Datenschutz Folgenabschätzung

Letztes Update:
14
.
10
.
2024
Lesezeit:
0
Min
Bei der Verarbeitung von personenbezogenen Daten greifen seit dem Inkrafttreten der DSGVO verschärfte Anforderungen. Was früher im Rahmen des alten Bundesdatenschutzgesetzes noch als Vorabkontrolle bekannt war, wurde im Zuge der Datenschutz-Grundverordnung zur Datenschutz-Folgeabschätzung. Insbesondere für kleine und mittlere Unternehmen stellt die Folgenabschätzung eine Herausforderung dar, da es sich hierbei um einen umfangreichen und aufwändigen Prozess handelt. Allerdings ist nicht jedes Unternehmen zu einer Datenschutz-Folgenabschätzung verpflichtet. Genauere Informationen, ob die DSGVO eine Folgenabschätzung von Ihnen verlangt, finden Sie hier.
Datenschutz Folgenabschätzung
Die wichtigsten Erkenntnisse
  • Datenschutz-Folgenabschätzung (DSFA) ist eine erweiterte Risikoeinschätzung nach DSGVO Art. 35.
  • DSFA notwendig bei hohem Risiko für Rechte und Freiheiten natürlicher Personen.
  • DSFA ersetzt die frühere Vorabkontrolle des alten Bundesdatenschutzgesetzes.
  • Proliance 360 Software unterstützt systematisch bei der Umsetzung der Datenschutzkonformität.
  • DSFA hilft nicht nur Betroffenen, sondern auch Unternehmen zur DSGVO-Konformitätssicherung.

Was ist eine Datenschutz-Folgenabschätzung?

Die EU-DSGVO sieht gemäß Artikel 35 eine Datenschutz-Folgenabschätzung (DSFA) vor. Hierbei handelt es sich um eine erweiterte Risikoeinschätzung, die vor bestimmten Verarbeitungen personenbezogener Daten stattfindet. Eine Risikoanalyse sieht die DSGVO generell für alle Datenverarbeitungen vor. Die Datenschutz-Folgenabschätzung unterscheidet sich dadurch, dass sie deutlich umfangreicher und komplexer ist und nur bei kritischen Verarbeitungsprozessen notwendig wird.

Das Verfahren ersetzt die im BDSG (alt) verankerte Vorabkontrolle, die vorgesehen ist, sobald die automatisierte Datenverarbeitung besondere Risiken für Recht und Freiheiten der Betroffenen aufweist. Mithilfe der Datenschutz-Folgenabschätzung sollen mögliche Risiken in der Datenverarbeitung beschrieben und bewertet werden. Dieser Prozess soll die Reduzierung möglicher Risiken zum Ziel haben.

Als Vorgehen können Sie sich folgendes merken:

Erfassen: Wo im Unternehmen werden personenbezogene Daten verarbeitet? Wie sieht das Verfahren der Verarbeitung aus und welchem Zweck dient diese?

Nun müssen Notwendigkeit und Verhältnismäßigkeit dieser konkreten Verarbeitung jeweils im Verhältnis zu dem Zweck der Verarbeitung ermittelt werden.

Risikoanalyse: stellt diese Verarbeitung ein Risiko für die Rechte und Freiheiten einer betroffenen Person dar? Können etwaige Sicherheitsrisiken durch technische und organisatorische Maßnahmen (TOM) abgeschwächt werden?

Wann wird die Datenschutz-Folgenabschätzung notwendig?

Sobald eine Verarbeitung aufgrund Ihrer Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, ist gem. Art. 35 DSGVO eine Datenschutzfolgenabschätzung durchzuführen. Wann genau dies der Fall ist, ist nicht einheitlich definiert. In Art. 35 Abs. 3 DSGVO werden lediglich einige Beispiele genannt, unter anderem Profiling, die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten gem. Art. 9 DSGVO (z.B. Gesundheitsdaten) oder eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (Videoüberwachung).

Einen weiteren Anhaltspunkt für die Notwendigkeit einer solchen Datenschutzfolgenabschätzung sind die sog. Positiv- und Negativlisten der Aufsichtsbehörden (Art. 35 Abs. 4 und 5 DSGVO). Je nach Bundesland liegen öffentlich zugänglich verschiedenen Listen vor (nach Abs. 4), an der sich der Ersteller der Datenschutzfolgenabschätzung (DSFA) im jeweiligen Bundesland orientieren muss. Vereinzelt stellen die Aufsichtsbehörden zudem sog. Blacklists (nach Abs. 4) und optional auch Whitelists (Abs. 5) zur Verfügung, denen zu entnehmen ist, wann eine DSFA notwendig ist bzw. wann nicht.

Erschwerend kommt hinzu, dass sich die deutschen Aufsichtsbehörden der einzelnen Bundesländer bei der Regelung zur Notwendigkeit einer DSFA für einzelne Verarbeitungstätigkeiten bisher nicht einigen konnten. Ein Blick auf die Website der zuständigen Datenschutzaufsichtsbehörde Ihres Bundeslandes lohnt sich hier jedoch auf jeden Fall.

Risikominimierung durch die Datenschutz-Folgenabschätzung

Mit einer Datenschutz-Folgenabschätzung sollen die Risiken für die Rechte und Freiheiten betroffener Personen ermittelt werden. Das Ziel ist dann, die Ergebnisse zu bewerten und die erkannten Risiken mit entsprechenden technischen und organisatorischen Maßnahmen (TOM) einzudämmen. Allerdings findet nicht nur eine Risikominimierung für Betroffene statt. Auch der datenschutzrechtlich Verantwortliche schützt sich durch eine Datenschutz-Folgenabschätzung, da er so sicherstellt, dass er Daten DSGVO-konform verarbeitet und dies auch nachweisen kann, sollte es notwendig werden.

Sie haben noch Fragen zum Thema? Lassen Sie sich jetzt kostenlos von unseren Expertinnen und Experten beraten.

Wenn Sie auf der Suche nach einem Partner sind, der Sie auf dem Weg zu Datenschutz und Informationssicherheit unterstützt, wenden Sie sich gern an unser Team aus erfahrenen Experten.
60+ Expertinnen und Experten
Beratung vereinbaren
Themen
Redaktion
Alexander Ingelheim
Co-Founder & CEO
-
Zum Autorenprofil
Zum Expertenprofil
Über Datenschutzexperte
Ein Service der PROLIANCE GmbH.
Proliance steht für Professional Compliance für Unternehmen. Wir sind ein digital getriebenes Legal Tech Unternehmen mit Sitz in München - seit 2017 bestehend aus über 90 Privacy Enthusiasten.
Zu unseren mehr als 2.500 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
Über uns
Neueste Artikel

Brandheiße Themen, die Sie interessieren könnten

datenschutz-Muster

Kostenlose Materialien zum Thema

Newsletter

Nichts mehr verpassen – Jetzt Ihren exklusiven Datenschutz-Newsletter abonnieren!