Eine Datenschutz-Folgenabschätzung ist vor Beginn einer Verarbeitung erforderlich, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. DSBOK unterstützt Unternehmen bei der Prüfung der Erforderlichkeit, der strukturierten Durchführung und der fachlichen Bewertung. PrivacyMaster kann Arbeitsschritte vorbereiten; Freigabe und Verantwortung bleiben bei qualifizierten Menschen und dem verantwortlichen Unternehmen.
Zuerst die Erforderlichkeit prüfen
Nicht jede neue Verarbeitung erfordert automatisch eine Datenschutz-Folgenabschätzung. Maßgeblich sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die möglichen Auswirkungen auf betroffene Personen. Besondere Aufmerksamkeit können beispielsweise neue Technologien, umfangreiche Verarbeitung sensibler Daten, systematische Überwachung oder automatisierte Bewertungen mit erheblichen Folgen erfordern.
Die Vorprüfung berücksichtigt auch einschlägige Muss- und Kann-Listen der zuständigen Aufsichtsbehörden. Das Ergebnis und seine Begründung sollten nachvollziehbar dokumentiert werden.
Die Verarbeitung vollständig beschreiben
Eine belastbare Bewertung setzt voraus, dass das geplante Verfahren tatsächlich verstanden wird. Dazu gehören insbesondere Zwecke, Datenarten, betroffene Personengruppen, Datenflüsse, Empfänger, eingesetzte Systeme, Speicherfristen und Zuständigkeiten.
PrivacyMaster kann diese Angaben strukturieren, Zusammenhänge sichtbar machen und offene Punkte für die weitere Klärung kennzeichnen. Fehlende Informationen werden dadurch jedoch nicht ersetzt.
Notwendigkeit, Verhältnismäßigkeit und Risiken bewerten
Die Datenschutz-Folgenabschätzung umfasst nach Artikel 35 DSGVO mindestens:
- eine systematische Beschreibung der Verarbeitung und ihrer Zwecke,
- die Bewertung von Notwendigkeit und Verhältnismäßigkeit,
- die Bewertung der Risiken für die Rechte und Freiheiten betroffener Personen,
- sowie die geplanten Maßnahmen zur Bewältigung dieser Risiken.
Bei der Risikobewertung geht es nicht nur um technische Sicherheit. Auch mögliche Diskriminierung, Kontrollverlust, wirtschaftliche Nachteile oder Einschränkungen persönlicher Rechte können relevant sein.
KI unterstützt – Menschen entscheiden
KI kann bei der Zusammenführung von Informationen, der Formulierung möglicher Risikoszenarien und der Vorbereitung einer Dokumentation helfen. Solche Vorschläge müssen auf Plausibilität, Vollständigkeit und Bezug zum tatsächlichen Verfahren geprüft werden.
Qualifizierte Mitarbeitende von DSBOK bewerten die vorbereiteten Inhalte fachlich und beraten zu geeigneten Schutzmaßnahmen. Der Verantwortliche im Sinne der DSGVO bleibt für die Durchführung, die Entscheidungen und die Umsetzung der Maßnahmen verantwortlich. Besteht trotz vorgesehener Maßnahmen weiterhin ein hohes Risiko, ist zu prüfen, ob vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde zu konsultieren ist.
Überprüfung bei Änderungen
Eine Datenschutz-Folgenabschätzung ist kein einmaliger Formalakt. Ändern sich Zwecke, Technik, Datenumfang, Empfänger oder Risiken, muss bewertet werden, ob die Dokumentation und die getroffenen Maßnahmen weiterhin passen.
Datenschutz-Folgenabschätzung vorbereiten
Sie planen ein neues risikoreiches Verfahren oder möchten eine vorhandene Bewertung überprüfen? Nehmen Sie Kontakt mit uns auf. Wir klären den Sachverhalt, den erforderlichen Umfang und das geeignete Vorgehen.