Kurz erklärt: Die Datenschutz-Folgenabschätzung ist eine vorab durchzuführende Risikoanalyse für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte der Betroffenen bergen, etwa umfangreiche Verarbeitung von Gesundheitsdaten, systematische Überwachung oder Bewertung von Personen.
Was bedeutet Datenschutz-Folgenabschätzung?
Die DSFA beschreibt die geplante Verarbeitung, bewertet Notwendigkeit und Verhältnismäßigkeit, analysiert die Risiken für die Betroffenen und legt Abhilfemaßnahmen fest. Der Datenschutzbeauftragte ist zu beteiligen. Bleibt trotz Maßnahmen ein hohes Risiko, muss vor Beginn die Aufsichtsbehörde konsultiert werden.
Die Datenschutzkonferenz hat eine Liste von Verarbeitungen veröffentlicht, für die eine DSFA verpflichtend ist, darunter umfangreiche Verarbeitung von Gesundheitsdaten, Standortverfolgung von Beschäftigten und Videoüberwachung mit Auswertung. Ist eine DSFA erforderlich, besteht nach § 38 Abs. 1 S. 2 BDSG zugleich die Pflicht, einen Datenschutzbeauftragten zu benennen.
Rechtsgrundlage
- Art. 35 DSGVO (Datenschutz-Folgenabschätzung)
- Art. 36 DSGVO (vorherige Konsultation)
- Muss-Liste der Datenschutzkonferenz nach Art. 35 Abs. 4 DSGVO
- § 38 Abs. 1 S. 2 BDSG (Datenschutzbeauftragter)
In der Praxis
Auslöser in kleineren Betrieben sind meist neue Systeme: eine App zur Fahrzeugortung, eine Videoanlage mit Analyse, biometrische Zeiterfassung, ein KI-Werkzeug zur Bewerberauswahl oder ein Patientenportal. Die Prüfung, ob eine DSFA nötig ist (Schwellwertanalyse), sollte vor dem Kauf erfolgen, nicht nach der Einführung.
Häufige Fragen
Fragen zu Datenschutz-Folgenabschätzung
Braucht jede Videoüberwachung eine DSFA?
Nein. Eine einfache Kamera am Lagereingang in der Regel nicht; eine systematische Überwachung öffentlich zugänglicher Bereiche oder von Beschäftigten mit Auswertung schon.
Wer führt die DSFA durch?
Der Verantwortliche. Der Datenschutzbeauftragte berät und prüft; die Fachabteilung und die IT liefern die Beschreibung der Verarbeitung.
Verwandte Begriffe