Was ist eine Datenschutz-Folgenabschätzung (DSFA)?
Eine Datenschutz-Folgenabschätzung (DSFA) — auf Englisch Data Protection Impact Assessment (DPIA) — ist ein systematischer Prozess zur Bewertung und Minderung von Datenschutzrisiken, bevor neue oder erheblich geänderte Verarbeitungsvorgänge gestartet werden. Sie ist kein optionales Compliance-Tool — es handelt sich um eine gesetzliche Pflicht nach Artikel 35 DSGVO, wenn die Verarbeitung voraussichtlich ein hohes Risiko darstellt.
Wann ist eine DSFA verpflichtend?
Eine DSFA ist immer erforderlich für: systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen mittels automatisierter Verarbeitung einschließlich Profilerstellung; umfangreiche Verarbeitung besonderer Datenkategorien; systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Unabhängig davon hat die AEPD eine spezifische Liste von Verarbeitungstätigkeiten veröffentlicht, die in Spanien immer eine DSFA erfordern.
Hauptelemente einer DSFA
Eine vollständige DSFA muss enthalten:
- Systematische Beschreibung der geplanten Verarbeitungsvorgänge und ihrer Zwecke
- Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung
- Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen
- Maßnahmen zur Bewältigung der Risiken, einschließlich Schutzmaßnahmen
Einbeziehung des Datenschutzbeauftragten
Der DSB muss bei der Durchführung einer DSFA konsultiert werden, sofern einer benannt wurde. Der DSB führt die DSFA nicht durch — das bleibt Verantwortung des Verantwortlichen — muss aber beraten und sein Rat muss dokumentiert werden.
Wann ist eine Vorabkonsultation der AEPD erforderlich?
Wenn nach Umsetzung aller Minderungsmaßnahmen noch hohe Restrisiken verbleiben, muss der Verantwortliche die AEPD vor Beginn der Verarbeitung konsultieren.
Wie BMC helfen kann
Wir führen Datenschutz-Folgenabschätzungen für spanische und auslandsgeführte Unternehmen durch: von der Identifizierung DSFA-pflichtiger Verarbeitungen über die Durchführung der Risikoanalyse bis zur Erstellung vollständiger DSFA-Dokumentation und der Unterstützung bei der Konsultation der AEPD bei verbleibenden Hochrisiko-Verarbeitungen.