Datenschutz-Folgenabschätzung nach der DSGVO

Eine Datenschutzfolgenabschätzung gemäß Art. 35 EU-DSGVO ist ein Verfahren, das dazu dient, die Auswirkungen bestimmter Verarbeitungsvorgänge auf den Schutz personenbezogener Daten zu bewerten. Sie wird durchgeführt, um die Risiken, die von der Datenverarbeitung ausgehen, zu minimieren und um zu gewährleisten, dass alle Datenschutzvorgaben eingehalten werden. Ein praktisches Beispiel zeigt die Bedeutung dieses Verfahrens: Durch die Durchführung einer Datenschutzfolgenabschätzung können Unternehmen das Haftungsrisiko bei Datenlecks, Cyberangriffen oder anderen Datenschutzverletzungen reduzieren. Darüber hinaus hilft sie, hohe Strafen der Datenschutzbehörden zu vermeiden, die auftreten können, wenn die Betroffenenrechte nicht berücksichtigt werden. Insgesamt trägt die Datenschutzfolgenabschätzung dazu bei, sowohl rechtliche als auch finanzielle Konsequenzen zu minimieren und das Vertrauen der betroffenen Personen zu stärken.

Die Datenschutz-Folgenabschätzung (DSFA) ist aus mehreren Gründen von zentraler Bedeutung:

1. Rechtliche Konformität: Die DSFA ist eine gesetzliche Anforderung gemäß Artikel 35 der Datenschutz-Grundverordnung (DSGVO). Nichtbeachtung kann zu erheblichen Sanktionen führen, darunter Geldstrafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
2. Risikominimierung: Durch die DSFA können Unternehmen potenzielle Datenschutzrisiken frühzeitig erkennen und Maßnahmen zur Minderung dieser Risiken erarbeiten. Dadurch wird das Risiko von Datenschutzverletzungen und damit verbundenen negativen Folgen, wie Reputationsschäden und Vertrauensverlust, verringert.
3. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen: Die DSFA unterstützt das Prinzip von „Privacy by Design und Privacy by Default“, indem sie sicherstellt, dass Datenschutzüberlegungen von Anfang an in neue Projekte, Prozesse oder Produkte integriert werden. 
    

Artikel 35 Absatz 1 der DSGVO legt fest, dass eine DSFA notwendig ist, wenn die geplante Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Um das Risiko bei der Datenverarbeitung bewerten zu können, hat eine Expertengruppe eine Liste von 9 Kriterien zusammengestellt, die das Risiko erhöhen. 

9 Kriterien für ein hohes Datenschutz-Risiko

1. Bewerten oder Klassifizieren von Betroffenen
2. Automatisierte Entscheidungsfindungen
3. Beobachtung, Überwachung oder Kontrollieren der Betroffenen (Artikel 35 Absatz 3 Buchstabe c DSGVO).
4. Bearbeitung vertraulicher oder besonders persönlicher Daten:
    
   • Besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 Absatz 1 oder Artikel 10 DSGVO
   • Gesundheitsdaten (§ 67 (1) SGB X)
   • Sozialdaten
   • Finanzdaten
5. Datenverarbeitung im großen Umfang
6. Datensätze werden aus zwei oder mehreren Verarbeitungen zusammengeführt
7. Verarbeitung Daten der schutzbedürftiger Betroffener
   
   
   • Kinder
   • Arbeitnehmer:innen
   • Bürger:innen mit speziellem Schutzbedarf (z.B. psychisch Kranke, Asylbewerber, Senioren, Patienten)
   • Betroffene bei denen ein ungleiches Machtverhältnis vorhanden ist
      
8. Einsatz fortgeschrittener Technologien oder Lösungen wie Gesichtserkennung, IoT, AI usw.
9. Verarbeitung verhindert, dass Betroffene Rechte ausüben oder Dienstleistungen/Verträge erfüllen können.
    

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn das Risiko für die Betroffenen hoch ist und mindestens zwei Kriterien erfüllt sind. Aufsichtsbehörden sind verpflichtet, Positivlisten zu veröffentlichen, welche die notwendigen Verarbeitungsvorgänge auflisten. Auch Verarbeitungstätigkeiten, bei denen wenige Kriterien erfüllt sind, können ein hohes Risiko darstellen und erfordern daher auch eine Einzelfallprüfung. 

Wir sind ein externer Datenschutzbeauftragter, der auf Compliance spezialisiert ist. Wenn du Fragen zur DSFA hast, kannst du dich gerne mit uns in Verbindung setzen.

Artikel 35 Absatz 7 der DSGVO bestimmt, dass eine DSFA die systematische Beschreibung der geplanten Verarbeitungsvorgänge, die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung in Bezug auf den Zweck und eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen beinhalten muss.

Unser Team von Datenschutzexperten hat einen ausführlichen Leitfaden zur Durchführung einer DSFA erstellt. Von der Identifizierung der Datenverarbeitungsaktivitäten bis hin zur Dokumentation und Überprüfung deines Prozesses, wir begleiten dich Schritt für Schritt durch den Prozess.

Schritt 1: Identifizierung der Datenverarbeitungsaktivitäten

Die DSFA beginnt mit der Identifizierung aller Verarbeitungsaktivitäten, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen könnten.

Schritt 2: Bewertung der Datenschutzrisiken

Bewerte die potenziellen Risiken, die mit diesen Verarbeitungsaktivitäten verbunden sind. Unsere Experten helfen dir dabei, diese Risiken zu identifizieren und deren Folgen abzuschätzen.

Schritt 3: Maßnahmen zur Minderung der Risiken

Entwickle Maßnahmen zur Minderung der identifizierten Risiken. Unsere Expertenteam aus Rechtsanwält:innen unterstützt dich bei der Auswahl geeigneter Maßnahmen. 

Da Unternehmen zunehmend neue Technologien und Cloud-Strukturen einführen, ist eine Datenschutzfolgenabschätzung sinnvoll, um die Risiken bei der Einführung neuer Technologien zu bewerten und zu mindern.
 

Praxisbeispiel: Entwicklung einer Gesundheits-App durch ein Technologieunternehmen

Eine DSFA wird relevant, wenn euer Unternehmen mit Gesundheitsdaten arbeitet oder plant Systeme oder Apps zu entwickeln, die sensible Daten verarbeiten. Da Gesundheitsdaten besonders schützenswert sind, sind die Anforderungen an den Datenschutz an dieser Stelle besonders hoch. Somit hilft sie dabei nicht nur die rechtlichen Anforderungen zu erfüllen, sondern stärkt auch das Vertrauen der Nutzer in die Sicherheit ihrer Daten.