Source: https://www.dataguard.de/magazin/datenschutz-folgenabschatzung/
Timestamp: 2019-11-15 08:16:26
Document Index: 194709180

Matched Legal Cases: ['Art. 35', 'Art. 35', 'Art 35', 'Art. 35', 'Art 35', 'Art. 35', 'Art 35', 'Art. 35', 'Art. 35', 'Art 35', 'Art. 35', 'Art 35', 'Art 35', 'Art. 35', 'Art 35', 'Art. 36']

Datenschutz-Folgenabschätzung: Ein Überblick | DataGuard Magazin
Gemäß Art. 35 DSGVO ist eine Folgenabschätzung für alle Verarbeitungsvorgänge anzuwenden, bei denen erwartungsgemäß ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Betroffen von der DSFA sind vor allem Unternehmen, die im großen Umfang vertrauliche oder höchst persönliche Daten verarbeiten. Dazu gehören beispielsweiße GesundheitsdatenPersonenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen., Daten, die eine persönliche politische oder sexuelle Einstellung verraten. Die deutschen Datenschutzaufsichtsbehörden haben eine Liste von Verarbeitungstätigkeiten veröffentlicht, die zwingend eine DSFA nach sich ziehen. Das bedeutet jedoch nicht, dass alle anderen Verarbeitungen keine DSFA nach sich ziehen. Hier gilt, dass der Verantwortliche abwägen muss, wie hoch das Risiko für den Betroffenen ist.
Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) nicht nur in Deutschland, sondern in allen Mitgliedstaaten der Europäischen Union unmittelbar anzuwenden. Die DSGVO sieht in Art. 35 vor, dass bei Vorliegen bestimmter Voraussetzungen eine Datenschutz-FolgenabschätzungDie Bewertung von Risiken und deren mögliche Folgen für die persönlichen Rechte und Freiheiten der betroffenen Person, die gemäß Art 35 DSGVO durchzuführen ist, wenn eine Risikoanalyse ergibt, dass eine Form der Verarbeitung voraussichtlich mit einem hohen Risiko für die betroffene Person verbunden ist. (DSFA) durchzuführen ist.
Die DFSA ist ein Mittel zur IdentifizierungDie Feststellung der Identität einer betroffenen Person. und Bewertung von Risiken, die sich insbesondere bei Verwendung neuer Technologien ergeben. Diese sollen durch geeignete und wirksame Maßnahmen eingedämmt werden können, um eine Vereinbarkeit mit der DSGVO zu gewährleisten.
Gegenstand der DSFA ist die Rechtmäßigkeit des geplanten Verarbeitungsverfahrens.
Art. 35 Abs. 7 DSGVO beschreibt vier Mindestbestandteile einer Datenschutz-FolgenabschätzungDie Bewertung von Risiken und deren mögliche Folgen für die persönlichen Rechte und Freiheiten der betroffenen Person, die gemäß Art 35 DSGVO durchzuführen ist, wenn eine Risikoanalyse ergibt, dass eine Form der Verarbeitung voraussichtlich mit einem hohen Risiko für die betroffene Person verbunden ist.. Dazu gehören die systematische Darstellung der geplanten Verarbeitungsvorgänge und der Zwecke der VerarbeitungJeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. sowie die Bewertung der Notwendigkeit und VerhältnismäßigkeitDas Recht auf Datenschutz ist ein Grundrecht, sodass bei der Verarbeitung von personenbezogenen Daten immer ein Eingriff in ein Grundrecht erfolgt. Daher gelangt der Grundsatz der Verhältnismäßigkeit zur Anwendung, wonach der Eingriff in dieses Grundrecht zur Verarbeitung von personenbezogenen Daten immer zu einem legitimen Zweck vorgenommen und auf das geringst mögliche Ausmaß beschränkt sein muss. der Verarbeitungsvorgänge in Bezug auf den ZweckEin bestimmtes, vor Beginn der Verarbeitung festzulegendes Ergebnis bzw. Ziel, das der Verantwortliche mit der Verarbeitung personenbezogener Daten erreichen will. und der Risiken für die Rechte und Freiheiten der betroffenen Personen. Außerdem sollen die Abhilfemaßnahmen dargestellt werden, die zur Bewältigung der Risiken geplant sind.
Für den Fall, dass ein Datenschutzbeauftragter benannt wurde, ist der Verantwortliche gem. Art. 35 Abs. 2 DSGVO dazu verpflichtet, bei der Durchführung einer Datenschutz-FolgenabschätzungDie Bewertung von Risiken und deren mögliche Folgen für die persönlichen Rechte und Freiheiten der betroffenen Person, die gemäß Art 35 DSGVO durchzuführen ist, wenn eine Risikoanalyse ergibt, dass eine Form der Verarbeitung voraussichtlich mit einem hohen Risiko für die betroffene Person verbunden ist. dessen Rat einzuholen. Zusätzlich muss er gem. Art. 35 Abs. 9 DSGVO den Standpunkt der betroffenen Personen oder ihrer VertreterEine in der Union niedergelassene natürliche oder juristische Person, die von dem Verantwortlichen oder Auftragsverarbeiter (ohne Niederlassung in der EU) schriftlich gemäß Artikel 27 bestellt wurde und den Verantwortlichen oder Auftragsverarbeiter in Bezug auf die ihnen jeweils nach dieser Verordnung obliegenden Pflichten vertritt. einholen. Hierunter fallen z.B. Verbraucherschutzverbände.
Wann ist die Durchführung einer Datenschutz-Folgenabschätzung notwendig?
Die DSGVO sieht in Art. 35 vor, dass die Durchführung einer Datenschutz-FolgenabschätzungDie Bewertung von Risiken und deren mögliche Folgen für die persönlichen Rechte und Freiheiten der betroffenen Person, die gemäß Art 35 DSGVO durchzuführen ist, wenn eine Risikoanalyse ergibt, dass eine Form der Verarbeitung voraussichtlich mit einem hohen Risiko für die betroffene Person verbunden ist. (DSFA) dann notwendig ist, wenn ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht.
Ein besonders hohes Risiko besteht zum Beispiel bei der personenbezogenen VerarbeitungJeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. von GesundheitsdatenPersonenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. durch Arztpraxen, Krankenhäuser oder Krankenkassen. Auch bei Betrieb von Dating- und Kontaktportalen, bei Betrieb von großen sozialen Netzwerken oder Big-Data-Analyse von Kundendaten, die mit Angaben aus Drittquellen angereichert wurden, besteht besonders hohes Risiko.
Art. 35 Abs. 3 DSGVO enthält drei Regelbeispiele, bei deren Vorliegen die Durchführung einer Datenschutz-FolgenabschätzungDie Bewertung von Risiken und deren mögliche Folgen für die persönlichen Rechte und Freiheiten der betroffenen Person, die gemäß Art 35 DSGVO durchzuführen ist, wenn eine Risikoanalyse ergibt, dass eine Form der Verarbeitung voraussichtlich mit einem hohen Risiko für die betroffene Person verbunden ist. zwingend erforderlich ist.
Im Einzelnen ist dies der Fall bei der systematischen und umfassenden Erfassung vertraulicher oder höchst persönlicher Daten natürlicher Personen, bei automatisierten Einzelentscheidungen einschließlich ProfilingJede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen. und Scoring, der umfangreichen VerarbeitungJeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. sensibler Daten und der umfangreichen systematischen Überwachung öffentlich zugänglicher Bereiche.
Eine Datenschutz-FolgenabschätzungDie Bewertung von Risiken und deren mögliche Folgen für die persönlichen Rechte und Freiheiten der betroffenen Person, die gemäß Art 35 DSGVO durchzuführen ist, wenn eine Risikoanalyse ergibt, dass eine Form der Verarbeitung voraussichtlich mit einem hohen Risiko für die betroffene Person verbunden ist. ist gem. Art. 35 Abs. 4 DSGVO ferner bei den Verarbeitungsvorgängen, die von der AufsichtsbehördeEine von einem Mitgliedstaat gemäß Artikel 51 DSGVO eingerichtete unabhängige staatliche Stelle. in eine entsprechende Liste aufgenommen wurden, durchzuführen. Diese Liste lässt sich zum Beispiel bei der Landesdatenschutzbehörde Baden-Württemberg herunterladen.
Ist nach dem Ergebnis einer Datenschutz-FolgenabschätzungDie Bewertung von Risiken und deren mögliche Folgen für die persönlichen Rechte und Freiheiten der betroffenen Person, die gemäß Art 35 DSGVO durchzuführen ist, wenn eine Risikoanalyse ergibt, dass eine Form der Verarbeitung voraussichtlich mit einem hohen Risiko für die betroffene Person verbunden ist. das Risiko einer geplanten Datenverarbeitung nicht unter die Schwelle des hohen Risikos zu senken, ist es gem. Art. 36 Abs. 1 DSGVO erforderlich, vor der VerarbeitungJeder mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. die zuständige AufsichtsbehördeEine von einem Mitgliedstaat gemäß Artikel 51 DSGVO eingerichtete unabhängige staatliche Stelle. zu konsultieren.