Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Strukturierte Risikobewertung nach Art. 35 DSGVO. Sie ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen bedeutet, und wird vor Beginn der Verarbeitung durchgeführt und dokumentiert.
Art. 35 Abs. 7 nennt vier Bestandteile: eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, die Bewertung von Notwendigkeit und Verhältnismäßigkeit, die Bewertung der Risiken für die betroffenen Personen und die geplanten Abhilfemaßnahmen samt verbleibendem Restrisiko.
Die DSFA ist kein Formular, sondern ein dokumentierter Bewertungsprozess vor Beginn der Verarbeitung. Verantwortlich ist der Verantwortliche. Ist ein Datenschutzbeauftragter benannt, muss dessen Rat nach Art. 35 Abs. 2 eingeholt werden. Bleibt trotz aller Maßnahmen ein hohes Restrisiko, ist vor dem Start die Aufsichtsbehörde nach Art. 36 zu konsultieren.
Selten an der rechtlichen Bewertung, meist an der Datengrundlage. Ohne gepflegtes Verzeichnis von Verarbeitungstätigkeiten fehlen Zwecke, Empfänger und Fristen, und die Beschreibung nach Abs. 7 lit. a lässt sich nicht sauber erstellen.
Bei voraussichtlich hohem Risiko, insbesondere in den drei Regelfällen des Art. 35 Abs. 3: systematische umfassende Bewertung persönlicher Aspekte als Grundlage automatisierter Entscheidungen, umfangreiche Verarbeitung besonderer Kategorien, systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Dazu kommen die Positivlisten der Aufsichtsbehörden.
Dann ist vor Beginn der Verarbeitung die Aufsichtsbehörde nach Art. 36 DSGVO zu konsultieren.
.svg){kind=icon}