Das Wichtigste in Kürze
- Die Datenschutz-Folgenabschätzung (DSFA) ist ein wesentliches Instrument im Datenschutzrecht zur Erkennung und Minimierung potenzieller Risiken für Grundrechte natürlicher Personen.
- Eine DSFA ist verpflichtend bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen oder wenn sie auf Positivlisten der Aufsichtsbehörden steht.
- Die DSFA muss eine systematische Beschreibung der Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung und geplante Abhilfemaßnahmen beinhalten.
- Durch die DSFA wird die Einhaltung der DSGVO sichergestellt und das Vertrauen in den Umgang mit personenbezogenen Daten gestärkt.
Datenschutz-Folgenabschätzung (DSFA): Definition, Voraussetzungen und Inhalt
Eine Datenschutz-Folgenabschätzung (DSFA) ist ein Prozess, der dazu dient, das Risiko zu erkennen, zu bewerten und zu bewältigen, das für die Grundrechte und Freiheiten des Individuums durch den Einsatz einer bestimmten Technologie oder eines Systems durch eine Organisation entstehen kann. Sie ist in Artikel 35 der Datenschutz-Grundverordnung geregelt und ersetzt in den meisten Fällen die Vorabkontrolle durch die Aufsichtsbehörde.
Wann ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?
Eine Datenschutz-Folgenabschätzung ist durchzuführen, wenn aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Insbesondere ist dies der Fall bei:
Kriterien für ein hohes Risiko
- Systematischer und umfassender Bewertung persönlicher Aspekte natürlicher Personen, die sich auf eine automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, welche Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen.
- Umfangreicher Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 DSGVO.
- Systematischer und umfangreicher Überwachung öffentlich zugänglicher Bereiche.
Rolle der Positivlisten der Aufsichtsbehörden
Darüber hinaus ist eine Datenschutz-Folgenabschätzung durchzuführen, sofern sie auf der Positivliste gemäß Artikel 35 Absatz 4 Datenschutz-Grundverordnung der zuständigen Aufsichtsbehörde aufgeführt ist.
Welche Inhalte muss eine DSFA umfassen?
Die Folgenabschätzung enthält zumindest folgende Elemente:
- Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen.
- Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck.
- Eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1.
- Die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird.
Begrifflichkeit: Was bedeutet "Verarbeitungsvorgang"?
Der Begriff „Verarbeitungsvorgang“ ist gesetzlich nicht definiert. Die deutschen Aufsichtsbehörden verstehen unter Verarbeitungsvorgängen „die Summe von Daten, Systemen (Hard- und Software) sowie Prozessen“.
Fazit zur Datenschutz-Folgenabschätzung
Zusammenfassend lässt sich sagen, dass die Datenschutz-Folgenabschätzung (DSFA) ein wesentliches Instrument im Datenschutzrecht ist. Sie dient dazu, potenzielle Risiken für die Grundrechte natürlicher Personen frühzeitig zu erkennen und zu minimieren. Durch die strukturierte Analyse von Verarbeitungsvorgängen und die Implementierung geeigneter Maßnahmen trägt die DSFA maßgeblich zur Einhaltung der DSGVO bei und stärkt das Vertrauen in den Umgang mit personenbezogenen Daten.