Risikoanalyse im Datenschutz

Eine Datenschutz Folgenabschätzung wird nur unter bestimmten Voraussetzungen notwendig. An erster Stelle steht dabei der Schutz personenbezogener Daten sowie die Rechte und Freiheiten von Menschen. Sobald eine geplante Daten-Verarbeitung aufgrund ihrer Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, muss laut DSGVO eine DSFA durgeführt werden. Allerdings existiert keine gültige Definition darüber, wann dies genau der Fall ist. Beispiele, bei der eine DSFA notwendig werden, sind aber Profiling oder der Verarbeitung von systematischer umfangreicher Videoüberwachung.

Unternehmen, die eine automatisierte Datenverarbeitung planen, die besondere Risiken für Recht und Freiheiten der Betroffenen darstellen könnte, sollten prüfen, ob sie zu einer DSFA verpflichtet sind. Dabei dient eine DSFA aber nicht nur dem Schutz der Betroffenen, sondern das Unternehmen selbst kann sich damit auch absichern. Sollte es zu einer Prüfung durch die Aufsichtsbehörden kommen, kann die DSFA als Nachweis der Erfüllung der datenschutzrechtlichen Pflichten erbracht werden.

Bei einer Datenschutz-Folgenabschätzung nach DSGVO handelt es sich um eine erweiterte Risikoeinschätzung. Eine solche muss vor bestimmten Verarbeitungen personenbezogener Daten durchgeführt werden und wird von der DSGVO für alle Datenverarbeitungen vorgesehen. Die Datenschutz-Folgenabschätzung unterscheidet sich aber von einer Risikoanalyse, da sie deutlich komplexer und umfangreicher ist und nur bei kritischen Verarbeitungsprozessen für die Abschätzung von Folgen bei der Datenverarbeitung notwendig wird – zum Beispiel dann, wenn nach einer bereits erfolgten Risikobewertung ein hohes oder sehr hohes Risiko für die Rechte und Freiheiten der Betroffenen verbleibt.