Die Norm DIN EN ISO/IEC 29134 (häufig als ISO 29134 bezeichnet) beschreibt international anerkannte Leitlinien für die Durchführung einer Datenschutz-Folgenabschätzung (DSFA / Privacy Impact Assessment – PIA). Sie bietet Unternehmen und Organisationen ein strukturiertes Prozessmodell, um Risiken für die Rechte und Freiheiten von Personen bei der Verarbeitung personenbezogener Daten systematisch zu bewerten und zu minimieren.

Die folgende praxisnahe Umsetzungscheckliste orientiert sich an dem in der Norm definierten Prozessmodell für eine ISO-konforme Datenschutz-Folgenabschätzung und kann unverbindlich helfen:

Umsetzungshilfe zur DIN EN ISO/IEC 29134 (Datenschutz-Folgenabschätzung / PIA)

Phase 1: Vorbereitung & Geltungsbereich (Scoping)

• Auslöser prüfen: Feststellen, ob ein Vorhaben (z. B. Einführung neuer Software, KI-Anwendungen, umfangreiche Überwachung oder neue Kundendatenbanken) eine DSFA erforderlich macht (DSGVO Art. 35 bzw. nationale Kriterien).
• Projektteam definieren: Zuständigkeiten festlegen (Projektleitung, Fachabteilung, externer oder interner Datenschutzbeauftragter).
• Rahmenbedingungen festlegen: Festlegung des genauen Anwendungsbereichs und der Grenzen der geplanten Datenverarbeitung (Wer, wie, wo, womit?).
• Stakeholder einbinden: Identifikation von beteiligten Parteien (einschließlich betroffener Personen oder deren Vertretungen, wo sinnvoll).

Phase 2: Beschreibung der Datenverarbeitung

• Datenfluss-Mapping erstellen: Dokumentation, welche personenbezogenen Daten (PII) erhoben, verarbeitet, gespeichert und an wen übermittelt werden.
• Zweckbestimmung definieren: Klare Formulierung, warum die Daten erhoben werden und ob die Verarbeitung für den Zweck erforderlich ist (Zweckbindung).
• Technischer und organisatorischer Kontext: Beschreibung der genutzten IT-Systeme, Cloud-Dienste, Speicherorte und Zugriffskontrollen.

Phase 3: Bewertung von Notwendigkeit & Verhältnismäßigkeit

• Rechtfertigungsprüfung: Überprüfung der Rechtsgrundlage für die Verarbeitung (z. B. Einwilligung, Vertrag, berechtigtes Interesse).
• Datenminimierung checken: Validieren, ob die Datenverarbeitung dem Grundsatz der Datenminimierung entspricht (nur so viel wie nötig).
• Rechte der Betroffenen sicherstellen: Prüfen, wie die Auskunfts-, Berichtigungs- und Löschrechte der Nutzer während des Prozesses gewährt werden können.

Phase 4: Risikoidentifikation & -bewertung (Privacy Risk Assessment)

• Bedrohungen identifizieren: Ermittlung möglicher Datenschutzrisiken (z. B. unbefugter Zugriff, Datenverlust, Funktionsstörungen, unzulässige Profilbildung).
• Schadenswirkung einschätzen: Bewertung, welche negativen Folgen (finanzieller, immaterieller oder gesellschaftlicher Art) für die betroffenen Personen bei einem Eintritt der Risiken entstehen könnten.
• Eintrittswahrscheinlichkeit bestimmen: Einschätzung, wie wahrscheinlich das Auftreten der identifizierten Risiken ist.
• Risikomatrix anwenden: Einstufung der Gesamtrisiken (z. B. gering, mittel, hoch).

Phase 5: Maßnahmen zur Risikominderung (Mitigation)

• Technische Maßnahmen festlegen: Einsatz von Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen oder Anonymisierung.
• Organisatorische Maßnahmen festlegen: Anpassung von internen Richtlinien, Schulung der Mitarbeitenden oder vertragliche Regelungen (AVV).
• Restrisiko bewerten: Überprüfung, ob das verbleibende Risiko (nach Umsetzung der Maßnahmen) auf ein akzeptables Maß gesenkt werden konnte.

Phase 6: Dokumentation & Berichterstattung (PIA-Report)

• PIA-Bericht erstellen: Zusammenfassung gemäß den Vorgaben der ISO 29134 (Inhalt: Zusammenfassung, Methodik, Verarbeitungsbeschreibung, Risikobewertung und geplante Maßnahmen).
• Stellungnahme des Datenschutzbeauftragten (DSB): Einholen der fachlichen Bewertung des DSB zum Bericht.
• Entscheidung der Geschäftsführung: Formale Freigabe und Freizeichnung durch die Unternehmensleitung.
• Behördenkonsultation (falls nötig): Bei verbleibenden hohen Risiken (trotz Gegenmaßnahmen) Abstimmung mit der zuständigen Datenschutzaufsichtsbehörde (Art. 36 DSGVO).

Phase 7: Überprüfung & Monitoring

• Wiedervorlage einrichten: Regelmäßige Überprüfung des Prozesses und der getroffenen Maßnahmen bei Änderungen der Technologie oder der Geschäftsprozesse (kontinuierliche Verbesserung).