Warum eine DSFA für Cloud-Projekte Pflicht ist
Die Cloud bietet enorme Chancen, birgt aber auch Risiken für den Datenschutz. Die Datenschutz-Grundverordnung (DSGVO) verlangt daher eine Datenschutz-Folgenabschätzung (DSFA), wenn ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Für den öffentlichen Sektor, der mit sensiblen Bürgerdaten arbeitet, ist das bei Cloud-Projekten fast immer der Fall.
Eine DSFA ist kein Hindernis, sondern ein Werkzeug zur Risikominimierung. Sie erzwingt eine systematische Auseinandersetzung mit dem Datenschutz und schafft Rechtssicherheit für Ihr Cloud-Projekt. Eine fehlende DSFA kann zu erheblichen Bußgeldern und zum Stopp des Projekts führen.
Wann genau ist eine DSFA erforderlich?
Artikel 35 der DSGVO ist eindeutig. Eine DSFA ist insbesondere erforderlich bei:
- Umfangreicher Verarbeitung besonderer Kategorien von Daten (z. B. Gesundheitsdaten).
- Systematischer und umfassender Bewertung persönlicher Aspekte (Profiling).
- Umfangreicher Überwachung öffentlich zugänglicher Bereiche.
Die deutsche Datenschutzkonferenz (DSK) hat eine Positivliste von Verarbeitungstätigkeiten veröffentlicht, für die grundsätzlich eine DSFA erforderlich ist. Die Nutzung von Cloud-Diensten für Fachverfahren mit großen Datenmengen fällt häufig in diese Kategorie.
Die 4 Schritte einer Datenschutz-Folgenabschätzung
Eine DSFA folgt einem strukturierten Prozess. Sie ist kein einmaliges Dokument, sondern ein lebendiger Prozess.
Schritt 1: Systematische Beschreibung
- Was? Welche Daten werden verarbeitet?
- Warum? Was ist der Zweck der Verarbeitung?
- Wer? Wer sind die Beteiligten (Verantwortlicher, Auftragsverarbeiter)?
- Wie? Welche Technologien und Prozesse werden eingesetzt?
Schritt 2: Bewertung von Notwendigkeit und Verhältnismäßigkeit
Ist die Verarbeitung für den Zweck wirklich erforderlich? Gibt es mildere, datensparsamere Alternativen? Die Rechtsgrundlage muss klar sein.
Schritt 3: Risikobewertung
Welche Risiken bestehen für die betroffenen Personen (Bürgerinnen und Bürger)? (z. B. unbefugter Zugriff, Datenverlust, Diskriminierung). Bewertet werden die Eintrittswahrscheinlichkeit und die Schwere des möglichen Schadens.
Schritt 4: Abhilfemaßnahmen
Welche technischen und organisatorischen Maßnahmen (TOMs) werden ergriffen, um die Risiken zu minimieren? Dazu gehören Verschlüsselung, Zugriffskontrollen und vertragliche Regelungen mit dem Cloud-Anbieter. Wie sich diese in Azure und GCP umsetzen lassen, zeigen wir in DSGVO-konforme Cloud-Nutzung: TOMs in Azure und GCP.
Kurz-Checkliste: DSFA für die Cloud
| Schritt | Schlüsselfrage | Erledigt? |
| 1. Beschreibung | Ist die Verarbeitung vollständig beschrieben? | ☐ |
| 2. Notwendigkeit | Ist die Rechtsgrundlage klar und die Verarbeitung verhältnismäßig? | ☐ |
| 3. Risikobewertung | Sind die Risiken für die betroffenen Personen identifiziert und bewertet? | ☐ |
| 4. Maßnahmen | Sind wirksame Abhilfemaßnahmen definiert? | ☐ |
| 5. Dokumentation | Ist die gesamte DSFA nachvollziehbar dokumentiert? | ☐ |
| 6. Konsultation | Müssen der Datenschutzbeauftragte oder die Aufsichtsbehörde konsultiert werden? | ☐ |
To-do-Liste für die DSFA
- Sofort: Klären, ob eine DSFA für das Cloud-Projekt verpflichtend ist.
- Woche 1: Ein verantwortliches Team für die DSFA benennen.
- Woche 2: Den Datenschutzbeauftragten frühzeitig einbeziehen.
- Monat 1: Mit der systematischen Beschreibung der Verarbeitung beginnen.
- Monat 2: Die Risikobewertung durchführen.
- Monat 3: Abhilfemaßnahmen mit dem Cloud-Service-Provider und dem IT-Sicherheitsteam definieren.
- Laufend: Die DSFA bei jeder Systemänderung aktualisieren.
Die Herausforderung: Drittlandtransfers
Seit dem Schrems-II-Urteil sind Datenübermittlungen in die USA und andere Drittländer komplex geworden. Cloud-Anbieter wie Microsoft (Azure), Amazon (AWS) und Google (GCP) sind US-Unternehmen. Eine DSFA muss dieses Risiko ausdrücklich bewerten – einschließlich der Möglichkeit eines Zugriffs nach dem US CLOUD Act, unabhängig davon, wo das Rechenzentrum steht.
Zu den Abhilfemaßnahmen hierfür gehören:
- Standardvertragsklauseln (SCCs): Der Standardmechanismus, allein aber oft nicht ausreichend.
- Zusätzliche TOMs: Starke Verschlüsselung (idealerweise mit eigenen Schlüsseln – BYOK/HYOK), Pseudonymisierung, Anonymisierung.
- Souveräne Cloud-Optionen: Nutzung EU-betriebener Plattformen und vertraglicher Zusicherungen – siehe Souveräne Cloud Deutschland.
Insight42: Ihr Partner für die Cloud-DSFA
Eine DSFA für Cloud-Dienste erfordert rechtliches, technisches und prozessuales Wissen. Wir verbinden diese Welten. Unsere Beratung zur Datenschutz-Folgenabschätzung ist praxisorientiert und auf den öffentlichen Sektor zugeschnitten.
Wir helfen Ihnen, Risiken zu identifizieren, wirksame Maßnahmen zu definieren und Ihre Cloud-Projekte rechtskonform zu gestalten – im Einklang mit BSI C5 und IT-Grundschutz.
Machen Sie Ihren Datenschutz zukunftssicher. Siehe NIS2- & Cloud-Security-Beratung (Deutsch) oder kontaktieren Sie uns.