Datenschutz

Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung hilft, hohe Risiken für betroffene Personen frühzeitig zu erkennen, zu bewerten und durch geeignete Maßnahmen zu reduzieren.

Immer dann, wenn eine Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, muss besonders sorgfältig geprüft werden, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

SITsolutions unterstützt Unternehmen bei der Einordnung, Durchführung und Dokumentation von Datenschutz-Folgenabschätzungen nach DSGVO.

Wann eine Datenschutz-Folgenabschätzung relevant wird

Eine Datenschutz-Folgenabschätzung ist vor allem dann zu prüfen, wenn neue Technologien, umfangreiche Datenverarbeitungen, besondere Kategorien personenbezogener Daten, Überwachung, Profilbildung oder automatisierte Bewertungen eingesetzt werden.

In der Praxis stellt sich häufig zunächst die Frage, ob überhaupt eine DSFA erforderlich ist. Auch diese Vorprüfung sollte nachvollziehbar dokumentiert werden, damit später erkennbar bleibt, warum eine DSFA durchgeführt oder nicht durchgeführt wurde.

Einführung neuer IT-Systeme oder Cloud-Dienste
Umfangreiche Verarbeitung personenbezogener Daten
Verarbeitung besonderer Kategorien personenbezogener Daten
Videoüberwachung oder systematische Beobachtung
Profiling, Scoring oder automatisierte Bewertungen
Einsatz von KI-Systemen mit Personenbezug
Neue Datenflüsse oder umfangreiche Dienstleistereinbindung

Ziel einer Datenschutz-Folgenabschätzung

Ziel einer Datenschutz-Folgenabschätzung ist nicht, ein Vorhaben grundsätzlich zu verhindern. Vielmehr sollen Risiken strukturiert erkannt, bewertet und durch geeignete technische und organisatorische Maßnahmen reduziert werden.

Eine gute DSFA schafft Transparenz über Datenflüsse, Zwecke, Rechtsgrundlagen, Risiken, Schutzmaßnahmen und verbleibende Restrisiken. Dadurch werden Entscheidungen nachvollziehbar und das Unternehmen kann zeigen, dass Datenschutzrisiken ernsthaft geprüft wurden.

Leistungen von SITsolutions

SITsolutions unterstützt bei der strukturierten Prüfung und Erstellung von Datenschutz-Folgenabschätzungen. Dabei wird besonderer Wert auf verständliche Risikobewertung, vollständige Dokumentation und praxisnahe Schutzmaßnahmen gelegt.

Vorprüfung, ob eine DSFA erforderlich ist
Beschreibung des geplanten Verfahrens und der Datenflüsse
Bewertung von Zweck, Rechtsgrundlage und Erforderlichkeit
Identifikation möglicher Risiken für betroffene Personen
Bewertung von Eintrittswahrscheinlichkeit und Schadensausmaß
Ableitung geeigneter technischer und organisatorischer Maßnahmen
Bewertung verbleibender Restrisiken
Erstellung einer nachvollziehbaren DSFA-Dokumentation
Unterstützung bei Abstimmung mit Fachbereichen, IT und Datenschutzorganisation

Vorprüfung

Zunächst wird geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Dabei werden Art, Umfang, Umstände und Zwecke der Verarbeitung betrachtet.

Auch wenn keine DSFA erforderlich ist, sollte diese Entscheidung nachvollziehbar dokumentiert werden.

Beschreibung der Verarbeitung

Eine DSFA benötigt eine klare Beschreibung des Verfahrens, der Datenarten, betroffenen Personen, Systeme, Dienstleister, Zugriffe und Datenflüsse.

Nur wenn das Verfahren verstanden ist, können Risiken belastbar bewertet werden.

Risikobewertung

Risiken werden aus Sicht der betroffenen Personen betrachtet. Dabei geht es um mögliche Nachteile, Kontrollverlust, Diskriminierung, finanzielle Schäden, Reputationsschäden oder sonstige Beeinträchtigungen.

Die Bewertung muss nachvollziehbar und angemessen dokumentiert werden.

Schutzmaßnahmen

Geeignete Maßnahmen sollen Risiken reduzieren. Dazu können technische, organisatorische, vertragliche und prozessuale Maßnahmen gehören.

Entscheidend ist, dass Maßnahmen konkret beschrieben und mit den identifizierten Risiken verbunden werden.

Typische Inhalte einer DSFA

Eine Datenschutz-Folgenabschätzung sollte so aufgebaut sein, dass die Verarbeitung, die Risikobewertung und die getroffenen Maßnahmen auch später noch nachvollzogen werden können.

Beschreibung des Verfahrens und der Zwecke
Darstellung der Datenarten und betroffenen Personen
Beschreibung beteiligter Systeme, Dienstleister und Empfänger
Bewertung von Erforderlichkeit und Verhältnismäßigkeit
Darstellung der Rechtsgrundlagen und Informationspflichten
Risikobewertung aus Sicht betroffener Personen
Beschreibung technischer und organisatorischer Schutzmaßnahmen
Bewertung des verbleibenden Restrisikos
Entscheidung und Freigabe des Verfahrens

DSFA bei neuen Systemen und Projekten

Besonders sinnvoll ist die Prüfung einer Datenschutz-Folgenabschätzung bereits vor der Einführung neuer Systeme oder Verfahren. Datenschutzrisiken lassen sich in der Planungsphase meist deutlich einfacher reduzieren als nachträglich im laufenden Betrieb.

SITsolutions unterstützt deshalb auch projektbegleitend, etwa bei Softwareeinführungen, Cloud-Diensten, KI-Systemen, HR-Anwendungen, Überwachungssystemen oder neuen Datenanalysen. So können Datenschutzanforderungen frühzeitig berücksichtigt werden.

Typische Ergebnisse

Je nach Ausgangslage entstehen konkrete Unterlagen und Bewertungen, die im Unternehmen weiterverwendet und bei Prüfungen oder Rückfragen vorgelegt werden können.

DSFA-Vorprüfung
Dokumentierte Entscheidung zur Erforderlichkeit einer DSFA
Vollständige Datenschutz-Folgenabschätzung
Risikobewertung aus Sicht betroffener Personen
Maßnahmenplan zur Risikoreduzierung
Bewertung des verbleibenden Restrisikos
Entscheidungsvorlage für Verantwortliche
Nachweis für Datenschutzorganisation, Audits oder Aufsichtsbehörden

Vorgehensweise

1. Prüfen

Es wird bewertet, ob eine Datenschutz-Folgenabschätzung erforderlich ist oder ob eine dokumentierte Vorprüfung ausreicht.

2. Beschreiben

Verfahren, Zwecke, Datenarten, Datenflüsse, Systeme, Dienstleister und betroffene Personen werden beschrieben.

3. Bewerten

Risiken für betroffene Personen werden analysiert, bewertet und mit bestehenden Maßnahmen abgeglichen.

4. Absichern

Geeignete Maßnahmen, Restrisiko, Entscheidung und Nachweisführung werden dokumentiert.