Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Verfahrens hat sich die … (Daten verarbeitende) Stelle bewusst zu machen,
welche Risiken für den Datenschutz mit einem bestimmten Verfahren
verbunden sind und wie diese beherrscht werden können“ (Bü-Drs. 16/3995
zu § 8).
Zudem ist „die Daten verarbeitende Stelle dazu verpflichtet, das Ergebnis
der Risikoanalyse der oder dem behördlichen Datenschutzbeauftragten
bzw. der oder dem Hamburgischen Datenschutzbeauftragten zur Stellungnahme
vorzulegen, soweit danach von einem Verfahren eine besondere
Gefährdung für die Rechte der Betroffenen ausgeht (Absatz 4 Satz 3)“
(Bü-Drs. 16/3995 zu § 8). Der HmbBfDI geht davon aus, dass mit dem Ergebnis
der Untersuchung jeweils auch deren Begründung so rechtzeitig
zugeleitet wird, dass die Stellungnahme dazu noch vor Produktionsaufnahme
von der Daten verarbeitenden Stelle berücksichtigt wird.
Der Begriff der „besonderen Gefährdung“ kann als unbestimmter Rechtsbegriff
nur einzelfallbezogen konkretisiert werden. Als Beurteilungskriterien
kommen insbesondere die Art und der Umfang der zu verarbeitenden Daten
sowie Zweck, Art und Umfang ihrer Verarbeitung in Betracht. Eine besondere
Gefährdung liegt in jedem Fall nur vor, wenn die Gefahren, die von
einem Datenverarbeitungsverfahren für die Rechte der Betroffenen ausgehen,
deutlich das übliche Maß der Gefährdung übersteigen, das jede automatisierte
Datenverarbeitung mit sich bringt. Im Hinblick auf Art und Umfang
der Daten kann eine besondere Gefährdung z.B. vorliegen, wenn sensitive
Daten im Sinne von § 5 Absatz 1 Satz 2 Gegenstand der Verarbeitung sind,
Daten, die einer besonderen Geheimhaltenspflicht unterliegen wie z.B. Sozialdaten
und Steuerdaten oder Daten der einzelnen Betroffenen in einem Umfang
verarbeitet werden, der weitreichende Schlüsse auf die Persönlichkeit
oder den Lebenswandel der Betroffenen ermöglicht. Aus Zweck, Art und
Umfang der Verarbeitung können sich besondere Gefährdungen z.B. ergeben,
wenn es sich um Verarbeitungen nach den §§ 5a und 5b handelt oder
aus den Ergebnissen der Verarbeitung gravierende nachteilige Folgen für die
Betroffenen gezogen werden sollen.
Da es im Übrigen wenig sinnvoll erscheint, Datenverarbeitungen, die besondere
Gefährdungen beinhalten, vorab und abstrakt zu definieren – es ist vielmehr
gerade Inhalt der Risikoanalyse, solche Risiken aufzudecken –, sieht
das Gesetz eine verfahrensmäßige Lösung vor. Danach hat die Risikoanalyse
selbst sich zu der Frage etwaiger besonderer Gefährdungen zu äußern.
Bejahendenfalls findet eine weitere Prüfung durch die behördlichen bzw.
durch die oder den Hamburgischen Datenschutzbeauftragten statt. Die
Frage, ob es sich überhaupt um ein vorabkontrollpflichtiges Verfahren handelt,
ist von ihnen allerdings eigenständig zu beurteilen und somit Gegenstand
der weiteren Prüfung. Die behördlichen bzw. die oder der Hamburgi-
83