DSGVO-fuer_website_Betreiber_ECO-VERBAND-Whitepaper

Da die zuvor erläuterten Fälle einer notwendigen Folgenabschätzung nur Regelbeispiele
sind, damit keinesfalls abschließend, soll die Aufsichtsbehörde den Verantwortlichen darin
unterstützen, abschätzungsbedürftige Datenverarbeitungsvorgänge zu ermitteln. Der
europäische Gesetzgeber erlegt den Aufsichtsbehörden in Art. 35 Abs. 4 und 5 DSGVO
daher die Pflicht auf, eigene Listen der Verarbeitungsvorgänge zu erstellen, für die eine
Datenschutz-Folgenabschätzung durchzuführen ist (sogenannte Blacklist) bzw. für die
gerade keine Datenschutz-Folgenabschätzung erforderlich ist (sogenannte Whitelist).
Dieser Pflicht zur Erstellung von Black- und Whitelists ist die Artikel-29-Datenschutzgruppe,
ein Zusammenschluss der europäischen Aufsichtsbehörden, nachgekommen.
Sie hat am 4. April 2017 die »Guidelines on Data Protection Impact Assessment (DPIA)
and determining whether processing is ›likely to result in a high risk‹ for the purposes of
Regulation 2016/679« (WP 248 17/EN) veröffentlicht, an denen Sie sich orientieren können.
Hinweis
Die Artikel-29-Datenschutzgruppe, (engl. Article 29 Data Protection Working Party) ist
das unabhängige Beratungsgremium der EU-Kommission in datenschutzrechlichen
Fragestellungen. Die rechtliche Grundlage dieser Gruppe geht auf die europäische Datenschutzrichtlinie
zurück (95/46/EG), die inzwischen durch die Datenschutz-Grundverordnung
ersetzt wurde. Diese neue Gesetzeslage hat zudem zur Folge, dass seit
dem 25. Mai 2018 die Art. 29-Datenschutzgruppe durch ihren Rechtsnachfolger, den
Europäischen Datenschutzausschuss, abgelöst wurde. Dieser besteht jedoch derzeit
noch nur auf dem Papier. Hier sollten Sie weitere Entwicklungen mitverfolgen – auch
im Hinblick auf die Frage, ob der Europäische Datenschutzausschuss der bisherigen
Rechtsauffassung der Artikel 29-Datenschutzgruppe folgen wird.
eco – Verband der Internetwirtschaft e. V. 3