Die Datenschutz-Folgenabschätzung (DSFA) ist die Abschätzung der Folgen vorgesehener Verarbeitungsvorgänge für den Schutz personenbezogener Daten, die der Verantwortliche vorab durchführt, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Auf einen Blick
Voraussetzung ist ein voraussichtlich hohes Risiko; die Abschätzung erfolgt nach Art. 35 Abs. 1 DSGVO vorab, also vor der Verarbeitung.
Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen eine DSFA insbesondere erforderlich ist, darunter die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Der Verantwortliche konsultiert vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer DSFA hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern er keine Maßnahmen zur Eindämmung des Risikos trifft (Art. 36 Abs. 1 DSGVO).
Was ist Datenschutz-Folgenabschätzung?
Nach Kurzpapier Nr. 5 der Datenschutzkonferenz ist die Datenschutz-Folgenabschätzung ein spezielles Instrument zur Beschreibung, Bewertung und Eindämmung von Risiken für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten. Der Verantwortliche führt die Abschätzung nach Art. 35 Abs. 1 DSGVO vorab durch, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund von Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Ob dieses Risiko vorliegt, ergibt sich nach der Datenschutzkonferenz aus einer Schwellwertanalyse; ergibt diese ein voraussichtlich hohes Risiko, ist eine DSFA durchzuführen. Die Aufsichtsbehörde erstellt eine Liste der Verarbeitungsvorgänge, für die gemäß Absatz 1 eine Datenschutz-Folgenabschätzung durchzuführen ist, und veröffentlicht diese (Art. 35 Abs. 4 DSGVO).
Art. 35 Abs. 3 DSGVO zählt Fälle auf, in denen eine DSFA insbesondere erforderlich ist, darunter die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Plant ein Versicherer eine umfangreiche Verarbeitung von Gesundheitsdaten, etwa in der Krankenversicherung, führt er vorab eine Datenschutz-Folgenabschätzung durch, denn die umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten nennt Art. 35 Abs. 3 DSGVO ausdrücklich.
Wie funktioniert Datenschutz-Folgenabschätzung?
Die Folgenabschätzung enthält zumindest eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen. Dieser Mindestinhalt steht in Art. 35 Abs. 7 DSGVO. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann nach Art. 35 Abs. 1 DSGVO eine einzige Abschätzung vorgenommen werden.
Erforderlichenfalls führt der Verantwortliche eine Überprüfung durch, um zu bewerten, ob die Verarbeitung gemäß der Datenschutz-Folgenabschätzung durchgeführt wird; dies gilt zumindest, wenn hinsichtlich des mit den Verarbeitungsvorgängen verbundenen Risikos Änderungen eingetreten sind (Art. 35 Abs. 11 DSGVO). Nach Auffassung der Datenschutzkonferenz (Kurzpapier Nr. 5) muss spätestens dann erneut eine DSFA durchgeführt werden, wenn sich das mit der Verarbeitung verbundene Risiko ändert. Geht aus der Abschätzung hervor, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft, konsultiert er vor der Verarbeitung die Aufsichtsbehörde (Art. 36 Abs. 1 DSGVO). Die Leitlinien WP 248 verwenden für die DSFA nach der DSGVO die Bezeichnung „Data Protection Impact Assessment“ (DPIA).
Datenschutz-Folgenabschätzung im Vergleich
| Kriterium | Datenschutz-Folgenabschätzung | Datenschutzrisikobewertung (Schwellwertanalyse) |
|---|---|---|
| Bezeichnung | Deutsche Bezeichnung für die vorab durchzuführende Abschätzung nach Art. 35 DSGVO | Von der Datenschutzkonferenz „Schwellwertanalyse“ genannt (Kurzpapier Nr. 5) |
| Gegenstand | Instrument zur Beschreibung, Bewertung und Eindämmung von Risiken für die Rechte und Freiheiten natürlicher Personen (Kurzpapier Nr. 5) | Abschätzung der Risiken der Verarbeitungsvorgänge, aus der sich ergibt, ob eine DSFA durchzuführen ist |
| Ergebnis | Folgenabschätzung mit dem Mindestinhalt nach Art. 35 Abs. 7 DSGVO: Beschreibung der Verarbeitungsvorgänge und Zwecke, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken und geplante Abhilfemaßnahmen | Ergibt sie ein voraussichtlich hohes Risiko, ist eine DSFA durchzuführen; weist der Vorgang kein hohes Risiko auf, ist eine DSFA nicht zwingend erforderlich |
Wann ist eine Datenschutz-Folgenabschätzung erforderlich?
| Fall | Was das bedeutet |
|---|---|
| Allgemeine Voraussetzung (Art. 35 Abs. 1 DSGVO) | Eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, hat aufgrund von Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge; dann führt der Verantwortliche vorab eine Abschätzung durch. |
| Bewertung persönlicher Aspekte (Art. 35 Abs. 3 lit. a DSGVO) | Ein Fall, in dem eine DSFA insbesondere erforderlich ist: systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen dient, die Rechtswirkung entfalten oder die Personen in ähnlich erheblicher Weise beeinträchtigen. |
| Besondere Datenkategorien (Art. 35 Abs. 3 lit. b DSGVO) | Ebenfalls ein Fall, in dem eine DSFA insbesondere erforderlich ist: umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10. |
| Überwachung (Art. 35 Abs. 3 lit. c DSGVO) | Ebenfalls ein Fall, in dem eine DSFA insbesondere erforderlich ist: systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. |
| Schwellwertanalyse (Kurzpapier Nr. 5 der DSK) | Ergibt die Schwellwertanalyse ein voraussichtlich hohes Risiko, dann ist eine DSFA durchzuführen. |
Schutz im Ernstfall
Vorbeugen
- Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, die Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge vorab durchführen (Art. 35 Abs. 1 DSGVO).
- Bei der Durchführung den Rat des Datenschutzbeauftragten einholen, sofern ein solcher benannt wurde (Art. 35 Abs. 2 DSGVO).
- Erforderlichenfalls überprüfen, ob die Verarbeitung gemäß der DSFA durchgeführt wird, zumindest bei Änderungen des mit den Verarbeitungsvorgängen verbundenen Risikos (Art. 35 Abs. 11 DSGVO).
Was tun im Ernstfall
- Geht aus einer DSFA hervor, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern keine Maßnahmen zur Eindämmung des Risikos getroffen werden, konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde (Art. 36 Abs. 1 DSGVO).
Beispiele aus der Praxis
- Werden biometrische Daten mit einer Gesichtserkennungssoftware verarbeitet, etwa um den Zutritt zu einem Bereich zu kontrollieren, ist nach einer Orientierungshilfe der Datenschutzkonferenz im Vorfeld der Verarbeitung zwingend eine Datenschutz-Folgenabschätzung durchzuführen.
- Plant eine Stelle die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, liegt ein Fall vor, den Art. 35 Abs. 3 lit. c DSGVO ausdrücklich nennt.
- Ein Versicherer plant die umfangreiche Verarbeitung von Gesundheitsdaten in der Krankenversicherung; vorab führt er eine Datenschutz-Folgenabschätzung durch, weil Art. 35 Abs. 3 DSGVO die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten ausdrücklich nennt.
