Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Gegenüber der automatisierten Datenverarbeitung sind allerdings die Gewichte
der Maßnahmen unterschiedlich gesetzt: hier kommt der Verhinderung
des Zugriffs durch Unbefugte zentrale Bedeutung zu (Vertraulichkeit);
wird dies sichergestellt, können auch die anderen Sicherungsziele erreicht
werden (vgl. Bü-Drs. 13/3282 zu § 8).
Absatz 4
Insbesondere mit Absatz 4 soll Artikel 20 der EG-Datenschutzrichtlinie umgesetzt
werden, wonach die Mitgliedsstaaten festlegen, welche Verarbeitungen
spezifische Risiken für die Rechte der Betroffenen beinhalten können
und dafür Sorge tragen, dass diese Verarbeitungen vor ihrem Beginn
geprüft werden. Der Hamburgische Gesetzgeber hat sich für eine datenschutzfreundliche
Regelung entschieden und die Vorabkontrolle ausnahmslos
für alle automatisierten Verfahren geregelt, unabhängig sowohl
von der Sensibilität der im Verfahren verarbeiteten personenbezogenen
Daten als auch von der Art des automatisierten Verfahrens (zum Begriff des
Verfahrens siehe Erläuterungen zu § 9 Abs. 1). Ausnahmen, wie sie etwa in
§ 9 HmbDSG zur Verfahrensbeschreibung für bestimmte Verfahren der
Bürokommunikation oder für Stellen wie der Polizei und weitere in § 23 Abs.
6 HmbDSG festgelegte Stellen vorgesehen sind, bestehen für die Erstellung
einer Risikoanalyse nicht. Die Feststellung spezifischer Risiken und
deren Beherrschbarkeit ist somit nicht Voraussetzung, sondern Teil der obligatorischen
Risikoanalyse bei automatisierten Verfahren. Die Risikoanalyse
ist in jedem Fall mit rechtzeitigem Vorlauf vor der Freigabe und der
anschließenden Produktionsaufnahme zu erstellen.
Absatz 4 „verpflichtet die Stellen, die automatisierte Verfahren zur Verarbeitung
personenbezogener Daten betreiben wollen, vor der Entscheidung
über die Einführung oder die wesentliche Änderung eines solchen Verfahrens,
eine Risikoanalyse durchzuführen. Hierin sind die Risiken des geplanten
Verfahrens abzuschätzen sowie mögliche Alternativen mit geringerer
Eingriffstiefe für die Betroffenen zu prüfen. Form und Tiefe der vorzunehmenden
Prüfung haben sich an der Sensibilität der zu verarbeitenden Daten und
an den technischen und organisatorischen Rahmenbedingungen der geplanten
Datenverarbeitung zu orientieren. Ein in bestimmter Weise formalisiertes
Prüfverfahren wird dabei nicht vorgeschrieben.
Nur soweit die Risiken durch technische und organisatorische Maßnahmen
– bei Geltung der Verhältnismäßigkeitsregelung des Absatzes 1 Satz 2 –
beherrschbar sind, ist der Einsatz des Verfahrens zulässig.
Diese Vorschrift … beinhaltet eine Regelung des sogenannten vorgezogenen
Datenschutzes; schon vor dem Einsatz oder der Änderung eines ADV-
82