Die Datenschutz-Folgenabschätzung (DSFA) ist ein gesetzlich vorgeschriebenes Verfahren zur Bewertung und Verringerung von Risiken bei der Verarbeitung personenbezogener Daten. Nach Art. 35 der Datenschutz-Grundverordnung (DS-GVO) muss der Verantwortliche eine DSFA durchführen, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Ziel ist es, Datenschutzrisiken frühzeitig zu erkennen und geeignete Schutzmaßnahmen festzulegen.
Wann ist eine Datenschutz-Folgenabschätzung erforderlich?
Eine Datenschutz-Folgenabschätzung ist nach Art. 35 Abs. 1 DS-GVO erforderlich, wenn eine geplante Verarbeitung personenbezogener Daten aufgrund ihrer Art, ihres Umfangs, ihrer Umstände oder ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt.
Art. 35 Abs. 3 DS-GVO nennt insbesondere folgende Fälle, in denen eine DSFA durchzuführen ist:
- Automatisierte Bewertungen und Profiling: Systematische und umfassende Bewertungen persönlicher Aspekte, die auf automatisierter Verarbeitung beruhen und als Grundlage für Entscheidungen mit rechtlichen oder ähnlich erheblichen Auswirkungen dienen.
- Umfangreiche Verarbeitung sensibler Daten: Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DS-GVO oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DS-GVO.
- Systematische Überwachung: Systematische und umfangreiche Überwachung öffentlich zugänglicher Bereiche, beispielsweise durch großflächige Videoüberwachung.
Darüber hinaus veröffentlichen die Datenschutzaufsichtsbehörden nach Art. 35 Abs. 4 DS-GVO sogenannte Muss-Listen. Diese enthalten Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung verpflichtend ist.
Auch wenn eine Verarbeitung nicht ausdrücklich auf einer solchen Liste steht, muss der Verantwortliche prüfen, ob aufgrund der konkreten Risiken eine DSFA erforderlich ist. Entscheidend ist das voraussichtliche Risiko für die Rechte und Freiheiten der betroffenen Personen.
Vor der Einführung neuer Verarbeitungsvorgänge sollten Unternehmen anhand einer dokumentierten Schwellwertanalyse prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Dabei sind insbesondere die Art der verarbeiteten Daten, der Umfang der Verarbeitung, die eingesetzten Technologien und mögliche Auswirkungen auf betroffene Personen zu berücksichtigen.
Welchen Zweck verfolgt eine Datenschutz-Folgenabschätzung?
Die Datenschutz-Folgenabschätzung dient dazu, Risiken für betroffene Personen bereits vor Beginn einer Datenverarbeitung systematisch zu untersuchen. Sie soll verhindern, dass neue Verfahren oder Technologien eingesetzt werden, ohne ihre möglichen Auswirkungen auf den Schutz personenbezogener Daten ausreichend zu berücksichtigen.
Dabei werden nicht nur technische Sicherheitsrisiken bewertet. Eine DSFA berücksichtigt auch mögliche Beeinträchtigungen der Rechte und Freiheiten betroffener Personen, beispielsweise durch unzulässige Überwachung, Diskriminierung oder den Verlust der Kontrolle über persönliche Informationen.
Die DSFA unterstützt den Verantwortlichen dabei, die Notwendigkeit und Verhältnismäßigkeit einer Verarbeitung zu beurteilen und geeignete Schutzmaßnahmen festzulegen. Sie ist damit ein wesentliches Instrument zur Umsetzung der datenschutzrechtlichen Rechenschaftspflicht.
Wie wird eine Datenschutz-Folgenabschätzung durchgeführt?
Die Durchführung einer Datenschutz-Folgenabschätzung erfolgt vor Beginn der betreffenden Datenverarbeitung. Art. 35 Abs. 7 DS-GVO legt fest, welche Inhalte mindestens berücksichtigt werden müssen.
Eine DSFA umfasst insbesondere folgende Schritte:
- Beschreibung der Verarbeitung: Systematische Darstellung der geplanten Verarbeitungsvorgänge, ihrer Zwecke und der betroffenen personenbezogenen Daten.
- Bewertung der Notwendigkeit und Verhältnismäßigkeit: Prüfung, ob die Verarbeitung für den vorgesehenen Zweck erforderlich ist und die datenschutzrechtlichen Anforderungen eingehalten werden.
- Risikobewertung: Ermittlung und Bewertung der Risiken für die Rechte und Freiheiten betroffener Personen. Dabei werden insbesondere die Eintrittswahrscheinlichkeit und die möglichen Auswirkungen berücksichtigt.
- Festlegung von Schutzmaßnahmen: Bestimmung geeigneter technischer und organisatorischer Maßnahmen, um die ermittelten Risiken zu verringern.
- Dokumentation und Überprüfung: Nachvollziehbare Dokumentation der Ergebnisse und Überprüfung der Verarbeitung, insbesondere wenn sich die damit verbundenen Risiken verändern.
Zu den Schutzmaßnahmen gehören beispielsweise die Verschlüsselung personenbezogener Daten, die Beschränkung von Zugriffsrechten oder die Pseudonymisierung.
Soweit angemessen, muss der Verantwortliche nach Art. 35 Abs. 9 DS-GVO außerdem den Standpunkt betroffener Personen oder ihrer Vertreter zur geplanten Verarbeitung einholen. Dabei sind der Schutz geschäftlicher Interessen und die Sicherheit der Verarbeitung zu berücksichtigen.
Die DSFA muss nachvollziehbar dokumentiert werden. Sie ist kein einmaliger Formalakt, sondern muss bei relevanten Änderungen der Verarbeitung und ihrer Risiken überprüft werden.
Wer ist für die Datenschutz-Folgenabschätzung verantwortlich?
Die Verantwortung für die Durchführung einer Datenschutz-Folgenabschätzung liegt beim Verantwortlichen im Sinne von Art. 4 Nr. 7 DS-GVO. Dieser muss prüfen, ob eine DSFA erforderlich ist, die Risiken bewerten und geeignete Schutzmaßnahmen festlegen.
Wurde ein Datenschutzbeauftragter benannt, muss der Verantwortliche nach Art. 35 Abs. 2 DS-GVO dessen Rat bei der Durchführung der DSFA einholen. Der Datenschutzbeauftragte berät insbesondere bei der Bewertung datenschutzrechtlicher Risiken und überwacht die Durchführung nach Art. 39 Abs. 1 lit. c DS-GVO.
Auch externe Dienstleister können an der Erstellung einer DSFA mitwirken. Die datenschutzrechtliche Verantwortung verbleibt jedoch beim Verantwortlichen. Auftragsverarbeiter müssen ihn im Rahmen ihrer gesetzlichen Pflichten bei der Durchführung unterstützen.
Was passiert, wenn eine Datenschutz-Folgenabschätzung hohe Risiken ergibt?
Ergibt die Datenschutz-Folgenabschätzung hohe Risiken für die Rechte und Freiheiten betroffener Personen, muss der Verantwortliche geeignete Maßnahmen zur Risikominimierung festlegen.
Dazu gehören beispielsweise zusätzliche Sicherheitsmaßnahmen, eine Einschränkung der verarbeiteten Daten oder Änderungen am vorgesehenen Verarbeitungsverfahren. Anschließend ist zu bewerten, welche Risiken trotz dieser Maßnahmen verbleiben.
Kann das hohe Risiko durch die vorgesehenen Maßnahmen nicht ausreichend verringert werden, muss der Verantwortliche nach Art. 36 DS-GVO vor Beginn der Verarbeitung die zuständige Datenschutzaufsichtsbehörde konsultieren.
Die Aufsichtsbehörde prüft die geplante Verarbeitung und kann Empfehlungen aussprechen oder ihre gesetzlichen Befugnisse ausüben. Eine Datenschutz-Folgenabschätzung ersetzt dabei weder eine erforderliche Rechtsgrundlage noch die Einhaltung der übrigen datenschutzrechtlichen Anforderungen.
Praxisbeispiel: Datenschutz-Folgenabschätzung bei der Einführung eines KI-Systems
Ein Unternehmen plant die Einführung eines KI-gestützten Systems zur automatisierten Bewertung von Bewerbungen. Das System analysiert Lebensläufe, Qualifikationen und weitere Bewerberdaten und erstellt daraus Eignungsbewertungen, anhand derer Bewerber automatisch vom weiteren Auswahlverfahren ausgeschlossen werden.
Da die geplante Verarbeitung eine systematische und umfassende automatisierte Bewertung persönlicher Aspekte umfasst und die darauf beruhenden Entscheidungen erhebliche Auswirkungen auf die beruflichen Chancen der Bewerber haben, muss das Unternehmen vor der Einführung eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 3 lit. a DS-GVO durchführen.
Dabei untersucht es insbesondere die Risiken fehlerhafter Bewertungen, möglicher Diskriminierung und unberechtigter Zugriffe auf Bewerberdaten. Zur Risikominimierung legt das Unternehmen geeignete Maßnahmen fest, darunter eine Überprüfung der Bewertungskriterien, Zugriffsbeschränkungen und wirksame menschliche Kontrollmöglichkeiten.
Die Ergebnisse werden dokumentiert und der Datenschutzbeauftragte wird in die Bewertung einbezogen. Das Unternehmen prüft außerdem gesondert, ob die geplante Verarbeitung auf einer geeigneten Rechtsgrundlage beruht und die Anforderungen an automatisierte Entscheidungen nach Art. 22 DS-GVO eingehalten werden. Eine DSFA allein berechtigt nicht zum Einsatz des Systems.
legal data Einschätzung: Unternehmen müssen bei risikoreichen Datenverarbeitungen bereits vor deren Einführung prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Besonders beim Einsatz neuer Technologien, automatisierter Bewertungssysteme und umfangreicher Datenanalysen ist eine frühzeitige Risikobewertung entscheidend. Eine sorgfältig dokumentierte DSFA schafft Transparenz über die bestehenden Risiken und ermöglicht es, geeignete Schutzmaßnahmen rechtzeitig umzusetzen.
Rechtsgrundlagen
Insbesondere Art. 35 DS-GVO zur Datenschutz-Folgenabschätzung und Art. 36 DS-GVO zur vorherigen Konsultation der Aufsichtsbehörde. Ergänzend sind insbesondere Art. 5 Abs. 2 DS-GVO zur Rechenschaftspflicht, Art. 24 und 25 DS-GVO zu den Pflichten des Verantwortlichen und zum Datenschutz durch Technikgestaltung, Art. 28 Abs. 3 lit. f DS-GVO zur Unterstützung durch Auftragsverarbeiter sowie Art. 32 und Art. 39 Abs. 1 lit. c DS-GVO zu Sicherheitsmaßnahmen und den Aufgaben des Datenschutzbeauftragten relevant.
Häufige Fragen zur Datenschutz-Folgenabschätzung
Was bedeutet DSFA?
DSFA ist die Abkürzung für Datenschutz-Folgenabschätzung. Sie bezeichnet die systematische Bewertung von Risiken, die eine geplante Verarbeitung personenbezogener Daten für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Wann muss eine Datenschutz-Folgenabschätzung durchgeführt werden?
Eine DSFA muss vor Beginn einer Verarbeitung durchgeführt werden, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen zur Folge hat. Die Voraussetzungen ergeben sich insbesondere aus Art. 35 DS-GVO und den Muss-Listen der Datenschutzaufsichtsbehörden.
Muss jedes Unternehmen eine Datenschutz-Folgenabschätzung durchführen?
Nein. Die Pflicht hängt nicht von der Unternehmensgröße ab, sondern von den Risiken der jeweiligen Verarbeitung. Auch kleine Unternehmen müssen eine DSFA durchführen, wenn die gesetzlichen Voraussetzungen erfüllt sind.
Muss eine Datenschutz-Folgenabschätzung regelmäßig aktualisiert werden?
Eine DSFA muss überprüft werden, wenn dies erforderlich ist, insbesondere wenn sich die Risiken der Verarbeitung verändern. Eine allgemeine gesetzliche Pflicht zur Aktualisierung in festen Zeitabständen besteht nicht.
Welche Folgen hat eine fehlende Datenschutz-Folgenabschätzung?
Unterbleibt eine gesetzlich vorgeschriebene DSFA, liegt ein Verstoß gegen die DS-GVO vor. Die zuständige Datenschutzaufsichtsbehörde kann Maßnahmen anordnen und unter den gesetzlichen Voraussetzungen Geldbußen nach Art. 83 Abs. 4 DS-GVO verhängen.
Verwandte Begriffe.
Privacy by Design Privacy by Design bedeutet, Datenschutz bereits bei der Konzeption von Systemen, Produkten und Prozessen technisch und organisatorisch einzuplanen. Art. 25 Abs. 1 DSGVO Künstliche Intelligenz und Datenschutz Beim Einsatz künstlicher Intelligenz gilt die DSGVO immer dann, wenn beim Training, bei der Eingabe oder bei der Ausgabe personenbezogene Daten verarbeitet werden. Art. 6 DSGVO Videoüberwachung Videoüberwachung ist die Beobachtung von Räumen oder Flächen mit optisch-elektronischen Einrichtungen und datenschutzrechtlich zulässig, wenn sie erforderlich und verhältnismäßig ist. Art. 6 Abs. 1 lit. f DSGVO 