Die Datenschutz-Folgenabschätzung (DSFA) ist eine Risikoprüfung, die vor Verarbeitungen mit hohem Risiko für die Rechte betroffener Personen durchgeführt wird. Sie bewertet die Auswirkungen der Verarbeitung und legt Schutzmaßnahmen fest. Sie ist nach der DSGVO unter bestimmten Voraussetzungen verpflichtend.
Definition
Die Datenschutz-Folgenabschätzung ist ein Verfahren nach Artikel 35 DSGVO, das vor der Durchführung von Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen durchgeführt wird. Sie ist erforderlich, wenn neue Technologien eingesetzt werden oder umfangreiche, systematische Verarbeitungen stattfinden. Die DSFA beschreibt die geplanten Verarbeitungen, bewertet die Risiken für die Betroffenen und legt geeignete Maßnahmen zur Risikominderung fest. Bei verbleibendem hohem Risiko muss die Aufsichtsbehörde konsultiert werden. Die DSFA ist ein dynamisches Dokument und muss bei Änderungen aktualisiert werden. Sie ergänzt das Verzeichnis von Verarbeitungstätigkeiten und die technisch-organisatorischen Maßnahmen. Für KMU ist die DSFA nur bei entsprechenden Verarbeitungen verpflichtend.
Praxisbezug
Ein Unternehmen plant die Einführung eines neuen Personalverwaltungssystems mit umfangreicher Verarbeitung von Gesundheitsdaten der Mitarbeiter. Da ein hohes Risiko besteht, führt es eine Datenschutz-Folgenabschätzung durch. Es bewertet die Risiken, legt Verschlüsselung und Zugriffsbeschränkungen fest. Die DSFA wird dokumentiert und dem Datenschutzbeauftragten vorgelegt.
Normbezug
DSGVO Artikel 35