Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist eine strukturierte Prüfung vor Beginn einer Verarbeitung. Der Verantwortliche beschreibt die geplante Verarbeitung und ihre Zwecke, beurteilt ihre Notwendigkeit und Verhältnismäßigkeit, bewertet die möglichen Risiken für betroffene Personen und legt Schutzmaßnahmen fest. Besonders bei neuen Technologien oder Verarbeitungen mit voraussichtlich hohem Risiko muss diese Prüfung frühzeitig erfolgen.

Eine DSFA ist insbesondere vorgesehen, wenn Personen systematisch und umfassend bewertet werden, wenn besondere Kategorien personenbezogener Daten oder Daten über strafrechtliche Verurteilungen und Straftaten in großem Umfang verarbeitet werden oder wenn ein öffentlich zugänglicher Bereich systematisch und in großem Umfang überwacht wird. Die Datenschutzbehörde kann weitere Verarbeitungsvorgänge festlegen, für die eine DSFA erforderlich ist. Gibt es trotz geplanter Maßnahmen weiterhin ein hohes Risiko, muss der Verantwortliche vor dem Beginn der Verarbeitung die Aufsichtsbehörde konsultieren.

In der Praxis sollte die DSFA mit dem konkreten Verarbeitungsvorgang, den Datenflüssen, den Zugriffsberechtigungen, Löschfristen und technischen und organisatorischen Maßnahmen verknüpft werden. Ist ein Datenschutzbeauftragter benannt, ist sein Rat einzuholen. Die Datenschutz-Governance hilft bei Zuständigkeiten und Dokumentation; bei Tracking und Profilbildung bietet die Seite zu Marketing, Cookies und Tracking eine fachliche Einordnung.