Die Datenschutz-Folgenabschätzung (DSFA) ist ein zentrales Instrument des risikobasierten Ansatzes der DSGVO. Sie verpflichtet Unternehmen, in bestimmten Fällen die bestehenden datenschutzrechtlichen Risiken systematisch zu beschreiben und zu bewerten.
Wann ist eine DSFA vorzunehmen?
Nach Art. 35 Abs. 1 DSGVO ist eine Datenschutz-Folgenabschätzung grundsätzlich dann durchzuführen, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Darüber hinaus gibt Art. 35 Abs. 3 DSGVO Regelbeispiele, bei denen eine Durchführungspflicht besteht:
- Systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen
- Umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten oder Daten über strafrechtliche Verurteilungen und Straftaten
- Systematische weiträumige Überwachung öffentlich zugänglicher Bereiche
Für Deutschland sind entsprechende Positivlisten sowie eine abgestimmte Version der Datenschutzkonferenz verfügbar. Die Aufsichtsbehörden müssen für ihren jeweiligen Zuständigkeitsbereich eine Liste der Verarbeitungsvorgänge erstellen und veröffentlichen, für die nach Abs. 1 eine DSFA durchzuführen ist.
Wie ist eine Datenschutz-Folgenabschätzung durchzuführen?
Nach Art. 35 Abs. 7 DSGVO legt der Gesetzgeber Mindestanforderungen an den Inhalt einer Datenschutz-Folgenabschätzung fest. Zu den wesentlichen Inhalte gehören:
- Beschreibung des Verarbeitungsprozesses
- Identifizierung und Bewertung von Risiken für die Rechte und Freiheiten der Betroffenen
- Analyse der notwendigen Schutzmaßnahmen zur Eindämmung der identifizierten Risiken
- Fazit: Stellungnahme zur Rechtmäßigkeit der Datenverarbeitung
Die DSFA soll frühzeitig angemessene Maßnahmen zur Eindämmung von Risiken für die Persönlichkeitsrechte der Betroffenen treffen und die Datenschutzkonzepte entsprechend anpassen.
Quelle: www.dr-datenschutz.de