Datenschutz-Folgenabschätzung (DSFA) – die Risikoanalyse

Im Falle einer Datenschutz-Folgenabschätzung oder auch Data Protection Impact Assessment (DPIA) erfolgt eine Risikoanalyse durch den Datenschutzbeauftragten bezüglich der Rechte und Freiheiten von Betroffenen. Geprüft werden Datenverarbeitungsvorgänge, die eine hohe potentielle Gefährdung von Rechten und Freiheiten der Betroffenen mit sich bringen.

Im Anschluss der Prüfung nimmt der Datenschutzbeauftragte Stellung zur Rechtmäßigkeit der Datenverarbeitung. So können mögliche Risiken und Folgen für die Rechten und Freiheiten Betroffener bewertet werden. Welche Unternehmen eine Datenschutz-Folgenabschätzung machen müssen und wie man dabei vorgeht, ist im Folgenden erklärt.

Wann ist eine Datenschutz-Folgenabschätzung durchzuführen?

Nicht jedes Unternehmen muss eine Datenschutz-Folgenabschätzung durchführen. Nach Art 35 Abs. 1 der DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn „(…) eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge [hat]“. Zudem nennt die DSGVO einige Fallbeispiele in denen die Vorabkontrolle erfolgen muss:

• Systematische weiträumige Überwachung öffentlich zugänglicher Bereiche
• Umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten
• Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftaten
• Besondere Arten personenbezogener Daten die in erheblichem Umfang gespeichert, verarbeitet und genutzt werden
• Daten, die zum Zwecke des Profilings oder in Scoringverfahren verarbeitet werden

Zur Durchführung einer Datenschutz-Folgenabschätzung bietet Datenschutzmanagement Software keine belastbare Lösung. Wir empfehlen, einen Datenschutzbeauftragten zur Beratung hinzuzuziehen.