Datenschutz-Folgenabschätzung
Eine Datenschutz-Folgenabschätzung (DPIA) ist ein Verfahren, mit dem das Risiko, das der Einsatz einer bestimmten Technologie oder eines Systems durch eine Organisation für die Grundrechte des Einzelnen darstellt, ermittelt, bewertet und gesteuert werden soll. Sie ist in Artikel 35 der Allgemeinen Datenschutzverordnung geregelt und ersetzt in den meisten Fällen die Vorabkontrolle durch die Aufsichtsbehörde.
Anforderungen
Eine Datenschutz-Folgenabschätzung ist durchzuführen, wenn aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zu erwarten ist. Dies ist insbesondere der Fall bei:
Systematische und umfassende Bewertung personenbezogener Aspekte in Bezug auf natürliche Personen, die auf einer automatisierten Verarbeitung, einschließlich Profiling, beruht und die wiederum als Grundlage für Entscheidungen dient, die Rechtswirkungen gegenüber natürlichen Personen entfalten oder diese in ähnlicher Weise erheblich beeinträchtigen
Umfassende Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 DSGVO
Systematische umfassende Überwachung öffentlich zugänglicher Bereiche
Darüber hinaus muss eine Datenschutz-Folgenabschätzung durchgeführt werden, wenn sie auf der Positivliste nach Artikel 35 Absatz 4 der Datenschutz-Grundverordnung der zuständigen Aufsichtsbehörde steht.
Content
Die Folgenabschätzung muss mindestens Folgendes umfassen:
eine systematische Beschreibung der beabsichtigten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der vom für die Verarbeitung Verantwortlichen verfolgten berechtigten Interessen
eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungen in Bezug auf den Zweck
eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 und
die geplanten Maßnahmen zur Risikominderung, einschließlich Garantien, Sicherheitsmaßnahmen und Verfahren, die den Schutz personenbezogener Daten gewährleisten und die Einhaltung dieser Verordnung nachweisen, wobei die Rechte und berechtigten Interessen der betroffenen Personen und anderer Betroffener zu berücksichtigen sind
Verarbeitung
Der Begriff “Verarbeitungsvorgang” ist nicht gesetzlich definiert. Die deutschen Aufsichtsbehörden verstehen unter Verarbeitungsvorgängen “die Summe von Daten, Systemen (Hard- und Software) und Prozessen”.