Die Datenschutz-Folgenabschätzung prüft vorab, welche Risiken eine geplante Verarbeitung für die Rechte betroffener Personen mit sich bringt.
Wann sie erforderlich ist
Die DSGVO verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Typische Auslöser sind umfangreiche Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten, systematische Bewertung von Personen, umfassende Überwachung öffentlich zugänglicher Bereiche oder der Einsatz neuartiger Technologien. Die Aufsichtsbehörden veröffentlichen Listen mit Vorhaben, bei denen sie stets nötig ist.
Die Bestandteile
- Systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke.
- Bewertung von Notwendigkeit und Verhältnismäßigkeit.
- Analyse der Risiken für die Rechte und Freiheiten der Betroffenen.
- Geplante Abhilfemaßnahmen einschließlich technischer Schutzvorkehrungen.
Der richtige Zeitpunkt
Vor der Verarbeitung, und damit in der Praxis vor der Systementscheidung. Ergibt die Abschätzung, dass ein Restrisiko bleibt, das sich nicht ausreichend mindern lässt, ist die Aufsichtsbehörde vorab zu konsultieren. Wird die Abschätzung erst kurz vor dem Go-Live begonnen, gefährdet sie den Termin.
Wer beteiligt ist
Verantwortlich ist die Organisation, nicht der Datenschutzbeauftragte. Dieser berät und überwacht. Fachlich müssen Prozessverantwortliche, IT und bei Bedarf der Dienstleister zuarbeiten, weil nur gemeinsam beschrieben werden kann, welche Daten tatsächlich wie verarbeitet werden.
Abgrenzung
Das Verarbeitungsverzeichnis dokumentiert alle Verarbeitungen. Die Folgenabschätzung ist eine vertiefte Risikoprüfung für einzelne, besonders eingriffsintensive Vorhaben.
Weiterführende Begriffe
Sie planen ein komplexes IT-Projekt?
SABIC IT unterstützt Unternehmen und öffentliche Organisationen von der Projektinitialisierung bis zum Go-Live, strukturiert, transparent und mit klarem Fokus auf Ergebnisse.
Kostenloses Erstgespräch buchen