Privacy Impact Assessment (PIA)

Ein Privacy Impact Assessment (PIA) ist ein strukturiertes Verfahren, mit dem eine Organisation vor Einführung einer Verarbeitung personenbezogener Daten deren Risiken für die Rechte und Freiheiten der betroffenen Personen systematisch bewertet und Schutzmaßnahmen festlegt. Im europäischen Recht entspricht dem Privacy Impact Assessment die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO; international beschreibt ISO/IEC 29134 den methodischen Rahmen. Das Ergebnis ist ein dokumentierter Nachweis, der gegenüber Aufsichtsbehörden vorgelegt werden kann.

Was ist ein Privacy Impact Assessment (PIA)?

Ein Privacy Impact Assessment ist eine vorgelagerte Risikobewertung: Es prüft, welche Auswirkungen eine geplante Verarbeitung personenbezogener Daten auf die betroffenen Personen haben kann, bevor die Verarbeitung startet. Der Begriff stammt aus dem angloamerikanischen Raum und ist dort seit den 1990er-Jahren etabliert – in den USA verpflichtet Section 208 des E-Government Act von 2002 Bundesbehörden zu solchen Bewertungen, in Kanada, Australien und Neuseeland bestehen vergleichbare Verwaltungsvorgaben.

Der entscheidende Punkt des Privacy Impact Assessment ist die Perspektive. Bewertet wird nicht das Risiko für die Organisation, sondern das Risiko für die Menschen, deren Daten verarbeitet werden. Eine klassische Risikoanalyse im Informationssicherheits-Managementsystem fragt, welchen Schaden ein Vorfall für Betrieb, Umsatz und Reputation bedeutet. Ein Privacy Impact Assessment fragt, welcher Schaden Beschäftigten, Patienten, Bürgerinnen und Bürgern oder Kunden droht: Diskriminierung, Identitätsdiebstahl, finanzieller Verlust, Rufschädigung, der Bruch eines Berufsgeheimnisses oder der Verlust der Kontrolle über die eigenen Daten. Erwägungsgrund 75 der DSGVO zählt diese Schadensarten ausdrücklich auf. In der Praxis ist genau dieser Perspektivwechsel die häufigste Fehlerquelle, weil bestehende Risikomethoden aus der IT-Sicherheit unverändert übernommen werden.

Ein Privacy Impact Assessment ist außerdem kein einmaliges Gutachten, sondern ein Prozess mit Ergebnisdokument. Es begleitet ein Vorhaben von der Konzeption über die Auswahl technischer und organisatorischer Maßnahmen bis zur Freigabe und wird bei Änderungen fortgeschrieben. Damit ist das Privacy Impact Assessment das operative Gegenstück zu Privacy by Design nach Art. 25 DSGVO: Es macht sichtbar, welche Gestaltungsentscheidungen überhaupt datenschutzrelevant sind, solange sie noch änderbar sind.

Wie unterscheidet sich ein Privacy Impact Assessment von der Datenschutz-Folgenabschätzung (DSFA)?

Privacy Impact Assessment und Datenschutz-Folgenabschätzung bezeichnen dasselbe Grundverfahren, unterscheiden sich aber in Verbindlichkeit und Anwendungsbereich. Die Datenschutz-Folgenabschätzung (DSFA) ist der rechtlich definierte Begriff der DSGVO mit festgelegtem Mindestinhalt nach Art. 35 Abs. 7; die englische Fassung der Verordnung spricht von Data Protection Impact Assessment (DPIA). Das Privacy Impact Assessment ist der weitere, methodische Oberbegriff, der auch außerhalb des europäischen Rechtsrahmens verwendet wird und Aspekte über den Schutz personenbezogener Daten hinaus einbeziehen kann, etwa Persönlichkeitsrechte oder informationelle Selbstbestimmung insgesamt.

Praktisch bedeutet das: Wer im DACH-Raum ein Privacy Impact Assessment durchführt, muss die formalen Anforderungen der DSFA erfüllen, sonst hat die Bewertung keinen aufsichtsrechtlichen Wert. Umgekehrt bleibt der methodische Werkzeugkasten des Privacy Impact Assessment auch dann nutzbar, wenn keine gesetzliche Pflicht besteht – als freiwillige Vorabprüfung, deren Ergebnis dokumentiert wird.

Die Verfahren überschneiden sich, ersetzen einander aber nicht. Insbesondere die Annahme, eine vorhandene ISMS-Risikoanalyse decke die DSFA mit ab, hält einer aufsichtsbehördlichen Prüfung erfahrungsgemäß nicht stand.

Wann ist ein Privacy Impact Assessment verpflichtend?

Ein Privacy Impact Assessment in Form der Datenschutz-Folgenabschätzung ist verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Art. 35 Abs. 3 nennt drei Regelbeispiele: die systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling als Grundlage automatisierter Entscheidungen mit Rechtswirkung, die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 oder von Daten über strafrechtliche Verurteilungen nach Art. 10 sowie die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Ergänzend veröffentlichen die Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO sogenannte Muss-Listen mit Verarbeitungsvorgängen, für die eine DSFA in jedem Fall erforderlich ist – in Deutschland abgestimmt über die Datenschutzkonferenz (DSK), die das Thema zusätzlich im Kurzpapier Nr. 5 aufbereitet hat. Nach Abs. 5 können die Behörden auch Listen führen, für die keine Folgenabschätzung nötig ist.

Für die Einschätzung im Graubereich haben sich die neun Kriterien der ehemaligen Artikel-29-Datenschutzgruppe (Leitlinien WP 248 rev.01, vom Europäischen Datenschutzausschuss übernommen) als Standard durchgesetzt. Treffen zwei oder mehr Kriterien zu, ist regelmäßig von einem hohen Risiko auszugehen.

Ob eine DSFA erforderlich ist, wird in einer Schwellwertanalyse geprüft und dokumentiert. Diese Vorabprüfung ist auch dann sinnvoll, wenn sie negativ ausfällt: Sie ist der Nachweis, dass die Frage überhaupt gestellt wurde, und gehört damit zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Bestandsverfahren, die vor Geltungsbeginn der DSGVO eingeführt wurden, sind nicht automatisch ausgenommen – ändern sich Risiko, Zweck oder eingesetzte Technik, entsteht die Pflicht neu.

Wie läuft ein Privacy Impact Assessment ab?

Ein Privacy Impact Assessment folgt einem festen Ablauf, der sich in ISO/IEC 29134 und in den Handreichungen der Aufsichtsbehörden in ähnlicher Form findet. Üblich sind sieben Schritte:

1. Vorbereitung und Schwellwertanalyse. Zunächst wird der Prüfgegenstand abgegrenzt und geprüft, ob überhaupt eine Pflicht besteht. Ein Privacy Impact Assessment kann mehrere ähnliche Verarbeitungen gemeinsam abdecken, etwa eine organisationsweit eingesetzte Anwendung mit einheitlicher Konfiguration.
2. Systematische Beschreibung der Verarbeitung. Erfasst werden Zwecke, Rechtsgrundlage, Datenkategorien, Betroffenengruppen, Empfänger, Speicherfristen, beteiligte Systeme, Schnittstellen und Drittlandbezüge. Grundlage ist regelmäßig das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.
3. Prüfung von Notwendigkeit und Verhältnismäßigkeit. Hier wird geprüft, ob der Zweck auch mit weniger Daten, kürzerer Speicherung oder geringerer Eingriffstiefe erreichbar ist. Dieser Schritt entscheidet häufiger über das Ergebnis als jede spätere technische Maßnahme.
4. Risikobewertung. Für jede identifizierte Bedrohung werden Eintrittswahrscheinlichkeit und Schwere der Folgen für die betroffenen Personen bewertet.
5. Festlegung von Abhilfemaßnahmen. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO werden konkreten Risiken zugeordnet – Verschlüsselung, Pseudonymisierung, Rollen- und Berechtigungskonzepte, Löschkonzepte, Protokollierung, Schulungen.
6. Bewertung des Restrisikos und Freigabe. Das verbleibende Risiko wird erneut bewertet und dokumentiert freigegeben. Bleibt es trotz Maßnahmen hoch, greift die vorherige Konsultation nach Art. 36 DSGVO.
7. Überprüfung und Fortschreibung. Das Privacy Impact Assessment wird bei Änderungen der Verarbeitung oder der Risikolage aktualisiert.

Zwei Beteiligungen sind rechtlich vorgesehen und werden in der Praxis oft übersehen: Der Rat der oder des Datenschutzbeauftragten ist nach Art. 35 Abs. 2 DSGVO einzuholen, und nach Art. 35 Abs. 9 ist gegebenenfalls der Standpunkt der betroffenen Personen oder ihrer Vertreter zu erheben – im Beschäftigtenkontext regelmäßig über den Betriebs- oder Personalrat.

Welche Inhalte muss ein Privacy Impact Assessment nach Art. 35 Abs. 7 DSGVO enthalten?

Art. 35 Abs. 7 DSGVO legt vier Mindestbestandteile fest, die jedes Privacy Impact Assessment im Anwendungsbereich der DSGVO enthalten muss: eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Verarbeitungszwecke einschließlich eines etwaigen berechtigten Interesses, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung in Bezug auf den Zweck, eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die geplanten Abhilfemaßnahmen einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren zum Nachweis der Einhaltung.

Diese vier Punkte sind ein Mindestinhalt, keine Gliederungsempfehlung. In der Praxis kommen die Verknüpfung mit dem Löschkonzept, die Bewertung von Auftragsverarbeitern und Unterauftragnehmern, die Dokumentation der Rechtsgrundlage je Verarbeitungszweck sowie ein Maßnahmenplan mit Verantwortlichkeiten und Terminen hinzu. Ein Privacy Impact Assessment muss nicht veröffentlicht werden; die Leitlinien WP 248 rev.01 empfehlen jedoch, zumindest eine Zusammenfassung zu veröffentlichen, um Vertrauen zu schaffen – besonders im öffentlichen Sektor ein wirksames Transparenzsignal.

Wie werden Risiken im Privacy Impact Assessment bewertet?

Risiken werden im Privacy Impact Assessment aus dem Zusammenspiel von Eintrittswahrscheinlichkeit und Schwere der Folgen für die betroffenen Personen bestimmt. Erwägungsgrund 76 der DSGVO verlangt dafür eine objektive Bewertung anhand von Art, Umfang, Umständen und Zwecken der Verarbeitung. Üblich sind Skalen mit drei bis vier Stufen, die in einer Risikomatrix zusammengeführt werden; entscheidend ist weniger die Skalenfeinheit als die nachvollziehbare Begründung jeder Einstufung.

Bewertet werden dabei nicht nur Sicherheitsvorfälle. Ein Privacy Impact Assessment berücksichtigt auch Risiken, die aus der regulären, planmäßigen Verarbeitung entstehen: unzulässige Zweckänderung, fehlende Löschung, unbemerkte Profilbildung durch Zusammenführung von Datensätzen oder eine Verarbeitung, die Betroffene faktisch von einer Leistung ausschließt. Ein Datenabfluss ist nur einer von mehreren möglichen Schadenspfaden.

Im deutschsprachigen Raum hat sich für die Strukturierung das Standard-Datenschutzmodell (SDM) der Datenschutzkonferenz etabliert. Es übersetzt rechtliche Anforderungen in sieben Gewährleistungsziele – Datenminimierung, Verfügbarkeit, Integrität, Vertraulichkeit, Nichtverkettung, Transparenz und Intervenierbarkeit – und ordnet ihnen konkrete Maßnahmen zu. Für ein Privacy Impact Assessment ist das SDM vor allem deshalb nützlich, weil es die aus der IT-Sicherheit bekannten Schutzziele um die spezifisch datenschutzrechtlichen Ziele Nichtverkettung, Transparenz und Intervenierbarkeit ergänzt. Genau diese drei bleiben unbewertet, wenn eine ISMS-Methode unverändert übernommen wird.

Welche Normen und Methoden gelten für Privacy Impact Assessments?

Für Privacy Impact Assessments existiert ein internationaler Normenrahmen, der die DSGVO methodisch ergänzt. ISO/IEC 29134 ist die maßgebliche Leitlinie für Ablauf, Struktur und Berichtsform eines Privacy Impact Assessment. ISO/IEC 29100 liefert mit dem Privacy Framework die zugrunde liegende Begriffs- und Prinzipienbasis. ISO/IEC 27701 erweitert ISO/IEC 27001 und ISO/IEC 27002 zu einem Datenschutz-Managementsystem (Privacy Information Management System, PIMS) und ist der übliche Weg, ein Privacy Impact Assessment nicht als Einzelfallübung, sondern als wiederholbaren Prozess zu verankern.

Auf nationaler und behördlicher Ebene kommen praxisnahe Methoden hinzu: das Standard-Datenschutzmodell der deutschen Aufsichtsbehörden, die frei verfügbare PIA-Software der französischen Aufsichtsbehörde CNIL sowie das NIST Privacy Framework für den US-amerikanischen Kontext. Für die Bewertung technischer Maßnahmen wird ergänzend auf den BSI IT-Grundschutz zurückgegriffen. Keine dieser Methoden ist vorgeschrieben – Art. 35 DSGVO gibt Ergebnisqualität und Mindestinhalt vor, nicht das Verfahren.

Wer ist für ein Privacy Impact Assessment verantwortlich?

Verantwortlich für die Durchführung des Privacy Impact Assessment ist der Verantwortliche im Sinne der DSGVO, also die Organisation und damit ihre Leitung. Diese Pflicht ist nicht delegierbar. Die oder der Datenschutzbeauftragte berät und überwacht die Durchführung (Art. 35 Abs. 2, Art. 39 Abs. 1 lit. c DSGVO), führt das Privacy Impact Assessment aber nicht selbst durch – eine Rollenvermischung, die in der Praxis regelmäßig auftritt und die Unabhängigkeit der Beratungsfunktion beschädigt.

Die inhaltliche Substanz liefern die Fachbereiche, die den Zweck der Verarbeitung verantworten, gemeinsam mit IT und Informationssicherheit für die technische Bewertung. Auftragsverarbeiter sind nach Art. 28 Abs. 3 lit. f DSGVO verpflichtet, den Verantwortlichen bei der Folgenabschätzung zu unterstützen; die Bewertung selbst bleibt beim Verantwortlichen. Diese Unterstützungspflicht sollte im Vertrag zur Auftragsverarbeitung konkret beschrieben sein, sonst besteht sie nur auf dem Papier.

Was passiert, wenn nach dem Privacy Impact Assessment ein hohes Restrisiko bleibt?

Bleibt nach dem Privacy Impact Assessment trotz geplanter Maßnahmen ein hohes Risiko bestehen, muss der Verantwortliche vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde konsultieren (Art. 36 Abs. 1 DSGVO). Die Behörde unterbreitet innerhalb von acht Wochen schriftliche Empfehlungen; die Frist kann um sechs Wochen verlängert werden. Bis zur Antwort darf die Verarbeitung nicht aufgenommen werden – ein Zeitfaktor, der in Projektplänen berücksichtigt werden muss.

Wird eine erforderliche Folgenabschätzung nicht, unvollständig oder erst nachträglich durchgeführt, ist das ein eigenständiger Verstoß. Art. 83 Abs. 4 lit. a DSGVO sieht dafür Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Hinzu kommen Anordnungsbefugnisse der Aufsichtsbehörden bis zur Untersagung der Verarbeitung.

Wann ist ein Privacy Impact Assessment für Kommunikationslösungen erforderlich?

Für Kommunikations- und Messaging-Lösungen ist ein Privacy Impact Assessment immer dann erforderlich, wenn über sie personenbezogene Daten mit hohem Schutzbedarf ausgetauscht werden – Gesundheits- und Sozialdaten, einsatzbezogene Daten von Behörden und Organisationen mit Sicherheitsaufgaben, Beschäftigtendaten oder Standortdaten. Typischerweise treffen dabei mehrere WP-248-Kriterien zusammen: besondere Datenkategorien, schutzbedürftige Personengruppen und, bei Live-Standortfunktionen oder Auswertungen, ein Überwachungsaspekt.

Relevant für die Bewertung sind vor allem vier Punkte: die Vertraulichkeit der Inhalte, üblicherweise über Ende-zu-Ende-Verschlüsselung adressiert; die Verarbeitung von Metadaten wie Kontaktbeziehungen, Zeitstempeln und Gerätedaten, die häufig unterschätzt wird; Speicherorte und Übermittlungen in Drittländer samt der Frage nach Datensouveränität und geeigneten Garantien nach Kapitel V DSGVO; sowie die Kontrolle über Endgeräte, etwa über Mobile Device Management und die Trennung dienstlicher von privaten Daten. Ein wiederkehrendes Ergebnis in der Praxis: Der Einsatz privater Consumer-Messenger für dienstliche Kommunikation lässt sich in einem Privacy Impact Assessment kaum begründen, weil sich weder Löschfristen noch Empfängerkreise noch der Adressbuchzugriff kontrollieren lassen.

Organisationen lösen diese Anforderungen in der Regel über freigegebene Kommunikationslösungen, deren Datenverarbeitung, Speicherfristen und Berechtigungen zentral administrierbar und dokumentierbar sind – also über Eigenschaften, die sich im Privacy Impact Assessment als konkrete Abhilfemaßnahmen belegen lassen.

Wie sich Speicherfristen, Berechtigungen und Protokollierung zentral steuern lassen, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Wie oft muss ein Privacy Impact Assessment überprüft werden?

Ein Privacy Impact Assessment muss überprüft werden, sobald sich das mit der Verarbeitung verbundene Risiko ändert; Art. 35 Abs. 11 DSGVO verlangt dies ausdrücklich. Anlässe sind neue Verarbeitungszwecke, zusätzliche Datenkategorien oder Empfänger, ein Wechsel des Auftragsverarbeiters, geänderte Speicherorte, neue Funktionen mit Personenbezug sowie eingetretene Datenschutzverletzungen.

Unabhängig davon hat sich ein fester Überprüfungsrhythmus bewährt, üblicherweise jährlich oder alle zwei Jahre. Ohne einen solchen Turnus veraltet ein Privacy Impact Assessment still: Das Dokument existiert weiter, beschreibt aber eine Verarbeitung, die es in dieser Form nicht mehr gibt – und verliert damit genau die Nachweisfunktion, für die es erstellt wurde. Die DSGVO-Konformität einer Verarbeitung bemisst sich am tatsächlichen Betrieb, nicht am Stand der Dokumentation.

Welche Fehler treten bei Privacy Impact Assessments häufig auf?

Der häufigste Fehler beim Privacy Impact Assessment ist der falsche Zeitpunkt: Die Bewertung wird erst erstellt, wenn die Auswahlentscheidung bereits gefallen und das System konfiguriert ist. Dann dokumentiert sie nur noch den Ist-Zustand, statt ihn zu beeinflussen. Weitere typische Schwachstellen:

• Risiken werden aus Sicht der Organisation statt aus Sicht der betroffenen Personen bewertet
• die Schwellwertanalyse wird gar nicht oder ohne Begründung dokumentiert
• Notwendigkeit und Verhältnismäßigkeit werden übersprungen und durch eine Maßnahmenliste ersetzt
• Metadaten, Protokolldaten und Backups bleiben in der Betrachtung außen vor
• Maßnahmen sind allgemein formuliert und keinem konkreten Risiko zugeordnet
• die oder der Datenschutzbeauftragte wird erst zur Freigabe eingebunden statt zur Beratung
• das Ergebnis wird nach Projektabschluss nicht mehr fortgeschrieben

Zusammenfassung: Wichtige Punkte zu Privacy Impact Assessment (PIA)

• Ein Privacy Impact Assessment (PIA) ist ein strukturiertes Verfahren, das vor Beginn einer Verarbeitung deren Risiken für die Rechte und Freiheiten der betroffenen Personen bewertet und Schutzmaßnahmen festlegt.
• Im europäischen Recht entspricht dem Privacy Impact Assessment die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO, englisch Data Protection Impact Assessment (DPIA).
• Ein Privacy Impact Assessment bewertet das Risiko für die betroffenen Personen, nicht für die Organisation – das unterscheidet es von der Risikoanalyse eines Informationssicherheits-Managementsystems.
• Pflicht besteht bei voraussichtlich hohem Risiko, insbesondere bei Profiling mit Rechtswirkung, umfangreicher Verarbeitung besonderer Datenkategorien und systematischer Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 3 DSGVO).
• Die neun Kriterien der Leitlinien WP 248 rev.01 dienen als Prüfraster; ab zwei zutreffenden Kriterien ist regelmäßig von einem hohen Risiko auszugehen.
• Der Mindestinhalt nach Art. 35 Abs. 7 DSGVO umfasst Beschreibung der Verarbeitung, Prüfung von Notwendigkeit und Verhältnismäßigkeit, Risikobewertung und Abhilfemaßnahmen.
• Methodische Grundlagen liefern ISO/IEC 29134, ISO/IEC 27701 und das Standard-Datenschutzmodell (SDM) mit seinen sieben Gewährleistungszielen.
• Verantwortlich ist die Leitung der Organisation; die oder der Datenschutzbeauftragte berät nach Art. 35 Abs. 2 DSGVO, Auftragsverarbeiter unterstützen nach Art. 28 Abs. 3 lit. f DSGVO.
• Bleibt ein hohes Restrisiko, ist vor Verarbeitungsbeginn die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO, Antwortfrist acht Wochen, verlängerbar um sechs Wochen).
• Eine fehlende oder unzureichende Folgenabschätzung kann mit Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 lit. a DSGVO).