Brauchen Sie eine Datenschutz-Folgenabschätzung?
Die Vorprüfung stellt die drei Regelbeispiele des Art. 35 Abs. 3 DSGVO – und sie endet in keinem Fall mit einer Entwarnung. Der Katalog ist mit dem Wort „insbesondere“ eingeleitet und damit nicht abschließend: Greift keines der drei, bleibt die Frage des Abs. 1 nach dem voraussichtlich hohen Risiko offen und ist eigenständig zu beantworten.
Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele. Greift keines, ist die Pflicht damit nicht erledigt: Die Aufzählung ist mit dem Wort insbesondere eingeleitet. Es wird nichts gespeichert.
Art. 35 Abs. 3 lit. a DSGVO
Art. 35 Abs. 3 lit. b DSGVO
Art. 35 Abs. 3 lit. c DSGVO
Ihr Ergebnis erscheint hier.
So geht es
- Mit ja, nein oder unklar antworten„Unklar“ ist eine vollwertige Antwort und kein Platzhalter. Bei einem Merkmal wie „umfangreich“ ist sie oft der ehrlichste Stand; wer sie nicht anbietet, drängt zu einem Nein, das niemand geprüft hat.
- Ergebnis lesenVier Stände sind möglich: erforderlich, noch nicht beantwortet, unklar, oder die drei Regelbeispiele greifen nicht. Der letzte nennt ausdrücklich, was damit offen bleibt.
- Abs. 1 und die Liste der Behörde prüfenAn jedem Ergebnis hängen zwei Zusätze: die eigenständige Frage des Art. 35 Abs. 1 DSGVO und der Hinweis auf die Listen nach Abs. 4. Diese Listen sind hier nicht hinterlegt und deshalb bei der für Sie zuständigen Aufsichtsbehörde zu prüfen.
- Die vier Mindestinhalte füllenIst die Folgenabschätzung durchzuführen, verlangt Art. 35 Abs. 7 DSGVO vier Angaben: systematische Beschreibung, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken und die geplanten Abhilfemaßnahmen. Keine davon steht unter einem Vorbehalt.
Warum es hier kein Nein gibt
Art. 35 Abs. 3 DSGVO zählt seine Fälle mit dem Wort „insbesondere“ auf. Der Katalog ist damit ausdrücklich nicht abschließend, und aus „keiner der drei“ folgt nichts über die Pflicht selbst. Abs. 1 gilt unabhängig davon weiter: Eine Folgenabschätzung ist vorab durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Dazu kommt die Liste der Aufsichtsbehörde nach Abs. 4, in Deutschland die Muss-Listen der Länder. Sie ist in dieser Software nicht hinterlegt. Ein Ergebnis „nicht erforderlich“ wäre deshalb eine Auskunft, die weder das Gesetz noch dieses Produkt decken kann; das Werkzeug sagt „erforderlich“ oder „noch offen“ und nennt beim zweiten Stand, was noch zu klären ist.
Die drei Regelbeispiele und ihre Tatbestandsmerkmale
lit. a verlangt drei Merkmale gleichzeitig: eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, gestützt auf automatisierte Verarbeitung einschließlich Profiling, und diese Bewertung dient ihrerseits als Grundlage für Entscheidungen. Fehlt eines der drei, greift lit. a nicht – das ist der Grund, warum die Frage im Werkzeug so lang ist wie im Verordnungstext.
lit. b setzt eine umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 Abs. 1 DSGVO oder von Daten über strafrechtliche Verurteilungen voraus; das Wort „umfangreich“ gehört zum Tatbestand, und eine einzelne Arbeitsunfähigkeitsbescheinigung ist etwas anderes als ein geführter Bestand von Gesundheitsdaten. lit. c meint die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, also solcher, die jedermann betreten kann und denen man sich nicht entziehen kann.
Vorab heißt vorab, und die Überprüfung hat keinen Turnus
Die Folgenabschätzung ist vorab durchzuführen, also bevor die Verarbeitung beginnt (Art. 35 Abs. 1 DSGVO). Nachgeholt verliert sie einen Teil ihres Zwecks: Sie soll die Abhilfemaßnahmen bestimmen und nicht die bereits getroffenen im Nachhinein begründen.
Für die Überprüfung nennt Art. 35 Abs. 11 DSGVO keinen Rhythmus, sondern zwei Anlässe: erforderlichenfalls und zumindest bei Änderungen des Risikos. Wer die Folgenabschätzung in festen Abständen ansieht, folgt einer Empfehlung und keiner gesetzlichen Vorgabe. Deshalb steht in dieser Software keine Jahresfrist als Frist.
Häufige Fragen
Was heißt „umfangreich“?
Die Verordnung beziffert es nicht. Genau deshalb bietet die Vorprüfung „unklar“ an: Zwischen einer einzelnen Gesundheitsangabe und einem dauerhaft geführten Bestand liegt eine Einschätzung, die Sie treffen und begründen müssen – und die dokumentiert gehört.
Was ist mit den Muss-Listen der Länder?
Sie stehen in Art. 35 Abs. 4 DSGVO und sind in dieser Software nicht hinterlegt. Prüfen Sie sie zusätzlich bei der für Sie zuständigen Aufsichtsbehörde; ein Ergebnis dieses Werkzeugs ersetzt diesen Schritt nicht.
Gilt das Ergebnis dauerhaft?
Nein. Ändern sich Zweck, Umfang oder eingesetzte Technik, ist die Vorprüfung neu zu stellen. Art. 35 Abs. 11 DSGVO verlangt die Überprüfung erforderlichenfalls und zumindest bei Änderungen des Risikos.
Hängt daran die Benennung eines Datenschutzbeauftragten?
Ja. Ist für Ihre Verarbeitungen eine Folgenabschätzung durchzuführen, ist eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter zu benennen, und zwar unabhängig von der Zahl der Beschäftigten (§ 38 Abs. 1 BDSG in Verbindung mit Art. 37 DSGVO).
Alle Funktionen inklusive. Keine Kreditkarte.
Folgenabschätzung strukturiert führenDrei Regelbeispiele im Wortlaut · Kein Ergebnis, das entwarnt · Rechnet ohne Anmeldung
Ob eine Datenschutz-Folgenabschätzung durchzuführen ist, entscheidet der Verantwortliche; die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO sind hier nicht hinterlegt. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.