Eine Datenschutz-Folgenabschätzung wird erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. DSBOK unterstützt bei der Vorprüfung, der strukturierten Durchführung und der fachlichen Bewertung. PrivacyMaster kann einzelne Arbeitsschritte vorbereiten.
Nicht jede Verarbeitung erfordert eine DSFA
Entscheidend sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die möglichen Auswirkungen auf betroffene Personen. Neue Technologien, sensible Daten, systematische Überwachung oder automatisierte Bewertungen können besondere Aufmerksamkeit erfordern. Das Ergebnis der Vorprüfung sollte nachvollziehbar begründet werden.
Die Verarbeitung vollständig erfassen
Für eine belastbare Bewertung müssen unter anderem Zwecke, Datenarten, betroffene Personengruppen, Datenflüsse, Empfänger, Systeme, Speicherfristen und Zuständigkeiten bekannt sein. PrivacyMaster kann diese Informationen strukturieren und offene Punkte sichtbar machen. Fehlende Angaben werden dadurch nicht ersetzt.
Risiken und Maßnahmen fachlich bewerten
KI kann mögliche Risikoszenarien formulieren und die Dokumentation vorbereiten. Qualifizierte Mitarbeitende von DSBOK prüfen diese Vorschläge auf Plausibilität, Vollständigkeit und Bezug zum tatsächlichen Verfahren. Neben technischer Sicherheit können auch Kontrollverlust, Diskriminierung oder wirtschaftliche Nachteile relevant sein.
Die Verantwortung bleibt beim Unternehmen
Der Verantwortliche im Sinne der DSGVO bleibt für Durchführung, Entscheidungen und Umsetzung der Schutzmaßnahmen verantwortlich. Ändern sich Verfahren, Technik oder Risiken, muss geprüft werden, ob die Datenschutz-Folgenabschätzung weiterhin passt.
Mehr über Datenschutz-Folgenabschätzungen mit PrivacyMaster erfahren