Beitrag teilen
HOME
/
blog
/
Datenschutz-Folgenabschätzung: So funktioniert das Risiko-Werkzeug

Datenschutz-Folgenabschätzung: So funktioniert das Risiko-Werkzeug

June 5, 2023

10 min

Key Takeaways

Seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) am 25. Mai 2018 sind Unternehmen dazu verpflichtet, den Schutz personenbezogener Daten ernst zu nehmen. Eine wichtige Neuerung, die im Rahmen der DSGVO eingeführt wurde, ist die Datenschutz-Folgenabschätzung (DSFA). Diese Maßnahme stellt Datenschutzbeauftragte vor neue Herausforderungen und fordert Unternehmen dazu auf, ihre Verantwortung bei der Verarbeitung personenbezogener Daten zu erkennen.

In diesem Artikel werden wir uns genauer mit der DSFA befassen und erläutern, wann sie benötigt wird sowie ihren Inhalt und Umfang.

Vorabkontrolle vs. Datenschutz-Folgenabschätzung

Bereits in der alten Fassung des Bundesdatenschutzgesetzes (BDSG) existierte eine ähnliche Pflichtmaßnahme, die als "Vorabkontrolle" bezeichnet wurde. Dabei prüfte der Datenschutzbeauftragte die Risiken und Folgen für die Rechte des Betroffenen im Falle der Verarbeitung sensibler Daten. Mit der DSFA wurden diese Maßnahmen erweitert und präzisiert, um Unternehmen stärker in die Pflicht zu nehmen, wenn sie personenbezogene Daten verarbeiten.

Wann wird eine Datenschutz-Folgenabschätzung benötigt?

Art. 35 Abs. 1 DSGVO beschreibt die Indikation wie folgt:

„Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“

Entscheidend ist also, ob durch die Verarbeitung seiner Daten ein „hohes Risiko“ für den Betroffenen entsteht. Gibt es im Unternehmen einen Datenschutzbeauftragten, ist er bei der Durchführung der Datenschutz-Folgeabschätzung hinzuzuziehen (Art. 35 Abs. 2 DSGVO).

Wann besteht ein besonders hohes Risiko?

Nach Art. 35 Abs. 3 DSGVO besteht dieses Risiko zum Beispiel bei systematischer Bewertung personenbezogener Daten und „automatisierte[r] Verarbeitung einschließlich Profiling“ und umfangreicher Verarbeitung einzelner Kategorien personenbezogener Daten, strafrechtlich relevante Informationen, sowie Überwachung öffentlicher Orte.

In ihrem „Kurzpapier Nr. 5 Datenschutz-Folgenabschätzung nach-Art. 35 DSGVO“ empfiehlt die Datenschutzkonferenz die Datenschutz-Folgenabschätzung nicht als linearen oder abgeschlossenen Prozess zu sehen, sondern die Verarbeitungsprozesse stets auf Einhaltung der EU-Datenschutzverordnung hin zu überprüfen.

4 Punkte, die eine Datenschutz-Folgenabschätzung enthalten muss

Laut Art. 35 Abs. 7 DSGVO muss eine DSFA folgende vier verpflichtende Inhaltspunkte umfassen:

  • „eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen“
  • „eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck“
  • „eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen […]“ und
  • „die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird“.

Fazit: Die Datenschutz-Folgenabschätzung gehört zum DSGVO-Werkzeugkasten

Die Datenschutz-Folgenabschätzung ist ein wichtiges Instrument im Rahmen der DSGVO, um den Schutz personenbezogener Daten zu gewährleisten. Unternehmen sind verpflichtet, diese Maßnahme durchzuführen, wenn eine Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt.

Die DSFA erfordert eine systematische Beschreibung der Verarbeitungsvorgänge, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung und die Planung von Abhilfemaßnahmen. Als externer Datenschutzbeauftragter unterstützen wir Unternehmen dabei, diese Anforderungen zu erfüllen und den Datenschutz kontinuierlich zu gewährleisten.

Als externer Datenschutzbeauftragter übernehmen wir für Sie natürlich auch die Prozesse rund um die Datenschutz-Folgenabschätzung. Kontaktieren Sie uns noch heute für ein unverbindliches Angebot!

Über SECJUR

SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.

Compliance, completed

Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office

Mehr erfahren

Frequently asked questions

Everything you need to know about the product and billing.

Weiterlesen

June 2, 2023
7 min
Standardvertragsklauseln im Datenschutz: 6 To-Dos für Unternehmen

Datenschutz und Datenübermittlung in Drittländern wie den USA sind nach wie vor mit rechtlicher Unsicherheit behaftet. Doch nun gibt es neue EU-Standardvertragsklauseln, die eine weitere Entwicklung in der datenschutzrechtlichen Legitimation von Drittlandübermittlungen darstellen.

Lesen
June 5, 2023
Deutsche Unternehmen fürchten das Datenschutz-Risiko

In den vergangenen zwei Jahren waren Verstöße gegen Datenschutzbestimmungen für nur 6 % der Befragten überhaupt relevant. Dies wird sich in den kommenden Jahren erheblich ändern. So sehen es zumindest die fast 200 befragten Entscheider aus Unternehmen ab 250 Mitarbeitern, die an der Studie „Crisis Management“ der Kanzlei Noerr teilnahmen.

Lesen
October 11, 2023
7 min
Was bedeutet das NIS2 Umsetzungsgesetz für Unternehmen?

Cybersicherheit ist für die Europäische Union und ihre Mitgliedstaaten, einschließlich Deutschland, von wachsender Bedeutung, insbesondere aufgrund zunehmender Hackerangriffe auf Infrastrukturen. Die EU veröffentlicht und aktualisiert aktiv Rechtsvorschriften, darunter die neueste NIS2 Richtlinie, die zusätzliche Maßnahmen zur Gewährleistung eines hohen gemeinsamen Niveaus der Cybersicherheit in der Union enthält. In Deutschland liegt nun ein Entwurf für ein NIS2 Umsetzungsgesetz vor, um die Vorgaben der NIS2 Richtlinie umzusetzen.

Lesen
TO TOP