Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Einführung und Kriterien:

Eine Datenschutz-Folgenabschätzung (DSFA) ist erforderlich, wenn eine Form der Verarbeitung personenbezogener Daten, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Diese Anforderung soll sicherstellen, dass potenzielle Risiken frühzeitig identifiziert und geeignete Maßnahmen zur Minderung ergriffen werden. Hier sind die Kriterien im Detail erläutert:

Gemäß Artikel 35 DSGVO:

• Hohes Risiko: Eine DSFA ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat. Dies gilt insbesondere für Verarbeitungen, die aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke wahrscheinlich zu einem hohen Risiko führen.
• Neue Technologien: Der Einsatz neuer Technologien, die Auswirkungen auf den Datenschutz haben könnten, erfordert ebenfalls eine DSFA. Beispiele hierfür sind Technologien wie Gesichtserkennung, Big Data-Analysen oder das Internet der Dinge (IoT).
• Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten: Dazu gehören sensible Daten wie Gesundheitsdaten, biometrische Daten oder Daten über rassische und ethnische Herkunft. Eine umfangreiche Verarbeitung dieser Datenkategorien erfordert in der Regel eine DSFA.

Spezifische Beispiele gemäß Erwägungsgrund 91 DSGVO:

• Systematische und umfassende Bewertung persönlicher Aspekte: Dies umfasst Verarbeitungen, die darauf abzielen, persönliche Aspekte natürlicher Personen systematisch und umfassend zu bewerten, insbesondere um Aspekte wie Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit oder Verhalten zu analysieren oder vorherzusagen.
• Automatisierte Entscheidungsfindung einschließlich Profiling: Verarbeitungen, die zu rechtlichen oder ähnlich erheblichen Auswirkungen auf die betroffenen Personen führen können, wie z.B. die automatisierte Ablehnung eines Online-Kreditantrags oder die Nutzung von Profiling für personalisierte Werbung.
• Überwachung öffentlich zugänglicher Bereiche: Dies betrifft Verarbeitungen, die darauf abzielen, öffentlich zugängliche Bereiche systematisch und umfassend zu überwachen, wie z.B. durch Videoüberwachung.

Vorherige Konsultation mit der Aufsichtsbehörde (Artikel 36 DSGVO):

• Vorherige Konsultation: Wenn eine DSFA ergibt, dass die Verarbeitung trotz der vorgesehenen Abhilfemaßnahmen ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hätte, muss der Verantwortliche vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde konsultieren. Die Aufsichtsbehörde gibt dann innerhalb eines bestimmten Zeitraums Empfehlungen zur Risikominderung.

Schritte zur Feststellung der Erforderlichkeit einer DSFA:

1. Identifikation der Verarbeitungsvorgänge: Zunächst müssen alle Verarbeitungsvorgänge identifiziert werden, die potenziell ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen könnten.
2. Bewertung des Risikos: Es muss bewertet werden, ob die identifizierten Verarbeitungsvorgänge ein hohes Risiko mit sich bringen. Dies kann durch die Bewertung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung erfolgen.
3. Entscheidung über die Notwendigkeit einer DSFA: Auf Basis der Bewertung wird entschieden, ob eine DSFA erforderlich ist. Wenn die Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat, muss eine DSFA durchgeführt werden.

Beispiele für Situationen, in denen eine DSFA erforderlich ist:

• Einführung neuer Technologien: Ein Unternehmen plant die Einführung einer neuen Technologie zur Gesichtserkennung in seinen Geschäftsstellen. Eine DSFA wird durchgeführt, um die potenziellen Datenschutzrisiken zu bewerten und Maßnahmen zur Risikominderung zu ergreifen.
• Umfangreiche Überwachung: Ein Unternehmen installiert ein umfassendes Videoüberwachungssystem in seinen Bürogebäuden. Eine DSFA hilft dabei, die Risiken für die Privatsphäre der Mitarbeiter und Besucher zu bewerten und geeignete Maßnahmen zur Risikominderung zu implementieren.

Relevante Artikel der DSGVO:

• Artikel 35: Datenschutz-Folgenabschätzung
• Artikel 36: Vorherige Konsultation
• Erwägungsgrund 91: Anforderungen und Beispiele für die Notwendigkeit einer DSFA

Zusammenfassung:

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn die Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat. Dies gilt insbesondere bei der Einführung neuer Technologien oder der umfangreichen Verarbeitung sensibler Daten. Durch die frühzeitige Identifizierung und Bewertung der Risiken sowie die Implementierung geeigneter Maßnahmen zur Risikominderung wird sichergestellt, dass die Verarbeitung personenbezogener Daten im Einklang mit den Datenschutzbestimmungen erfolgt und die Rechte der betroffenen Personen geschützt werden. Die DSFA ist somit ein wesentliches Instrument zur Gewährleistung der Einhaltung der DSGVO.