Source: https://www.dataguard.de/datenschutzbeauftragter/datenschutz-folgenabschaetzung/
Timestamp: 2018-11-19 06:47:31+00:00

Document:
﻿ Datenschutz-Folgenabschätzung - DataGuard
Gemäß Art. 35 DSGVO ist eine Folgenabschätzung für alle Verarbeitungsvorgänge anzuwenden, bei denen erwartungsgemäß ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Betroffen von der DSFA sind vor allem Unternehmen, die im großen Umfang vertrauliche oder höchst persönliche Daten verarbeiten. Dazu gehören beispielsweiße Gesundheitsdaten, Daten, die eine persönliche politische oder sexuelle Einstellung verraten. Da unsere digitale Welt ohne die Verarbeitung personenbezogener Daten kaum noch auskommt, ist ein großer Anwenderkreis von der Datenschutz-Folgenabschätzung betroffen.
Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) nicht nur in Deutschland, sondern in allen Mitgliedstaaten der Europäischen Union unmittelbar anzuwenden. Die DSGVO sieht in Art. 35 vor, dass bei Vorliegen bestimmter Voraussetzungen eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen ist.
Die DFSA ist ein Mittel zur Identifizierung und Bewertung von Risiken, die sich insbesondere bei Verwendung neuer Technologien ergeben. Diese sollen durch geeignete und wirksame Maßnahmen eingedämmt werden können, um eine Vereinbarkeit mit der DSGVO zu gewährleisten.
Gegenstand der Datenschutz-Folgenabschätzung ist damit die Rechtmäßigkeit des geplanten Verarbeitungsverfahrens.
Art. 35 Abs. 7 DSGVO beschreibt vier Mindestbestandteile einer Datenschutz-Folgenabschätzung, nämlich die systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck und der Risiken für die Rechte und Freiheiten der betroffenen Personen und die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen.
Für den Fall, dass ein Datenschutzbeauftragter benannt wurde, ist der Verantwortliche gem. Art. 35 Abs. 2 DSGVO dazu verpflichtet, bei der Durchführung einer Datenschutz-Folgenabschätzung dessen Rat einzuholen. Zusätzlich muss er gem. Art. 35 Abs. 9 DSGVO den Standpunkt der betroffenen Personen oder ihrer Vertreter einholen. Hierunter fallen z.B. Verbraucherschutzverbände.
Wann ist die Durchführung einer Datenschutz-Folgenabschätzung notwendig und was sind die Folgen?
Die DSGVO sieht in Art. 35 vor, dass die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) dann notwendig ist, wenn ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht.
Ein besonders hohes Risiko besteht zum Beispiel bei der personenbezogenen Verarbeitung von Gesundheitsdaten durch Arztpraxen, Krankenhäuser oder Krankenkassen. Auch bei Betrieb von Dating- und Kontaktportalen, bei Betrieb von großen sozialen Netzwerken oder Big-Data Analyse von Kundendaten, die mit Angaben aus Drittquellen angereichert wurden, besteht besonders hohes Risiko. (Eine Liste entsprechender Verarbeitungsvorgänge führt die Landesdatenschutzbehörde Baden-Württemberg.) Da in unserer digitalen Welt fast überall und zu jeder Zeit personenbezogene Daten verarbeitet werden, ist demzufolge auch ein großer Anwenderkreis betroffen.
Art. 35 Abs. 3 DSGVO enthält drei Regelbeispiele, bei deren Vorliegen die Durchführung einer Datenschutz-Folgenabschätzung zwingend erforderlich ist.
Im Einzelnen ist dies der Fall bei der systematischen und umfassenden Erfassung vertraulicher oder höchst persönlicher Daten natürlicher Personen, bei automatisierten Einzelentscheidungen einschließlich Profiling und Scoring, der umfangreichen Verarbeitung sensibler Daten und der umfangreichen systematischen Überwachung öffentlich zugänglicher Bereiche.
Eine Datenschutz-Folgenabschätzung ist gem. Art. 35 Abs. 4 DSGVO ferner bei den Verarbeitungsvorgängen, die von der Aufsichtsbehörde in eine entsprechende Liste aufgenommen wurden, durchzuführen.
Ist nach dem Ergebnis einer Datenschutz-Folgenabschätzung das Risiko einer geplanten Datenverarbeitung nicht unter die Schwelle des hohen Risikos zu senken, ist es gem. Art. 36 Abs. 1 DSGVO erforderlich, vorab (vor der Verarbeitung) die zuständige Aufsichtsbehörde zu konsultieren.

References: Art. 35
 Art. 35

Art. 35
 Art. 35
 Art. 35
 Art. 35

Art. 35
 Art. 35
 Art. 36