Lesezeit: 9 Minuten
Zusammenfassung:
Eine Datenschutz-Folgenabschätzung (DSFA, englisch DPIA für Data Protection Impact Assessment, zusammengeschrieben auch Datenschutzfolgenabschätzung) ist nach Art. 35 DSGVO (Artikel 35 DSGVO) vorab durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Sie ist nicht für jede Verarbeitung nötig.
Das Wichtigste:
- Wann: bei voraussichtlich hohem Risiko, insbesondere in den drei Fällen des Art. 35 Abs. 3 DSGVO (systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling, umfangreiche Verarbeitung besonderer Datenkategorien, systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche) und bei Verarbeitungen auf der Muss-Liste der Aufsichtsbehörden (Art. 35 Abs. 4 DSGVO).
- Wie: Beschreibung der Verarbeitung, Prüfung von Notwendigkeit und Verhältnismäßigkeit, Risikoanalyse und Abhilfemaßnahmen (Art. 35 Abs. 7 DSGVO).
- Wer: der Verantwortliche, der dabei den Rat des Datenschutzbeauftragten einholt (Art. 35 Abs. 2 DSGVO).
- Danach: bleibt ein hohes Restrisiko, ist vor Beginn der Verarbeitung die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO).
- Wer die DSFA digital durchführen will, findet im Abschnitt zur Software einen Überblick, unter anderem zur DSFA-Software von Keyed. Eine Vorlage steht weiter unten bereit.
Was ist eine Datenschutz-Folgenabschätzung?
Eine Datenschutz-Folgenabschätzung (DSFA) ist ein strukturiertes Verfahren nach Art. 35 DSGVO, mit dem Unternehmen die Risiken einer geplanten Datenverarbeitung für die Rechte und Freiheiten betroffener Personen bewerten. Ziel ist es, Datenschutzrisiken frühzeitig zu identifizieren und geeignete technische und organisatorische Maßnahmen festzulegen.
Die Datenschutz-Folgenabschätzung ist in Art. 35 DSGVO geregelt. Die Erforderlichkeit der Durchführung einer Datenschutz-Folgenabschätzung hängt von der jeweiligen Verarbeitung ab. Wann eine DSFA notwendig ist, wird im Art. 35 Abs. 1 DSGVO aufgezählt. Diese Auflistung ist allerdings nicht abschließend (vgl. Formulierung „insbesondere“).
Die Datenschutz-Folgenabschätzung hat eine Kontrollfunktion für datenverarbeitende Stellen und schützt die personenbezogenen Daten der betroffenen Personen, da eine ausführliche Bewertung der Datenverarbeitungsprozesse erfolgt. Die Erforderlichkeit der Durchführung einer Datenschutz-Folgenabschätzung ist in Deutschland dabei gar nicht wirklich neu. Bereits im alten BDSG existierte eine ähnliche Vorgabe: Gem. § 4d Abs. 5 und 6 BDSG-alt mussten verantwortliche Stellen im Fall einer automatisierten Verarbeitung mit besonderen Risiken für Rechte und Freiheiten der betroffenen Personen eine Vorabkontrolle vor Beginn der Verarbeitung durchführen. Rechtsgrundlage der Datenschutz-Folgenabschätzung ist Art. 35 DSGVO. Im Englischen heißt sie Data Protection Impact Assessment (DPIA), im Alltag wird sie meist DSFA genannt oder zusammengeschrieben als Datenschutzfolgenabschätzung.
Durch die KI-VO wird die Durchführung der Datenschutz-Folgenabschätzung nochmals relevant. Zu den zusätzlichen Anforderungen nach der KI-VO lesen Sie diesen Beitrag.
Wann ist eine Datenschutz-Folgenabschätzung durchzuführen?
Eine DSFA ist erforderlich, wenn eine Form der Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dies betrifft insbesondere neue Technologien, umfangreiche Verarbeitungen personenbezogener Daten oder systematische Überwachungen.
Eine DSFA ist immer dann durchzuführen, wenn eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen erfolgt. Diese gründet sich auf die automatisierte Verarbeitung inklusive Profiling und kann ihrerseits als Grundlage für Entscheidungen dienen. Des Weiteren kann sie eine Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlicher erheblicher Weise beeinträchtigen. Dies kann oftmals beim Einsatz von KI-Systemen einschlägig sein.
Darüber hinaus ist eine DSFA auch dann durchzuführen, wenn eine umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gem. Art. 9 Abs. 1 DSGVO stattfindet. Dies trifft auch bei der Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gem. Art. 10 DSGVO zu. Auch im Fall der systematischen, umfangreichen Überwachung öffentlich zugänglicher Bereiche ist eine Datenschutz-Folgenabschätzung durchzuführen.
Wann muss eine Datenschutz-Folgenabschätzung erfolgen?
Eine Datenschutz-Folgenabschätzung muss erfolgen, bevor die Verarbeitung beginnt (Art. 35 Abs. 1 DSGVO) und wenn sie voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen hat. Die folgende Checkliste hilft bei der Prüfung:
| Schritt | Prüffrage | Ergebnis |
|---|---|---|
| 1 | Steht die Verarbeitung auf der Muss-Liste der Aufsichtsbehörden (Art. 35 Abs. 4 DSGVO)? | Ja: DSFA durchführen |
| 2 | Trifft einer der drei Fälle aus Art. 35 Abs. 3 DSGVO zu (Profiling mit Rechtswirkung, umfangreiche Verarbeitung besonderer Datenkategorien, umfangreiche Überwachung öffentlicher Bereiche)? | Ja: DSFA durchführen |
| 3 | Steht die Verarbeitung auf der Negativliste (Art. 35 Abs. 5 DSGVO)? | Ja: keine DSFA nötig |
| 4 | Sonst: Schwellwertanalyse durchführen (siehe unten). Hat die Verarbeitung voraussichtlich ein hohes Risiko? | Ja: DSFA durchführen. Nein: Ergebnis und Begründung dokumentieren |
Beispiele für die Erforderlichkeit einer Datenschutz-Folgenabschätzung
Die bisher genannten Beispiele bezüglich der Erforderlichkeit einer Datenschutz-Folgenabschätzung sind nicht sehr spezifisch, weshalb die Ermittlung der Erforderlichkeit oft Schwierigkeiten bereitet.
Hier hat der europäische Gesetzgeber aber mit der Regelung in Art. 35 Abs. 4 DSGVO den zuständigen Datenschutzbehörden eine Pflicht auferlegt, weitere Konkretisierungen vorzunehmen. Gemäß Art. 35 Abs. 4 S.1 DSGVO muss die Aufsichtsbehörde eine Liste der Verarbeitungsvorgänge erstellen, für die gem. Art. 35 Abs. 1 DSGVO eine Datenschutz-Folgenabschätzung erforderlich ist. Die meisten Datenschutzbehörden der Bundesländer sind dieser Pflicht, mehr oder weniger, nachgekommen. Die Positivliste der Aufsichtsbehörden wird auch Muss-Liste genannt. Für den nicht-öffentlichen Bereich hat die Datenschutzkonferenz (DSK) eine gemeinsame DSFA-Muss-Liste (Stand 17.10.2018) veröffentlicht.
Bei diesen sog. Blacklists und Whitelists handelt es sich um Positivlisten / Negativlisten, bei welchen Verarbeitungen mögliche Bedrohungen entstehen könnten. Derzeit sind 16 Verarbeitungstätigkeiten in der Positivliste beinhaltet. Allerdings ist bei diesen Aufzählungen zu beachten, dass sie ebenfalls nicht abschließend sind und die aufgezählten Verarbeitungstätigkeiten lediglich Beispiele darstellen, wann definitiv eine Datenschutz-Folgenabschätzung durchzuführen ist. Eine DSFA muss stets z.B. bei der Verarbeitung biometrischer Daten durchgeführt werden, wohingegen sie bei der Verarbeitung eines Namens nicht notwendig ist.
Bei einigen Listen ist ferner zu berücksichtigen, dass die Listen gem. Art. 35 Abs. 4 S.2 DSGVO an den Europäischen Datenschutzausschuss zu übermitteln sind und diese erst nach Abschluss des in Art. 35 Abs. 6 DSGVO genannten Kohärenzverfahrens Verbindlichkeit erhalten. Lesen und beachten Sie hierzu bitte die Hinweise auf der Webseite der jeweiligen zuständigen Datenschutzbehörde.
Beim Einsatz von Hochrisiko-KI-Systemen kann zusätzlich eine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO nötig sein. Sie ersetzt die Datenschutz-Folgenabschätzung nicht und umgekehrt.
Schwellwertanalyse: Brauche ich eine Datenschutz-Folgenabschätzung?
Die Schwellwertanalyse (auch Vorprüfung genannt) klärt, ob eine Verarbeitung voraussichtlich ein hohes Risiko hat und deshalb eine Datenschutz-Folgenabschätzung braucht. Sie ist kürzer als die DSFA selbst und besteht aus der Prüfung gegen die Muss-Liste, die Fälle des Art. 35 Abs. 3 DSGVO und die Risikofaktoren der Verarbeitung (zum Beispiel Datenart, Zahl der Betroffenen, Zweck). Das Ergebnis sollte auch dann dokumentiert werden, wenn keine DSFA nötig ist.
Welche Software unterstützt bei der Datenschutz-Folgenabschätzung (DSFA)?
Eine Software für die Datenschutz-Folgenabschätzung (auch DSFA-Software oder DSFA-Tool) führt durch die Schritte aus Art. 35 Abs. 7 DSGVO und dokumentiert das Ergebnis. Die Spanne reicht von kostenlosen Vorlagen der Aufsichtsbehörden bis zu Datenschutzmanagement-Systemen, die DSFA, Risikoanalyse und Verarbeitungsverzeichnis verknüpfen. Welche Lösung passt, hängt davon ab, wie viele Verarbeitungen zu prüfen sind und wer in der Organisation mitarbeiten muss. Die DSFA-Software von Keyed ist eine davon.
Kostenlose Tools und Vorlagen für die DSFA
-
CNIL PIA-Tool: Kostenloses, schrittweises Tool der französischen Datenschutzaufsicht, auch auf Deutsch verfügbar. Unterstützt die vollständige Durchführung und Dokumentation einer DSFA.
-
Excel-Vorlagen: Für einfache Anwendungsfälle geeignet, aber schnell unübersichtlich bei komplexen Verarbeitungstätigkeiten oder mehreren Beteiligten.
Kommerzielle Datenschutzmanagement-Software
- Keyed: Ganzheitliche Softwarelösung für alle Dokumentationen im Datenschutz & KI-VO. Es gibt einen kostenfreien Tarif und bezahlte Tarife. Mit der Software für die Datenschutz-Folgenabschätzung von Keyed lassen sich DSFA mit Vorlagen und Risikoanalyse erstellen und dokumentieren.
- otris privacy: Kostenpflichtige Datenschutzmanagement-Lösung mit Risikokarten, Workflows und zentraler DSFA-Steuerung.
- Proliance: Unterstützt Unternehmen dabei zu bewerten, ob eine DSFA erforderlich ist, und führt strukturiert durch den Prozess.
- Robin Data ComplianceOS: Kollaborative Plattform für Datenschutzbeauftragte mit integrierter DSFA- und ROPA-Verwaltung.
Worauf sollten Unternehmen bei DSFA-Software achten?
| Kriterium | Frage an die Software | Warum das zählt |
|---|---|---|
| Vorlagen | Gibt es anpassbare DSFA-Vorlagen? | spart Zeit und sorgt für einheitliche Dokumentation |
| Risikoanalyse | Gibt es ein Risikoscoring oder eine Risikomatrix? | macht die Risikobewertung nachvollziehbar (Art. 35 Abs. 7 lit. c DSGVO) |
| Workflow | Lassen sich Freigaben (Datenschutz, IT-Sicherheit, Fachabteilung) abbilden? | Fachabteilungen und Datenschutzbeauftragter sind beteiligt (Art. 35 Abs. 2 DSGVO) |
| Verknüpfung | Sind DSFA, Verarbeitungsverzeichnis und TOM verbunden? | Änderungen an der Verarbeitung führen zur Prüfung der DSFA |
| Nachweis | Lässt sich die DSFA exportieren, zum Beispiel für Anfragen der Aufsichtsbehörde? | Dokumentation und Rechenschaft |
| Überprüfung | Gibt es Wiedervorlagen für die regelmäßige Überprüfung? | DSFA ist bei Änderungen zu aktualisieren (Art. 35 Abs. 11 DSGVO) |
Wie ist eine Datenschutz-Folgenabschätzung durchzuführen?
Wie genau eine Datenschutz-Folgenabschätzung durchzuführen ist, erläutert Art. 35 Abs. 7 DSGVO. Hier werden Punkte genannt, die eine Datenschutz-Folgenabschätzung mindestens enthalten muss.
- Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und Zwecke der Verarbeitung
- Die Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den jeweiligen Zweck müssen bewertet werden
- Die Risiken für die Rechte und Freiheiten der gem. Art. 37 Abs. 1 DSGVO betroffenen Personen müssen bewertet werden
- Abhilfemaßnahmen zur Bewältigung der Risiken, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz von personenbezogenen Daten sichergestellt wird und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird
Weitere Informationen bezüglich der Inhalte der Datenschutz-Folgenabschätzung erhalten Sie von Ihrem Datenschutzbeauftragten. Unterlagen und Dokumente zum Thema Datenschutz-Folgenabschätzung erhalten Sie z.B. im Bereich DSFA auf der Webseite des Bayerischen Landesamtes für Datenschutzaufsicht (BayLDA).
Anleitung zur Durchführung einer DSFA
Die Prozessschritte einer DSFA lassen sich im Wesentlichen in drei Phasen gliedern: Es gibt die Vorbereitungs-, Bewertungs-, Maßnahmenphase. Hinsichtlich der genauen Vorgehensweise ist es zunächst wichtig, ein DSFA-Team zu erstellen und den Beurteilungsumfang festzulegen. Daraufhin werden die Betroffenen sowie die Akteure identifiziert (z.B. der Datenschutzbeauftragte und der Betriebsrat) und es kommt zu einer Prüfung der Notwendigkeit bzw. Verhältnismäßigkeit bezogen auf den Zweck der Verarbeitung. Dabei sollten die Rechtsgrundlagen für die Verarbeitung geprüft und dokumentiert werden sowie Risikoquellen identifiziert werden.
Es folgt eine Risikobewertung unter Berücksichtigung möglicher physischer, materieller oder immaterieller Schäden, deren Schwere und Eintrittswahrscheinlichkeit. Anhand der Definition der Schadensklasse, welche von gering bis sehr hoch ausfallen kann, ergibt sich, welche Schäden aus der Datenverarbeitung für Betroffene resultieren können. Anschließend wird eine Auswahl geeigneter Abhilfemaßnahmen, u.a. auch die technischen und organisatorischen Maßnahmen (TOM), getroffen und verbleibende Restrisiken eruiert. Darauf folgt die Erstellung des DSFA-Berichts und die Umsetzung der Abhilfemaßnahmen, welche damit auf ihre Wirksamkeit getestet werden. Es sollte sowohl eine Dokumentation des DSFA-Berichts als auch die Überprüfung der Wirksamkeit der ergriffenen Maßnahmen stattfinden. Sollten alle diese Schritte vollzogen sein, so kann der Verarbeitungsvorgang freigegeben werden. Die DSFA sollte stets auf dem aktuellsten Stand gehalten werden.
Wir empfehlen die Durchführung einer DSFA mit einem digitalen Datenschutz-Management-System, welches eine geführte Bearbeitung der Risikobewertung zulässt. Intelligente Datenschutz-Management-Systeme können sogar Empfehlungen aussprechen und eine besonders gute Hilfestellung für die Bewertung der geplanten Verarbeitung darstellen. Hier können Sie sich im Detail weiter informieren über unsere Datenschutz-Managementsoftware.
Beispiel: Datenschutz-Folgenabschätzung für eine Bewerbermanagement-Software
| Inhalt nach Art. 35 Abs. 7 | Beispiel: Unternehmen führt Software mit automatischer Vorauswahl von Bewerbungen ein |
|---|---|
| Beschreibung der Verarbeitung | Bewerberdaten (Lebenslauf, Anschreiben, Testergebnisse) werden erfasst, von der Software nach Kriterien bewertet und in eine Rangfolge gebracht; Zugriff haben Personalabteilung und Fachbereich, der Anbieter hostet die Daten (Auftragsverarbeitung) |
| Zweck | Vorauswahl geeigneter Bewerber; die Rechtsgrundlage ist im Einzelfall zu prüfen |
| Notwendigkeit und Verhältnismäßigkeit | Bewertung nur nach fachlichen Kriterien; keine ausschließlich automatisierte Entscheidung (Art. 22 DSGVO), die Personalabteilung prüft jedes Ergebnis |
| Risiken für die Betroffenen | Diskriminierung durch verzerrte Bewertungskriterien, mangelnde Transparenz, zu lange Speicherung, unbefugter Zugriff |
| Abhilfemaßnahmen | dokumentierte und regelmäßig geprüfte Kriterien, menschliche Entscheidung, Löschkonzept, Rechtekonzept, Information der Bewerber (Art. 13 DSGVO) |
| Ergebnis | Restrisiko bewerten; bleibt es hoch, vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) |
DSFA-Risikoanalyse: Risikobewertung nach DSGVO
Schließlich findet als Vorstufe einer Risikobewertung eine Schutzbedarfsfeststellung der zu verarbeitenden personenbezogenen Daten anhand der Datenarten statt. Diese werden in normalen Schutzbedarf (z.B. öffentliche Register), hohen Schutzbedarf (z.B. Steuerdaten) und sehr hohen Schutzbedarf (beispielsweise Adressen von Zeugen in bestimmten Strafverfahren) gegliedert.
Am Ende findet schließlich die Risikoanalyse statt. Dabei handelt es sich um ein Verfahren zur Risikobestimmung, welches die gleiche Funktionsweise wie ein Standarddatenschutzmodell aufweist. Gemeint ist damit eine Vorgehensweise, mit welcher die rechtlichen Anforderungen aus der DSGVO in konkrete technische und organisatorische Maßnahmen übersetzt werden können. Im Zuge dessen kommt es zur Auswertung der Checklisten. Anhand der Eintrittswahrscheinlichkeit von Schäden und der jeweiligen Höhe wird das Risiko ermittelt, welches eine Verarbeitung mit sich bringt. Eine Datenschutz-Folgenabschätzung ist grundsätzlich nur bei solchen Verarbeitungen notwendig, welchen ein hohes oder sehr hohes Risiko einer Verletzung von Rechten und Freiheiten innewohnt.
Die Risikoanalyse im Datenschutz bewertet für jede Verarbeitung, wie wahrscheinlich ein Schaden für die betroffenen Personen ist und wie schwer er wiegen würde (vgl. Erwägungsgrund 76 DSGVO). Das Ergebnis bestimmt, welche Maßnahmen nötig sind und ob ein hohes Restrisiko bleibt. Ein Tool für die Risikoanalyse nach DSGVO hilft dabei, die Bewertung über alle Verarbeitungen hinweg einheitlich zu halten.
| Schritt | Inhalt der Risikoanalyse |
|---|---|
| 1. Risiken ermitteln | Welche Schäden drohen den betroffenen Personen (zum Beispiel Diskriminierung, Kontrollverlust über Daten, finanzieller Schaden)? |
| 2. Risiken bewerten | Eintrittswahrscheinlichkeit und Schwere je Risiko einschätzen, zum Beispiel in einer Risikomatrix |
| 3. Maßnahmen und Restrisiko | Abhilfemaßnahmen festlegen und das verbleibende Risiko bewerten; bleibt es hoch, greift Art. 36 DSGVO |
Datenschutz-Folgenabschätzung Muster und Vorlage
Hier können Sie ein Muster für die Datenschutz-Folgenabschätzung herunterladen. Die Vorlage für die Datenschutz-Folgenabschätzung enthält die Punkte aus Art. 35 Abs. 7 DSGVO. Wer die DSFA digital führen will, findet in der Software anpassbare DSFA-Vorlagen.
Vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO
Zeigt die Datenschutz-Folgenabschätzung, dass trotz der geplanten Maßnahmen ein hohes Risiko bleibt, muss der Verantwortliche vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren (Art. 36 Abs. 1 DSGVO). Die DSFA ist außerdem bei Änderungen der Verarbeitung zu überprüfen und gegebenenfalls anzupassen (Art. 35 Abs. 11 DSGVO).
Wer muss die Datenschutz-Folgenabschätzung vornehmen?
Gem. Art. 35 Abs. 1 DSGVO ist die Datenschutz-Folgenabschätzung von dem Verantwortlichen durchzuführen. Verantwortlicher im Sinne der DSGVO ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Er trägt die Pflicht zur DSFA und holt dabei den Rat des Datenschutzbeauftragten ein (Art. 35 Abs. 2 DSGVO).
Art. 35 Abs. 2 DSGVO macht allerdings deutlich, dass in diesem Zusammenhang in jedem Fall Beratung und Unterstützung beansprucht werden muss. Hiernach holt der Verantwortliche bei der Durchführung einer Datenschutz-Folgenabschätzung den Rat des Datenschutzbeauftragten ein. Dies gilt natürlich nur, sofern auch ein Datenschutzbeauftragter benannt wurde. Wann genau ein Datenschutzbeauftragter bestellt werden muss, erfahren Sie hier.
Bei der Beurteilung der Erforderlichkeit und der konkreten Durchführung einer Datenschutz-Folgenabschätzung profitieren verantwortliche Stellen von dem Fachwissen ihres Datenschutzbeauftragten. Auch wenn die DSGVO eine nur beratende Tätigkeit des Datenschutzbeauftragten bei der DSFA vorsieht, ist dies in der Praxis oft anders, da der Datenschutzbeauftragte in diesem Zusammenhang eher federführend agiert.
Zusammenhang zwischen Verarbeitungen und Datenschutz-Folgenabschätzung
Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzungen (DSFA) sind eng miteinander verbunden. Verarbeitungstätigkeiten sind alle Vorgänge, bei denen personenbezogene Daten verarbeitet werden, wie beispielsweise das Erheben, Speichern, Verändern oder Übermitteln von Daten. Datenschutz-Folgenabschätzungen hingegen sind ein Instrument des Datenschutzes, das dazu dient, die Risiken und Auswirkungen von bestimmten Verarbeitungstätigkeiten auf die Rechte und Freiheiten von betroffenen Personen zu bewerten und zu minimieren.
Im Rahmen der DSFA müssen Unternehmen und Organisationen prüfen, ob eine geplante Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Dabei müssen sie insbesondere folgende Faktoren berücksichtigen:
- Art, Umfang, Zweck und Kontext der Verarbeitung
- Art und Sensibilität der personenbezogenen Daten
- Anzahl betroffener Personen
- Dauer der geplanten Verarbeitung
- Geplante Datenübermittlungen an Dritte
- Existenz von bereits bestehenden Risiken
Wenn eine DSFA ergibt, dass eine Verarbeitungstätigkeit ein hohes Risiko für die Rechte und Freiheiten von betroffenen Personen darstellt, müssen geeignete Maßnahmen ergriffen werden, um dieses Risiko zu minimieren. Dies kann beispielsweise die Implementierung technischer und organisatorischer Maßnahmen zur Datensicherheit, die Durchführung von Schulungen für Mitarbeiter oder die Einholung einer Einwilligung betroffener Personen beinhalten.
Insgesamt stellt die DSFA also eine wichtige Maßnahme zur Sicherstellung des Datenschutzes dar, insbesondere im Hinblick auf Verarbeitungstätigkeiten, die ein erhöhtes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringen.
Was passiert, wenn keine DSFA durchgeführt wird?
Wenn trotz Erforderlichkeit eine Datenschutz-Folgenabschätzung nicht durchgeführt wird, droht einerseits ein Bußgeld nach Maßgabe der Art. 83 ff. DSGVO. So drohen nach Art. 83 Abs. 4 DSGVO bei Verstößen gegen Bestimmungen in Bezug auf die Datenschutz-Folgenabschätzung Geldbußen i.H.v. bis zu 10 Mio. Euro oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erwirtschafteten Jahresumsatzes des vergangenen Geschäftsjahres, je nachdem, welcher der Beträge höher ist.
Andererseits kann es durch die Verarbeitung ohne DSFA – neben Bußgeldern – auch zu physischen, materiellen und immateriellen Schäden kommen, wie zum Beispiel Reputationsverlust oder eine Verletzung des allgemeinen Persönlichkeitsrechts.
FAQ – Häufige Fragen zur Datenschutz-Folgenabschätzung
Was ist eine Datenschutz-Folgenabschätzung (DSFA)?
Die DSFA (englisch DPIA) ist eine Risikoprüfung für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen haben. Sie ist in Art. 35 DSGVO geregelt.
Wann muss eine Datenschutz-Folgenabschätzung erfolgen?
Vorab, bevor die Verarbeitung beginnt, und wenn sie voraussichtlich ein hohes Risiko hat. Das ist insbesondere in den drei Fällen des Art. 35 Abs. 3 DSGVO und bei Verarbeitungen auf der Muss-Liste der Aufsichtsbehörden der Fall.
Was ist eine Schwellwertanalyse?
Eine Vorprüfung, ob eine Verarbeitung voraussichtlich ein hohes Risiko hat und deshalb eine DSFA braucht. Das Ergebnis wird dokumentiert, auch wenn keine DSFA nötig ist.
Wer führt die Datenschutz-Folgenabschätzung durch?
Der Verantwortliche. Er holt dabei den Rat des Datenschutzbeauftragten ein (Art. 35 Abs. 2 DSGVO).
Was muss in einer Datenschutz-Folgenabschätzung stehen?
Mindestens eine Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken und die geplanten Abhilfemaßnahmen (Art. 35 Abs. 7 DSGVO).
Gibt es eine Vorlage für die Datenschutz-Folgenabschätzung?
Ja, ein Muster zum Download finden Sie im Abschnitt „Datenschutz-Folgenabschätzung Muster und Vorlage“. In einer DSFA-Software lassen sich anpassbare Vorlagen nutzen.
Welche Software unterstützt die Datenschutz-Folgenabschätzung?
Von kostenlosen Vorlagen der Aufsichtsbehörden bis zu Datenschutzmanagement-Systemen. Wichtige Kriterien sind anpassbare Vorlagen, Risikoscoring, Freigabe-Workflows, Export und die Verknüpfung mit dem Verarbeitungsverzeichnis.
Wann ist eine vorherige Konsultation der Aufsichtsbehörde nötig?
Wenn die DSFA ein hohes Restrisiko zeigt, das sich durch Maßnahmen nicht eindämmen lässt. Der Verantwortliche konsultiert dann die Aufsichtsbehörde, bevor die Verarbeitung beginnt (Art. 36 DSGVO).
