw. führen für den Betroffenen zu keinem erhöhtem Risiko
   
   
9. Übermittlung von personenbezogenen Daten an Empfänger außerhalb der EU - findet i.d.R. bei KEP Diensten nicht statt
   
   
10. Verarbeitungen, die es betroffenen Personen erschweren, ihre Rechte auszuüben oder eine Leistung in Anspruch zu nehmen, z.B. die Beurteilung der Kreditwürdigkeit durch eine Bank vor der Vergabe eines Darlehens. - trifft i.d.R. auf KEP Diensten nicht zu

Somit ist im Standardfall einzig der Punkt 5 zutreffend. Deshalb besteht keine Notwendigkeit zur Durchführung einer DSFA.