Brauchen Sie eine Datenschutz-Folgenabschätzung?
Die Vorprüfung stellt die drei Regelbeispiele des Art. 35 Abs. 3 DSGVO – und sie endet in keinem Fall mit einer Entwarnung. Der Katalog ist mit dem Wort „insbesondere“ eingeleitet und damit nicht abschließend: Greift keines der drei, bleibt die Frage des Abs. 1 nach dem voraussichtlich hohen Risiko offen und ist eigenständig zu beantworten.
Inhalt aktualisiert:
Prüfen Sie die drei Regelbeispiele für eine konkrete Verarbeitung. Drei verneinte Beispiele schließen eine DSFA-Pflicht nicht aus. Ihre Auswahl wird zur Berechnung an unseren Server gesendet und nicht gespeichert.
Art. 35 Abs. 3 lit. a DSGVO. Drei Merkmale, die zusammenkommen müssen: systematisch und umfassend, automatisiert, und Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung.
Art. 35 Abs. 3 lit. b DSGVO. „Umfangreich“ gehört zum Tatbestand: Eine einzelne Arbeitsunfähigkeitsbescheinigung ist etwas anderes als ein Bestand von Gesundheitsdaten.
Art. 35 Abs. 3 lit. c DSGVO. Gemeint sind Bereiche, die jedermann betreten kann; wer sich dort aufhält, kann der Beobachtung nicht ausweichen.
Ihre Einordnung mit offenen Punkten und Arbeitsunterlage erscheint hier.
So geht es
- Mit ja, nein oder unklar antworten„Unklar“ ist eine vollwertige Antwort und kein Platzhalter. Bei einem Merkmal wie „umfangreich“ ist sie oft der ehrlichste Stand; wer sie nicht anbietet, drängt zu einem Nein, das niemand geprüft hat.
- Ergebnis lesenVier Stände sind möglich: erforderlich, noch nicht beantwortet, unklar, oder die drei Regelbeispiele greifen nicht. Der letzte nennt ausdrücklich, was damit offen bleibt.
- Abs. 1 und die Liste der Behörde prüfenAn jedem Ergebnis hängen zwei Zusätze: die eigenständige Frage des Art. 35 Abs. 1 DSGVO und der Hinweis auf die Listen nach Abs. 4. Diese Listen sind hier nicht hinterlegt und deshalb bei der für Sie zuständigen Aufsichtsbehörde zu prüfen.
- Die vier Mindestinhalte füllenIst die Folgenabschätzung durchzuführen, verlangt Art. 35 Abs. 7 DSGVO vier Angaben: systematische Beschreibung, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken und die geplanten Abhilfemaßnahmen. Keine davon steht unter einem Vorbehalt.
Warum es hier kein Nein gibt
Art. 35 Abs. 3 DSGVO zählt seine Fälle mit dem Wort „insbesondere“ auf. Der Katalog ist damit ausdrücklich nicht abschließend, und aus „keiner der drei“ folgt nichts über die Pflicht selbst. Abs. 1 gilt unabhängig davon weiter: Eine Folgenabschätzung ist vorab durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Dazu kommt die Liste Ihrer zuständigen Aufsichtsbehörde nach Abs. 4. Ihr Anwendungsbereich ist mitzuprüfen: Die BfDI-Liste für öffentliche Stellen des Bundes ist beispielsweise keine allgemeine Unternehmensliste. Die Listen sind in dieser Software nicht hinterlegt. Das Werkzeug nennt deshalb auch bei drei verneinten Regelbeispielen die verbleibende Risikoprüfung.
Die drei Regelbeispiele und ihre Tatbestandsmerkmale
lit. a betrifft eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen auf Grundlage automatisierter Verarbeitung einschließlich Profiling. Die Bewertung muss als Grundlage für Entscheidungen dienen, die gegenüber natürlichen Personen Rechtswirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Eine beliebige automatisierte Auswertung allein erfüllt dieses Regelbeispiel nicht.
lit. b setzt die umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 Abs. 1 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 voraus. lit. c betrifft die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Ob eine Verarbeitung umfangreich ist, lässt sich nicht aus einem einzelnen Datenfeld ableiten; bei ungeklärten Voraussetzungen bleibt die Antwort unklar.
Vorab heißt vorab, und die Überprüfung hat keinen Turnus
Die Folgenabschätzung ist vorab durchzuführen, also bevor die Verarbeitung beginnt (Art. 35 Abs. 1 DSGVO). Nachgeholt verliert sie einen Teil ihres Zwecks: Sie soll die Abhilfemaßnahmen bestimmen und nicht die bereits getroffenen im Nachhinein begründen.
Für die Überprüfung nennt Art. 35 Abs. 11 DSGVO keinen Rhythmus, sondern zwei Anlässe: erforderlichenfalls und zumindest bei Änderungen des Risikos. Wer die Folgenabschätzung in festen Abständen ansieht, folgt einer Empfehlung und keiner gesetzlichen Vorgabe. Deshalb steht in dieser Software keine Jahresfrist als Frist.
Quellen und amtliche Anlaufstellen
- Art. 35 DSGVO: Datenschutz-Folgenabschätzung
- DSK: Kurzpapier 5 zur Datenschutz-Folgenabschätzung
- § 38 BDSG: Datenschutzbeauftragte nichtöffentlicher Stellen
Häufige Fragen
Was heißt „umfangreich“?
Die Verordnung beziffert es nicht. Genau deshalb bietet die Vorprüfung „unklar“ an: Zwischen einer einzelnen Gesundheitsangabe und einem dauerhaft geführten Bestand liegt eine Einschätzung, die Sie treffen und begründen müssen – und die dokumentiert gehört.
Was ist mit den Muss-Listen der Länder?
Sie stehen in Art. 35 Abs. 4 DSGVO und sind in dieser Software nicht hinterlegt. Prüfen Sie sie zusätzlich bei der für Sie zuständigen Aufsichtsbehörde; ein Ergebnis dieses Werkzeugs ersetzt diesen Schritt nicht.
Gilt das Ergebnis dauerhaft?
Nein. Ändern sich Zweck, Umfang oder eingesetzte Technik, ist die Vorprüfung neu zu stellen. Art. 35 Abs. 11 DSGVO verlangt die Überprüfung erforderlichenfalls und zumindest bei Änderungen des Risikos.
Hängt daran die Benennung eines Datenschutzbeauftragten?
Für nichtöffentliche Stellen verlangt § 38 Abs. 1 BDSG die Benennung unabhängig von der Zahl der mit der Verarbeitung beschäftigten Personen, wenn Verantwortliche oder Auftragsverarbeiter Verarbeitungen vornehmen, die einer Folgenabschätzung nach Art. 35 DSGVO unterliegen. Weitere Benennungspflichten sind gesondert zu prüfen.
Kann ich die Vorprüfung weiterverwenden?
TXT und Druck enthalten Ihre Antworten, offene Fragen, Quellenstand und nächste Schritte. Ergänzen Sie die konkrete Verarbeitung und Begründungen in Ihrer eigenen geschützten Ablage. Die Ausgabe ist keine durchgeführte Folgenabschätzung und wird hier nicht gespeichert.
Alle Funktionen inklusive. Keine Kreditkarte.
Folgenabschätzung strukturiert führenDrei Regelbeispiele mit ihren Voraussetzungen · Arbeitsunterlage als TXT und Druck · Rechnet ohne Anmeldung
Ob eine Datenschutz-Folgenabschätzung durchzuführen ist, entscheidet der Verantwortliche; die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO sind hier nicht hinterlegt. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.