Source: https://diercks-digital-recht.de/2016/08/die-eu-datenschutzgrundverordnung-eu-dsgvo-ist-da-worauf-muessen-sich-unternehmen-einstellen-teil-4/
Timestamp: 2019-07-19 03:56:29+00:00

Document:
Die EU-Datenschutzgrundverordnung (EU-DSGVO) ist da! – Worauf müssen sich Unternehmen einstellen? – Teil 4 | Diercks Digital Recht
c. Vorabkontrolle ./. Datenschutz-Folgenabschätzung
Auf den ersten Blick ersetzt die Datenschutz-Folgenabschätzung nach § 35 DSGVO schlicht die Vorabkontrolle. In Absatz 1 heißt es: „Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“
Neu ist allerdings, dass definitiv der Verantwortliche selbst, also das Unternehmen, für die Datenschutz-Folgenabschätzung verantwortlich ist. Sofern jedoch ein Datenschutzbeauftragter benannt wurde, muss dessen Rat eingeholt werden
Anders als bisher werden weiter für die Datenschutz-Folgenabschätzung auch mit Art. 35 Abs. 7 DSGVO inhaltliche Vorgaben zum „wie“ der Prüfung vorgegeben. So soll eine Datenschutz-Folgenabschätzung zumindest enthalten:
Falls das Ergebnis der Datenschutz-Folgenabschätzung beim Unternehmen lautet, dass die Verarbeitung ein hohes Risiko für die Rechte/Freiheiten von Betroffenen bedeutet, schreibt Art. 36 DSGVO, also ähnlich wie § 4e BDSG, die Konsultation der zuständigen Aufsichtsbehörde vor. Hier wird es jetzt spannend:
Praktisch wird es vermutlich so sein, dass sich Unternehmen bezüglich ihrer Vorhaben rechtliche und/oder technische Gutachten zur Datenschutz-Folgenabschätzung, werden anfertigen lassen. „Ziel“ dieser Gutachten wird natürlich sein, dass ein „hohes Risiko“ verneint wird, um den Gang zur Aufsichtsbehörde zu vermeiden. Ergibt ein Gutachten, dass tatsächlich kein hohes Risiko vorliegt und/oder dass der Verantwortliche noch Maßnahmen zur Eindämmung des Risikos treffen kann (vgl. Art. 36 Abs. 1 DSGVO), dann werden die Unternehmen auf die Konsultation verzichten und haben mit den Gutachten Dokumente vorlegen, mit denen Sie den Aufsichtsbehörden nachweisen können, Sie hätten eine Datenschutz-Folgenabschätzung vorgenommen.
Mit den Dokumentationspflichten ist es aber nicht getan. Die DSGVO kennt auch zahlreiche Sicherungspflichten. (Und streng genommen könnte man die Datenschutz-Folgenabschätzung durchaus bereits durchaus auch als Sicherungspflicht betrachten)
Rechtsüberblick 05/19 - Datenschutzgrundverordnung (DSGVO) – Einwilligung, Auskunft, Sprachassistenten, IT-Sicherheit | Diercks Digital Recht
Mai 13, 2019 at 2:39 pm
[…] vor alle um zukünftige, weitere Angriffsversuche zu vermeiden. Denken Sie unbedingt auch an Ihre Meldepflichten nach Art. 33 DSGVO. Und: Bevor Sie schlicht auf die Forderung der Täter eingehen, prüfen Sie den Fall und eruieren […]

References: § 35
 Art. 35
 Art. 36
 § 4
 Art. 36
 Art. 33