Wann eine DSFA nötig wird
Eine DSFA ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Maßgeblich sind Art, Umfang, Umstände und Zweck. Neue Technologien können dabei eine Rolle spielen.
Artikel 35 nennt besondere Fallgruppen. Dazu gehören etwa eine umfangreiche Verarbeitung bestimmter besonders geschützter Daten oder eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Zusätzlich veröffentlichen Aufsichtsbehörden Listen mit relevanten Verarbeitungsvorgängen. Auch ein nicht aufgeführter Vorgang kann eine DSFA erfordern.
Was Sie dabei untersuchen
Die Mindestinhalte stehen in Artikel 35 Absatz 7 DSGVO:
- Die geplanten Abläufe, ihre Zwecke und gegebenenfalls verfolgte berechtigte Interessen.
- Ob die Verarbeitung für den Zweck notwendig und verhältnismäßig ist.
- Welche Risiken für die betroffenen Menschen entstehen.
- Welche Maßnahmen diese Risiken verringern und den Schutz der Daten sichern sollen.
Die Bewertung gehört ins Projekt
Planen Sie die Prüfung rechtzeitig ein und dokumentieren Sie Ihre Entscheidung. Ein benannter Datenschutzbeauftragter ist beratend einzubeziehen. Ändern sich die Risiken, muss die Bewertung überprüft werden.
Ergibt die DSFA, dass trotz der vorgesehenen Schutzmaßnahmen ein hohes Risiko verbleibt, muss der Verantwortliche vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde konsultieren (Artikel 36 DSGVO). Wir unterstützen Sie dabei, den Prüfbedarf einzuordnen und die notwendigen Schritte zu strukturieren.
Diese Seite gibt einen Überblick. Welche Anforderungen in Ihrem Fall gelten, hängt von der konkreten Verarbeitung ab.
