Datenschutz-Folgenabschätzung
Eine Folgenabschätzung ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Ergibt die Abschätzung ein hohes Restrisiko, ist die Aufsichtsbehörde vorab zu konsultieren.
Die Folgenabschätzung ist kein Formular, sondern eine Risikobetrachtung aus Sicht der betroffenen Personen. Sie gehört an den Anfang eines Vorhabens, nicht an dessen Ende, weil sie sonst nur noch bestätigen kann, was ohnehin gebaut wurde.
Der Ablauf
Schritt 1: Schwelle prüfen
Liegt voraussichtlich ein hohes Risiko vor? Die Prüfung ist auch dann zu dokumentieren, wenn sie gegen eine Folgenabschätzung ausfällt.
Schritt 2: Verarbeitung beschreiben
Zwecke, Datenarten, Betroffene, Empfänger, Speicherdauer und die berechtigten Interessen, soweit darauf gestützt wird.
Schritt 3: Notwendigkeit und Verhältnismäßigkeit bewerten
Braucht es die Verarbeitung in dieser Form, oder gibt es ein milderes Mittel, das den Zweck ebenso erreicht?
Schritt 4: Risiken und Abhilfen
Risiken aus Sicht der Betroffenen benennen und die Maßnahmen zuordnen, mit denen sie gesenkt werden.
Schritt 5: Restrisiko und Konsultation
Bleibt ein hohes Risiko, ist die Aufsichtsbehörde vor Beginn zu konsultieren. Sonst wird die Abschätzung dokumentiert und bei Änderungen fortgeschrieben.
Typische Anlässe
- Einführung einer Cloud-Plattform mit umfangreicher Telemetrie
- Einsatz von KI-Systemen mit Bezug zu Beschäftigten
- Videoüberwachung öffentlich zugänglicher Bereiche
- Umfangreiche Verarbeitung von Gesundheits- oder anderen besonderen Daten
- Scoring und automatisierte Entscheidungen mit rechtlicher Wirkung
- Zusammenführung von Datenbeständen, die bisher getrennt waren
Vorhaben in der Planung?
Die Folgenabschätzung gehört an den Anfang, nicht vor den Livegang.
Kontakt aufnehmenHäufige Fragen
Woran erkennen wir, ob eine Folgenabschätzung nötig ist?
Art. 35 Abs. 3 DSGVO nennt Regelbeispiele, darunter umfangreiche Verarbeitung besonderer Kategorien und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Daneben führen die Aufsichtsbehörden Listen von Verarbeitungen, für die sie eine Abschätzung verlangen. Fällt Ihr Vorhaben in keine Kategorie, ist die Prüfung trotzdem zu dokumentieren.
Wer erstellt die Folgenabschätzung?
Verantwortlich ist die verantwortliche Stelle. Der Rat der oder des Datenschutzbeauftragten ist einzuholen, die Aufgabe darf aber nicht dorthin abgeschoben werden. Praktisch entsteht sie im Zusammenspiel von Fachbereich, IT und Recht.
Was bedeutet die vorherige Konsultation?
Bleibt trotz geplanter Maßnahmen ein hohes Risiko, muss die Aufsichtsbehörde vor Beginn der Verarbeitung befasst werden. Diese Konsultation kostet Zeit und wird in Projektplänen oft vergessen. Eine frühe Prüfung lässt das Vorhaben meist so gestalten, dass es dazu nicht kommt.