Wann muss eine DSFA durchgeführt werden?

Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen bedeutet – insbesondere bei umfangreichem Profiling/Scoring, umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer umfangreicher Überwachung. Die Aufsichtsbehörden führen zudem Muss-Listen.

Was muss eine DSFA enthalten?

Eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung für die Betroffenen und die geplanten Abhilfemaßnahmen (Art. 35 Abs. 7 DSGVO).

Wer führt die DSFA durch?

Der Verantwortliche, unter Einbeziehung des Datenschutzbeauftragten. Bleibt trotz Maßnahmen ein hohes Restrisiko bestehen, ist vor der Verarbeitung die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO).

Ist die DSFA ein einmaliges Dokument?

Nein. Die DSFA ist vor Verarbeitungsbeginn zu erstellen und bei Änderungen des Risikos zu überprüfen und fortzuschreiben. Sie ist Teil der laufenden Rechenschaftspflicht.

Wissen · Datenschutz

Datenschutz-Folgenabschätzung (DSFA) durchführen

Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO durchzuführen, wenn eine Verarbeitung – insbesondere bei Einsatz neuer Technologien – voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Sie ist vor Beginn der Verarbeitung zu erstellen und beschreibt die geplante Verarbeitung, bewertet Notwendigkeit und Risiken und legt Abhilfemaßnahmen fest.

Rechtsgrundlage: Art. 35 DSGVO (DSFA), Art. 36 (Konsultation)
Auslöser: voraussichtlich hohes Risiko
Regelbeispiele: Profiling, Art.-9-Daten, systematische Überwachung
Zeitpunkt: vor Beginn der Verarbeitung
Beteiligt: Datenschutzbeauftragter

Wann ist eine DSFA Pflicht?

Eine DSFA ist erforderlich bei voraussichtlich hohem Risiko. Art. 35 Abs. 3 nennt drei Regelbeispiele: umfangreiche systematische Bewertung persönlicher Aspekte (Profiling/Scoring) als Grundlage automatisierter Entscheidungen mit Rechtswirkung, umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9) oder von Daten über Straftaten, sowie systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Zusätzlich veröffentlichen die Aufsichtsbehörden Listen von Verarbeitungen, die stets einer DSFA bedürfen (sog. Muss-Listen). Im Zweifel hilft eine Schwellenwertanalyse, um zu klären, ob die DSFA-Pflicht greift.

Pflichtinhalte der DSFA

Nach Art. 35 Abs. 7 enthält die DSFA mindestens: eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die geplanten Abhilfemaßnahmen (Garantien, Sicherheitsvorkehrungen, Verfahren) zur Bewältigung dieser Risiken und zum Nachweis der DSGVO-Konformität.

Ablauf in Schritten

1. Schwellenwertanalyse: Besteht überhaupt DSFA-Pflicht? 2. Verarbeitung systematisch beschreiben (Daten, Zwecke, Beteiligte, Datenflüsse). 3. Notwendigkeit und Verhältnismäßigkeit prüfen. 4. Risiken für die Betroffenen identifizieren und bewerten. 5. Abhilfemaßnahmen festlegen und Restrisiko bewerten. 6. Datenschutzbeauftragten einbeziehen; bei verbleibendem hohem Restrisiko die Aufsichtsbehörde vorab konsultieren (Art. 36).

Die DSFA ist kein Einmaldokument: Bei Änderungen des Risikos ist sie zu überprüfen. Das DSMS-Modul in MGMSYS führt Schwellenwertanalyse und DSFA strukturiert, verknüpft sie mit Verarbeitungsverzeichnis und TOM und dokumentiert den Prozess revisionssicher.

Häufige Fragen

Wann muss eine DSFA durchgeführt werden?: Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen bedeutet – insbesondere bei umfangreichem Profiling/Scoring, umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer umfangreicher Überwachung. Die Aufsichtsbehörden führen zudem Muss-Listen.
Was muss eine DSFA enthalten?: Eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung für die Betroffenen und die geplanten Abhilfemaßnahmen (Art. 35 Abs. 7 DSGVO).
Wer führt die DSFA durch?: Der Verantwortliche, unter Einbeziehung des Datenschutzbeauftragten. Bleibt trotz Maßnahmen ein hohes Restrisiko bestehen, ist vor der Verarbeitung die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO).
Ist die DSFA ein einmaliges Dokument?: Nein. Die DSFA ist vor Verarbeitungsbeginn zu erstellen und bei Änderungen des Risikos zu überprüfen und fortzuschreiben. Sie ist Teil der laufenden Rechenschaftspflicht.