MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Was ist eine Datenschutz-Folgenabschätzung (DSFA)? Es handelt sich um eine obligatorische Risikobewertung, in der Sie im Voraus die Datenschutzrisiken der Datenverarbeitung ermitteln und Maßnahmen zu deren Minderung festlegen. Diese Verpflichtung ist in Artikel 35 der Datenschutz-Grundverordnung (DSGVO) verankert. Sie müssen eine DSFA durchführen, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Das Ergebnis entscheidet darüber, ob Sie fortfahren können, zusätzliche Maßnahmen ergreifen müssen oder zunächst die niederländische Datenschutzbehörde konsultieren müssen.
Die kurze Antwort
- Was: eine strukturierte, im Voraus durchgeführte Bewertung der Datenschutzrisiken einer Verarbeitungsoperation.
- Rechtsgrundlage: Artikel 35 DSGVO (obligatorisch bei hohem Risiko).
- Ziel: Risiken erkennen und managen, bevor Sie mit der Verarbeitung beginnen.
- Wer: der Verantwortliche, gegebenenfalls nach Rücksprache mit dem Datenschutzbeauftragten (DSB).
- Wenn zwingend erforderlich: bei hohem Risiko, umfangreichen Sonderdaten, systematischer Überwachung oder Profilerstellung.
- Nächste Schritte: Im Falle eines Restrisikos, das nicht abgedeckt werden kann, erfolgt eine vorherige Konsultation mit der Datenschutzbehörde (Artikel 36 DSGVO).
Was genau ist eine Datenschutz-Folgenabschätzung (DSFA)?
Eine Datenschutz-Folgenabschätzung (DSFA) ist kein Formular, das man nachträglich ausfüllt, sondern eine Bewertung, die man vor Beginn der Datenverarbeitung durchführt. Man beschreibt die Verarbeitung, bewertet deren Notwendigkeit und Verhältnismäßigkeit und wägt die Risiken für die betroffenen Personen ab. Darauf basierend ergreift man Maßnahmen zur Risikominderung. Die DSGVO nennt dies Datenschutz-Folgenabschätzung. In der Praxis wird jedoch fast überall der englische Begriff „Data Protection Impact Assessment“ verwendet.
Die Datenschutz-Folgenabschätzung (DSFA) ist ein Instrument im Rahmen des umfassenderen Rechenschaftsprinzips. Der Verantwortliche für die Datenverarbeitung muss nicht nur die DSGVO einhalten, sondern dies auch nachweisen können. Eine dokumentierte DSFA ist hierfür einer der wichtigsten Nachweise.
Wann ist eine Datenschutz-Folgenabschätzung (DSFA) obligatorisch?
Artikel 35 Absatz 1 der DSGVO schreibt eine Datenschutz-Folgenabschätzung (DSFA) vor, wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt. Artikel 35 Absatz 3 nennt drei Situationen, in denen dies immer gilt:
- Systematische und umfassende Bewertung persönlicher Aspekte auf der Grundlage automatisierter Verarbeitung, einschließlich Profiling, mit rechtlichen oder ähnlichen Auswirkungen auf die betroffene Person.
- Verarbeitung von Daten besonderer Kategorien (wie z. B. Gesundheitsdaten, Rassendaten, Religionsdaten) oder kriminellen Daten in großem Umfang.
- Systematische und großflächige Überwachung öffentlich zugänglicher Räume, beispielsweise mittels Videoüberwachung.
Darüber hinaus hat die niederländische Datenschutzbehörde eine Liste von Verarbeitungstätigkeiten veröffentlicht, für die in jedem Fall eine Datenschutz-Folgenabschätzung (DSFA) obligatorisch ist. Dazu gehören beispielsweise die Verarbeitung von Standortdaten in großem Umfang, die Verarbeitung von Daten über schutzbedürftige Personen oder die umfassende Überwachung von Mitarbeitern. Sind Sie unsicher? Dann gilt die Kriterienliste der europäischen Datenschutzbehörden: Je mehr Kriterien zutreffen, desto wahrscheinlicher ist eine DSFA erforderlich.
Die Rolle des Datenschutzbeauftragten
Hat Ihre Organisation einen Datenschutzbeauftragten (DSB) bestellt, sind Sie gemäß Artikel 35 Absatz 2 DSGVO verpflichtet, diesen bei der Durchführung der Datenschutz-Folgenabschätzung (DSFA) zu konsultieren. Die Aufgaben des DSB sind in Artikel 39 DSGVO festgelegt: Überwachung der Einhaltung der Datenschutzbestimmungen, Beratung zur DSFA und Ansprechpartner für die Datenschutzbehörde. Der DSB führt die DSFA nicht selbst durch, sondern bewertet sie und berät. Die letztendliche Verantwortung verbleibt beim Verantwortlichen.
Viele KMU sind nicht verpflichtet, einen Datenschutzbeauftragten (DSB) zu benennen. Die Pflicht besteht hauptsächlich bei der Verarbeitung besonderer Kategorien personenbezogener Daten in großem Umfang oder bei systematischer Überwachung. Auch ohne DSB können und müssen Sie eine Datenschutz-Folgenabschätzung (DSFA) durchführen, wenn Artikel 35 dies vorschreibt.
Was geschieht nach der Datenschutz-Folgenabschätzung?
Das Ergebnis der Datenschutz-Folgenabschätzung (DSFA) bestimmt Ihr weiteres Vorgehen. Können Sie die Risiken durch angemessene Maßnahmen auf ein akzeptables Niveau reduzieren, dürfen Sie mit der Verarbeitung beginnen. Besteht trotz Ihrer Maßnahmen ein hohes Restrisiko, sind Sie gemäß Artikel 36 DSGVO verpflichtet, die Datenschutzbehörde vorab zu konsultieren. Diese wird Ihnen grundsätzlich innerhalb von acht Wochen (mit einer möglichen Verlängerung um sechs Wochen) antworten und Sie beraten oder gegebenenfalls eingreifen.
Eine Datenschutz-Folgenabschätzung (DSFA) ist kein einmaliges Dokument. Ändert sich die Verarbeitung wesentlich, beispielsweise aufgrund neuer Technologien oder einer Erweiterung der Zwecke, muss die Bewertung überarbeitet werden. Vorgesetzte empfehlen, eine DSFA regelmäßig zu überprüfen.
Ein praktisches Beispiel: Ein KMU im Gesundheitswesen möchte eine App einführen, die Gesundheitsdaten von Klienten verarbeitet und analysiert. Da dies die Verarbeitung besonderer Kategorien personenbezogener Daten in großem Umfang beinhaltet, ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich. Die Bewertung zeigt, dass Verschlüsselung und strenge Zugriffsrechte das Risiko ausreichend begrenzen, sodass eine vorherige Konsultation der Aufsichtsbehörde nicht notwendig ist.
Ehrliche Empfehlung
Sie benötigen nicht immer einen Anwalt. Verarbeiten Sie lediglich gewöhnliche Kunden- und Mitarbeiterdaten für den normalen Geschäftsbetrieb ohne Profiling, besondere Kategorien personenbezogener Daten oder großflächige Überwachung, ist eine Datenschutz-Folgenabschätzung (DSFA) oft nicht erforderlich und ein ordnungsgemäßes Verarbeitungsverzeichnis ausreichend. Sind Sie sich unsicher, ob Sie unter Artikel 35 fallen oder ob dieser besondere Kategorien personenbezogener Daten, Profiling oder Videoüberwachung betrifft, empfiehlt sich eine rechtliche Beratung. Eine falsche Einschätzung der DSFA-Pflicht ist einer der häufigsten Verstöße gegen die DSGVO und kann erhebliche Bußgelder nach sich ziehen.
Wenn Sie genau wissen möchten, ob und wie Sie eine Datenschutz-Folgenabschätzung (DSFA) durchführen müssen, lesen Sie weiter über die DSFA, das Verfassen einer DSFA und das Verfassen einer DSFA.
Häufig gestellte Fragen
Eine Datenschutz-Folgenabschätzung (DSFA) ist eine obligatorische Prüfung, in der Sie die Datenschutzrisiken der Datenverarbeitung im Voraus ermitteln und Maßnahmen zur Bewältigung dieser Risiken festlegen. Diese Verpflichtung ist in Artikel 35 der DSGVO verankert.
Wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt. Artikel 35 Absatz 3 der DSGVO nennt Profiling mit rechtlichen Folgen, die Verarbeitung besonderer Kategorien personenbezogener Daten in großem Umfang und die systematische Überwachung öffentlicher Räume. Die niederländische Datenschutzbehörde führt ebenfalls eine Liste von Fällen, in denen eine Datenverarbeitung zwingend erforderlich ist.
Der Verantwortliche ist für die Datenschutz-Folgenabschätzung (DSFA) zuständig. Sofern ein Datenschutzbeauftragter bestellt ist, sollten Sie sich von ihm beraten lassen (Art. 35 Abs. 2 DSGVO). Der Datenschutzbeauftragte berät und bewertet, trägt aber keine endgültige Verantwortung.
Der Datenschutzbeauftragte überwacht die Einhaltung der DSGVO, berät bei der Datenschutz-Folgenabschätzung (DSFA) und dient als Ansprechpartner für die Aufsichtsbehörde. Diese Aufgaben sind in Artikel 39 DSGVO festgelegt. Der Datenschutzbeauftragte führt die DSFA nicht selbst durch.
In diesem Fall verpflichtet Sie Artikel 36 der DSGVO, vor Beginn der Datenverarbeitung die Datenschutzbehörde zu konsultieren. Die Aufsichtsbehörde kann Sie beraten oder eingreifen und antwortet grundsätzlich innerhalb von acht Wochen.
Ja. Eine Datenschutz-Folgenabschätzung (DSFA) ist kein einmaliges Dokument. Ändert sich die Verarbeitung wesentlich, beispielsweise aufgrund neuer Technologien oder zusätzlicher Zwecke, muss die Bewertung überarbeitet werden. Eine regelmäßige Überprüfung wird empfohlen.
Nicht immer. Für gewöhnliche Kunden- und Mitarbeiterdaten ohne Profiling oder besondere Kategorien personenbezogener Daten ist eine Datenschutz-Folgenabschätzung (DSFA) oft nicht zwingend erforderlich. Geht es jedoch um besondere Kategorien personenbezogener Daten, Profiling oder großflächiges Monitoring, ist eine rechtliche Prüfung ratsam, da eine fehlerhafte Bewertung zu Bußgeldern führen kann.
