Datenschutz-Folgenabschätzung: Wann ist eine DSFA Pflicht?

Die Datenschutz-Folgenabschätzung (DSFA) gehört zu den Instrumenten der DSGVO, die in kleinen und mittleren Unternehmen oft unbekannt sind oder gefürchtet werden. Dabei ist sie im Kern ein strukturiertes Nachdenken über Risiken, bevor eine neue Datenverarbeitung startet. Art. 35 DSGVO verlangt sie nur in bestimmten Fällen. Welche das sind und wie eine DSFA abläuft, erläutern wir im Folgenden.

Wann ist eine DSFA erforderlich?

Eine DSFA ist durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele:

• systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung dient,
• umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen,
• systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Die „Muss-Liste“ der Aufsichtsbehörden

Die deutschen Aufsichtsbehörden haben zusätzlich eine Liste von Verarbeitungsvorgängen veröffentlicht, für die stets eine DSFA durchzuführen ist. Dazu zählen beispielsweise umfangreiche Verarbeitungen von Standortdaten, die Zusammenführung von Daten aus verschiedenen Quellen, die umfassende Überwachung von Beschäftigten oder der Einsatz bestimmter neuer Technologien zur Interaktion mit Betroffenen. Prüfen Sie diese Liste bei jeder neuen Verarbeitung.

Als Faustregel helfen zudem die Kriterien des Europäischen Datenschutzausschusses, etwa Bewertung und Scoring, systematische Überwachung, sensible Daten, große Datenmengen, schutzbedürftige Personen wie Beschäftigte oder Kinder und innovative Technologien. Treffen mindestens zwei dieser Kriterien zu, ist in der Regel eine DSFA angezeigt.

Typische Fälle in der Praxis

• umfangreiche Videoüberwachung von Geschäftsräumen,
• GPS-Ortung von Dienstfahrzeugen oder Leistungskontrollen von Beschäftigten,
• Patientenverwaltung in größeren Praxen oder Pflegediensten,
• Kundenbindungsprogramme mit umfassendem Profiling,
• neue Software, die große Mengen Beschäftigtendaten automatisiert auswertet.

Ablauf einer DSFA

1. Die geplante Verarbeitung und ihre Zwecke werden beschrieben, einschließlich der berechtigten Interessen.
2. Es folgt die Bewertung von Notwendigkeit und Verhältnismäßigkeit: Geht es auch mit weniger Daten?
3. Dann werden die Risiken bewertet: Welche Schäden drohen den Betroffenen, wie wahrscheinlich und wie schwer sind sie?
4. Festgelegt werden die Abhilfemaßnahmen, also technische und organisatorische Maßnahmen, die das Risiko reduzieren.
5. Am Ende stehen Ergebnis und Dokumentation, unter Einbindung des Datenschutzbeauftragten, sofern benannt.

Bleibt trotz aller Maßnahmen ein hohes Risiko bestehen, muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert werden (Art. 36 DSGVO). Das kommt in der Praxis selten vor.

Folge für den Datenschutzbeauftragten

Wichtig für kleinere Unternehmen: Wer Verarbeitungen durchführt, die einer DSFA unterliegen, muss nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten benennen. Mehr dazu in unserem Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

Prüfen Sie bei jedem neuen Projekt mit Personenbezug kurz, ob eine DSFA nötig ist, und halten Sie auch das Ergebnis dieser Vorprüfung fest. Bei der Einschätzung und der Durchführung unterstützen wir Sie. Sprechen Sie uns an oder buchen Sie einen Termin.