Datenschutz-Folgenabschätzung

Die Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO eine Risikobewertung, die vor Beginn einer Verarbeitung durchzuführen ist, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Sie soll Risiken frühzeitig erkennen und mit geeigneten Maßnahmen abmildern.

Wann ist eine DSFA erforderlich?

Inhalt der Abschätzung

Eine DSFA beschreibt die geplante Verarbeitung, bewertet Notwendigkeit und Verhältnismäßigkeit, schätzt die Risiken für Betroffene ein und legt Maßnahmen zur Risikominderung fest. Das Ergebnis wird dokumentiert und bei Bedarf regelmäßig überprüft.

Wer muss sie durchführen?

Verantwortlich ist der Verantwortliche selbst, häufig unterstützt durch einen Datenschutzbeauftragten. Für die meisten kleinen und mittleren Webseiten mit Standardverarbeitungen ist keine DSFA erforderlich.

So führst du eine Datenschutz-Folgenabschätzung durch

Plant du eine Verarbeitung mit voraussichtlich hohem Risiko, arbeitest du diese vier Schritte ab, bevor die Verarbeitung beginnt.

1. Verarbeitung systematisch beschreiben. Halte fest, welche Daten wie, wofür und wie lange verarbeitet werden sollen.
2. Notwendigkeit und Verhältnismäßigkeit prüfen. Prüfe, ob der Zweck auch mit weniger Daten oder einer milderen Methode erreichbar wäre.
3. Risiken für Betroffene bewerten. Schätze ein, welche Risiken für die Rechte und Freiheiten der betroffenen Personen entstehen können.
4. Maßnahmen festlegen und dokumentieren. Lege Maßnahmen zur Risikominderung fest und dokumentiere die gesamte Abschätzung, bevor du die Verarbeitung startest.