Datenschutz-Risikomanagement & Datenschutz-Folgenabschätzung

Eine DSFA ist eine vorgeschriebene Risikoanalyse nach Art. 35 DSGVO für Verarbeitungsvorgänge, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen. Sie muss vor Beginn der Verarbeitung durchgeführt werden.

Eine DSFA ist insbesondere dann verpflichtend, wenn Verarbeitungen ein hohes Risiko für Betroffene begründen. Das gilt vor allem für die systematische und umfassende Bewertung persönlicher Aspekte durch automatische Verarbeitung, die umfangreiche Verarbeitung besonderer Datenkategorien sowie die systematische Überwachung öffentlich zugänglicher Bereiche. Darüber hinaus haben die Datenschutzbehörden sogenannte Muss-Listen veröffentlicht, die weitere verpflichtende Anwendungsfälle konkretisieren.

Eine DSFA besteht aus vier Kernbestandteilen: Zunächst wird die Verarbeitung vollständig beschrieben, einschließlich Zweck, Datenkategorien und beteiligter Stellen. Dann folgt eine Notwendigkeits- und Verhältnismäßigkeitsprüfung. Der dritte Schritt bewertet konkret, welche Risiken für Betroffene entstehen. Schließlich werden Maßnahmen zur Risikominderung festgelegt. Verbleibt trotz aller Maßnahmen ein hohes Restrisiko, ist eine Vorabkonsultation bei der Aufsichtsbehörde erforderlich.

Eine DSFA ist eine formelle Pflichtprüfung für bestimmte Hochrisiko-Verarbeitungen. Allgemeines Datenschutz-Risikomanagement ist ein breiterer, kontinuierlicher Prozess zur Bewertung und Steuerung aller datenschutzrelevanten Risiken.

Eine DSFA muss überprüft und aktualisiert werden, wenn sich wesentliche Änderungen an der Verarbeitung ergeben oder wenn neue Risikoinformationen vorliegen. Wir empfehlen eine jährliche Überprüfung.

Der Aufwand hängt von der Komplexität der Verarbeitungsvorgänge ab. Nach einem kostenlosen Erstgespräch erhalten Sie eine transparente Aufwandsschätzung.