Datenschutz-Folgenabschätzung (DSFA)
Datenschutzrisiken frühzeitig erkennen und gezielt reduzieren
Eine Datenschutz-Folgenabschätzung ist ein wichtiges Instrument, um hohe Risiken für die Rechte und Freiheiten betroffener Personen frühzeitig zu erkennen und angemessene Schutzmaßnahmen festzulegen. PRIOLAN unterstützt Sie bei der Prüfung der DSFA-Pflicht, der strukturierten Risikoanalyse und der Erstellung einer nachvollziehbaren Dokumentation.
Google Bewertung
Basierend auf 15 Bewertungen
Wann ist eine DSFA Pflicht?
Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Ob eine DSFA erforderlich ist, hängt unter anderem von der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung ab.
Eine Prüfung ist insbesondere sinnvoll, wenn Sie:
- neue Technologien oder datenintensive Verfahren einsetzen,
- personenbezogene Daten in großem Umfang verarbeiten,
- besonders sensible Daten verarbeiten,
- Personen systematisch überwachen oder bewerten,
- Profiling oder automatisierte Entscheidungsverfahren einsetzen.
Die DSFA sollte möglichst vor Beginn der Verarbeitung durchgeführt werden. So können Datenschutzrisiken bereits bei der Planung erkannt und geeignete Maßnahmen berücksichtigt werden.
DSFA-Pflicht anhand der DSK-Liste prüfen
Die Datenschutzkonferenz (DSK) veröffentlicht für den nicht-öffentlichen Bereich eine Liste von Verarbeitungsvorgängen, bei denen eine Datenschutz-Folgenabschätzung erforderlich sein kann.
Diese Liste wird häufig vereinfacht als „Blacklist“ bezeichnet. Sie dient als wichtige Orientierung bei der Prüfung der DSFA-Pflicht.
Gleichzeitig bedeutet eine Verarbeitung, die nicht auf dieser Liste steht, nicht automatisch, dass keine DSFA erforderlich ist. Entscheidend bleibt die konkrete Risikobewertung nach Art. 35 DSGVO.
Deshalb prüfen wir zwei Ebenen
DSK-Liste:
Ist der konkrete Verarbeitungsvorgang in einem von der DSK benannten Bereich enthalten?
Individuelle Risikobewertung:
Besteht unabhängig davon aufgrund der konkreten Verarbeitung voraussichtlich ein hohes Risiko für betroffene Personen?
So lässt sich die DSFA-Pflicht fundiert und nachvollziehbar beurteilen.
DSFA professionell durchführen
DSFA-Pflicht prüfen
Wir prüfen, ob für die geplante oder bestehende Verarbeitung eine Datenschutz-Folgenabschätzung erforderlich ist und berücksichtigen dabei die gesetzlichen Anforderungen sowie die relevanten DSK-Vorgaben.
Verarbeitung analysieren
Wir erfassen die relevanten Verarbeitungsprozesse, Zwecke, Datenkategorien, betroffenen Personen, Systeme und Beteiligten.
Risiken & Maßnahmen bewerten
Wir identifizieren mögliche Risiken für die Rechte und Freiheiten betroffener Personen und bewerten bestehende sowie geplante technische und organisatorische Maßnahmen.
DSFA dokumentieren
Wir führen die Ergebnisse strukturiert zusammen und unterstützen Sie bei einer nachvollziehbaren Dokumentation der Datenschutz-Folgenabschätzung.
Unsere Methodik der Datenschutz-Folgenabschätzung
Eine DSFA ist mehr als eine Checkliste. Sie muss die konkrete Verarbeitung und die damit verbundenen Risiken nachvollziehbar abbilden. Unsere Vorgehensweise orientiert sich an den Anforderungen der DSGVO und betrachtet insbesondere:
Verarbeitung verstehen
Zunächst werden die Verarbeitung, ihre Zwecke, Datenflüsse, Systeme und beteiligten Stellen nachvollziehbar beschrieben.
Notwendigkeit und Verhältnismäßigkeit bewerten
Wir prüfen, ob die geplante Verarbeitung für den vorgesehenen Zweck erforderlich und verhältnismäßig ist.
Risiken identifizieren
Mögliche Risiken für die Rechte und Freiheiten betroffener Personen werden systematisch ermittelt.
Risiken bewerten
Die Risiken werden insbesondere anhand ihrer möglichen Auswirkungen und Eintrittswahrscheinlichkeit bewertet.
Maßnahmen bestimmen
Geeignete technische und organisatorische Maßnahmen werden betrachtet bzw. zur Reduzierung der ermittelten Risiken abgeleitet.
Restrisiko beurteilen
Nach Berücksichtigung der Maßnahmen wird bewertet, welches Risiko verbleibt und ob weitere Schritte erforderlich sind.
Was beinhaltet das Ergebnis der DSFA?
Am Ende steht eine nachvollziehbare Dokumentation der Datenschutz-Folgenabschätzung. Je nach Verarbeitung und Umfang kann das Ergebnis insbesondere folgende Bestandteile umfassen:
- Beschreibung der geplanten Verarbeitung
- Zweck und Umfang der Verarbeitung
- Kategorien personenbezogener Daten
- betroffene Personengruppen
- relevante Datenflüsse und Systeme
- Bewertung von Notwendigkeit und Verhältnismäßigkeit
- identifizierte Risiken
- Bewertung der Eintrittswahrscheinlichkeit und möglichen Auswirkungen
- bestehende und geplante Schutzmaßnahmen
- verbleibende Risiken
- Gesamtbewertung und weitere Handlungsempfehlungen
Damit erhalten Sie eine strukturierte Grundlage, um Datenschutzrisiken zu reduzieren und die getroffenen Entscheidungen nachvollziehbar zu dokumentieren.
Der Ablauf einer DSFA
Eine strukturierte Vorgehensweise schafft Transparenz und macht die Ergebnisse nachvollziehbar.
Ausgangssituation erfassen
Maßnahmen festlegen
DSFA-Pflicht prüfen
Ergebnis dokumentieren
Risiken analysieren
Restrisiko beurteilen
Die Dokumentation Ihrer DSFA
Eine DSFA muss die wesentlichen Bewertungen und Entscheidungen nachvollziehbar dokumentieren. Je nach Verarbeitung und Umfang umfasst die Dokumentation unter anderem die Verarbeitung, ihre Zwecke, identifizierte Risiken, bestehende Maßnahmen und das verbleibende Risiko.
PRIOLAN unterstützt Sie dabei, die Ergebnisse strukturiert und verständlich aufzubereiten und die relevanten Anforderungen der DSGVO zu berücksichtigen. Wenn über die DSFA hinaus weitere datenschutzrechtliche Themen zu klären sind, kann eine Datenschutzberatung bei der Bewertung und Umsetzung der entsprechenden Anforderungen unterstützen.
Was passiert bei einem verbleibenden hohen Risiko?
Die Risikobewertung endet nicht mit der Identifikation eines Risikos. Wenn Maßnahmen das Risiko nicht ausreichend reduzieren können und ein hohes Restrisiko für die Rechte und Freiheiten betroffener Personen verbleibt, kann eine vorherige Konsultation der zuständigen Datenschutzaufsichtsbehörde erforderlich sein.
Deshalb ist es wichtig, nicht nur Risiken zu dokumentieren, sondern auch die Wirksamkeit der vorgesehenen Maßnahmen zu bewerten und das verbleibende Risiko nachvollziehbar festzuhalten.
Warum PRIOLAN?
Eine DSFA verbindet rechtliche Anforderungen mit der praktischen Bewertung von Prozessen, Systemen und Risiken.
PRIOLAN unterstützt Sie dabei, diese Aspekte zusammenzuführen und aus den Ergebnissen konkrete Handlungsmöglichkeiten abzuleiten.
Wenn Sie neben einzelnen DSFA-Projekten eine dauerhafte datenschutzrechtliche Betreuung benötigen, unterstützt Sie PRIOLAN auch als externer Datenschutzbeauftragter.
Ihr Vorteil:
- strukturierte und nachvollziehbare Vorgehensweise
- Fokus auf die konkrete Verarbeitung
- verständliche Bewertung von Datenschutzrisiken
- Betrachtung technischer und organisatorischer Maßnahmen
- Unterstützung bei der Dokumentation
- praxisorientierte Handlungsempfehlungen
Häufige Fragen zur Datenschutz-Folgenabschätzung
Wann muss eine DSFA durchgeführt werden?
Eine DSFA ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die konkrete Situation muss anhand der Verarbeitung und ihrer Risiken bewertet werden.
Was ist die DSK-Liste zur DSFA?
Die Datenschutzkonferenz veröffentlicht eine Liste von Verarbeitungsvorgängen für den nicht-öffentlichen Bereich, bei denen eine DSFA erforderlich ist. Die Liste ist ein wichtiger Anhaltspunkt, ersetzt aber nicht die Betrachtung der konkreten Verarbeitung.
Muss eine DSFA für jede Verarbeitung erstellt werden?
Nein. Eine DSFA ist nicht für jede Verarbeitung personenbezogener Daten erforderlich. Entscheidend ist insbesondere, ob voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen besteht.
Wann sollte die DSFA durchgeführt werden?
Die DSFA sollte grundsätzlich vor Beginn einer Verarbeitung durchgeführt werden, wenn die gesetzlichen Voraussetzungen erfüllt sind. Bei neuen Projekten sollte die Prüfung deshalb möglichst frühzeitig erfolgen.
Was enthält eine DSFA?
Eine DSFA beschreibt unter anderem die Verarbeitung und ihre Zwecke, bewertet deren Notwendigkeit und Verhältnismäßigkeit, identifiziert und bewertet Risiken und dokumentiert geeignete Maßnahmen zur Risikoreduzierung.
Muss eine bestehende DSFA aktualisiert werden?
Eine DSFA sollte überprüft werden, wenn sich die Verarbeitung wesentlich verändert oder neue Risiken entstehen. Auch die Wirksamkeit der vorgesehenen Maßnahmen sollte regelmäßig berücksichtigt werden.
