Datenschutz-Folgenabschätzung für die Dateiübertragung

Eine Datenschutz-Folgenabschätzung (DSFA) nach DSGVO Artikel 35 ist Pflicht, wenn die Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen" zur Folge hat. Für Dateiübertragungssysteme greift diese Schwelle, wenn Sie besondere Datenkategorien im großen Maßstab übermitteln (Gesundheitsdateien, Biometrie), Mitarbeiter systematisch überwachen, Kinderdaten verarbeiten oder umfangreiche personenbezogene Datenströme über Drittländer führen. Die DSFA dokumentiert die Verarbeitung, bewertet Notwendigkeit und Verhältnismäßigkeit, analysiert Risiken und identifiziert Abhilfemaßnahmen — bevor die Verarbeitung beginnt. Überspringen Sie sie, wenn sie erforderlich ist, drohen Bußgelder nach Artikel 83 Abs. 4 von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes.

Wann ein Dateiübertragungssystem eine DSFA benötigt

Artikel 35 Abs. 3 listet drei Auslösetatbestände: systematische automatisierte Auswertung mit rechtlichen oder erheblichen Auswirkungen, Verarbeitung besonderer Kategorien nach Artikel 9 oder Straftatendaten im großen Maßstab sowie systematische Überwachung öffentlicher Bereiche im großen Maßstab. Die meisten nationalen Datenschutzbehörden haben dies erweitert. Die CNIL-Liste (Oktober 2018, regelmäßig aktualisiert) ergänzt: innovativer Einsatz von Technologie, Zusammenführung von Datensätzen verschiedener Verantwortlicher, Verarbeitung von Standort- oder Verhaltensdaten und Verarbeitung von Daten schutzbedürftiger Personen. Eine klinische Studienplattform, die DICOM-Bilder, Patienten-IDs und genomische Dateien verarbeitet, löst Artikel 35 ab dem ersten Tag aus.

Der vorgeschriebene Inhalt nach Artikel 35 Abs. 7

Artikel 35 Abs. 7 legt vier Mindestbestandteile fest: (a) systematische Beschreibung der Verarbeitungsvorgänge und Zwecke, (b) Bewertung von Notwendigkeit und Verhältnismäßigkeit, (c) Risikobewertung für die Rechte und Freiheiten betroffener Personen, (d) Maßnahmen zur Risikobekämpfung einschließlich Garantien und Nachweis der Compliance. Konkretisieren Sie jeden Punkt: Unter (a) integrieren Sie Datenflussdiagramme; unter (b) benennen Sie die Rechtsgrundlage und belegen, dass weniger invasive Alternativen nicht funktionieren; unter (c) bewerten Sie Risiken nach Eintrittswahrscheinlichkeit und Schwere; unter (d) ordnen Sie jedem Risiko eine konkrete technische oder organisatorische Maßnahme zu.

Schritt 1: Den Dateiübertragungsfluss vollständig beschreiben

Beginnen Sie mit einem Datenflussdiagramm. Upload-Endpunkt, clientseitige Vorverarbeitung, Transport (TLS 1.3), serverseitiger Empfang, Verschlüsselung im Ruhezustand (AES-256-GCM), Speicherort (eu-central-1), Benachrichtigungs-E-Mail an Empfänger, Download-Endpunkt, Entschlüsselung im Browser des Empfängers, Löschauslöser (7-Tage-Ablauf). Für jeden Pfeil dokumentieren Sie die Datenkategorien (Name, E-Mail, Dateiinhalt, IP, Zeitstempel), die Akteure (Absender, Plattform, Empfänger, Unterauftragnehmer) und das Aufbewahrungsfenster. Werkzeuge wie Microsofts DSFA-Vorlage oder die PIA-Software der CNIL erzeugen exportierbare Berichte, die von Prüfern akzeptiert werden.

Schritt 2: Notwendigkeit und Verhältnismäßigkeit beurteilen

Artikel 35 Abs. 7 lit. b fragt, ob die Verarbeitung für den angegebenen Zweck notwendig ist. Könnte das gleiche Ziel mit weniger Daten erreicht werden? Typische Antworten für ein Übertragungssystem: Die Empfänger-E-Mail ist für die Zustellung notwendig (kein Ersatz möglich). Die Absender-IP hilft bei der Betrugserkennung, ist aber nicht streng notwendig — nach 30 Tagen protokollieren und verwerfen statt dauerhaft speichern. Datei-Scanning auf Malware ist verhältnismäßig, wenn es über Malware-Signaturen hinaus keine Inhalte extrahiert. Echtzeit-Inhaltsindizierung für die Suche ist in der Regel unverhältnismäßig, es sei denn, Nutzer stimmen aktiv zu. Dokumentieren Sie jede Abwägung mit den betrachteten Alternativen.

Schritt 3: Risikobewertung mit Scoring

Verwenden Sie eine 5×5-Matrix (Eintrittswahrscheinlichkeit × Schwere) oder die 4×4-PIA-Skala der CNIL. Listen Sie die Bedrohungen auf: unbefugter Zugang während der Übertragung, unbefugter Zugang im Ruhezustand, Datenpanne durch böswillige Insider, erzwungene Offenlegung durch ausländische Behörden, versehentliche Offenlegung durch falsch adressierten Link, Aufbewahrung über den Zweck hinaus, Unfähigkeit, Betroffenenrechte zu erfüllen. Für jede Bedrohung bewerten Sie das inhärente Risiko vor Schutzmaßnahmen. Bei einer Übertragung mit nur TLS 1.3 ergibt versehentliche Offenlegung durch falschen Empfänger Eintrittswahrscheinlichkeit 3 (moderat) und Schwere 4 (erheblich) für vertrauliche Geschäftsdateien. Nach Link-Ablauf und Zugriffsprotokollen sinkt die Eintrittswahrscheinlichkeit auf 2.

Schritt 4: Abhilfemaßnahmen identifizieren und dokumentieren

Jedes Risiko erhält eine Abhilfemaßnahme. Unbefugter Zugang bei Übertragung: TLS 1.3 mit HSTS, Certificate Pinning in mobilen Clients. Unbefugter Zugang im Ruhezustand: AES-256-GCM mit dateiindividuellen Schlüsseln, KMS-verwaltete Hauptschlüssel. Erzwungene Offenlegung: clientseitige Verschlüsselung, sodass der Anbieter nur Chiffretext hält, EU-exklusives Hosting mit souveränen Anbietern (OVH, Scaleway). Falsch adressierte Links: Passwortoption, Download-Benachrichtigungen, Link-Ablauf, Widerrufs-UI. Aufbewahrungsüberschreitung: Standard-TTL 7 Tage, manuelle Verlängerung bis maximal 30 Tage, dokumentierte Löschverifikation. Jede Abhilfemaßnahme referenziert die umsetzende Kontrolle.

Konsultation mit dem DSB und der Aufsichtsbehörde

Artikel 35 Abs. 2 verlangt die Konsultation des Datenschutzbeauftragten (DSB), sofern einer bestellt ist. Der Rat des DSB muss dokumentiert und die Begründung für das Befolgen oder Abweichen davon festgehalten werden. Artikel 36 schreibt eine Vorabkonsultation der Aufsichtsbehörde vor, wenn nach Abhilfemaßnahmen ein hohes Restrisiko verbleibt. Die CNIL berichtet in ihrem Jahresbericht über Konsultationsvolumina: rund 100–200 Vorabkonsultationen pro Jahr, von denen 30–60 % Empfehlungen ergeben, die eine Neukonfiguration erfordern. Planen Sie zwei bis vier Monate für die Antwort der Behörde ein, wenn eine Vorabkonsultation ausgelöst wird — sie blockiert den Go-live.

Integration der Datentransfer-Folgenabschätzung

Wenn der DSFA-Umfang internationale Transfers einschließt, integrieren Sie die Datentransfer-Folgenabschätzung nach Schrems II als Anhang. Die TIA deckt die gleichen Risiken aus einem anderen Blickwinkel ab: Drittlandrecht, erzwungener Zugang, Wirksamkeit der SCCs. Für ein Dateiübertragungstool, das ein US-CDN (Cloudflare, Fastly) auch bei EU-exklusivem Object Storage nutzt, muss die TIA klären, ob Metadaten (IPs, Request-Header) US-CDN-PoPs passieren und ob das einen Transfer darstellt. Die aktuelle EDSA-Leitlinie behandelt In-Transit-Routing als Transfer — adressieren Sie das.

Die DSFA aktuell halten

Eine DSFA ist kein einmaliges Dokument. Artikel 35 Abs. 11 schreibt eine Überprüfung bei wesentlichen Änderungen der Verarbeitung vor. Für einen Dateiübertragungsdienst sind wesentliche Änderungen: neuer Unterauftragnehmer, neue unterstützte Dateitypen (Videodateien, wenn bisher nur Dokumente), Ausweitung auf neue Nutzerkategorien (Verbraucher versus Unternehmen), Architekturänderungen (Wechsel von EU-exklusiv zu Multi-Region). Überprüfen Sie mindestens jährlich, dokumentieren Sie Datum und Prüfer und verwalten Sie die DSFA versioniert in einem Compliance-Register. Eine DSFA, die seit 2022 nicht überprüft wurde, aber das aktuelle System widerspiegeln soll, ist ein Warnsignal.

Vorlagen und Ressourcen, die funktionieren

Die kostenlose PIA-Software der CNIL (Version 3.0, aktualisiert 2023) erzeugt eine PDF-DSFA gemäß Artikel 35 Abs. 7. Das ICO bietet eine DSFA-Vorlage und eine Muster-DSFA für risikoreiche Verarbeitung. Die spanische AEPD veröffentlicht die „Guía Práctica para las Evaluaciones de Impacto." Das ENISA-Handbuch 2018 zu Sicherheitsmaßnahmen ergänzt diese mit technischen Kontrollen. Gleichen Sie für Dateiübertragungen die Vorlage mit den Leitlinien der Artikel-29-Datenschutzgruppe WP248 (angenommen 2017, vom EDSA bestätigt) ab. Anbieter wie HexaTransfer veröffentlichen DSFA-fähige Dokumentation — Architekturdiagramme, Verschlüsselungsspezifikationen, Unterauftragnehmer-Listen — die Kunden in ihre eigenen Abschätzungen einfließen lassen können.

Die DSFA ist das Dokument, das Regulatoren bei einer Untersuchung zuerst verlangen. Erstellen Sie es vor dem Start. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.