Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

31. August 2018

Methoden der Datenschutz-Folgenabschätzung

DP+
Methoden der Datenschutz-Folgenabschätzung
Bild: iStock.com / 4X-image
5,00 (1)
DSFA in der Praxis
Die DSGVO hat die DSFA eingeführt, um bei Hochrisikoverarbeitungen die Grundrechte der Bürger besser zu schützen. Während die Listen von Verarbeitungen, die eine Folgenabschätzung nötig machen, zunehmend vorhanden sind, fragt sich weiterhin, wie sich eine DSFA konkret durchführen lässt.

Wann ist eine DSFA durchzuführen

Verantwortliche müssen eine Datenschutz-Folgenabschätzung (DSFA) nicht immer, sondern nur bei einem wahrscheinlich hohen Risiko durchführen.

Eine DSFA ist allerdings nicht isoliert zu betrachten. Daher müssen Verantwortliche zunächst weitere Anforderungen der DSGVO einbeziehen:

  • Privacy by Design: Die Grundsätze nach Artikel 5 Abs. 1 DSGVO wie Datensparsamkeit, Zweckbindung und die Gewährung der Betroffenenrechte müssen Verantwortliche mittels technischer und organisatorischer Maßnahmen (TOMs) umsetzen. Dann gilt es, die Risiken zu ermitteln, die eine nicht angemessene Umsetzung dieser Gewährleistungsziele mit sich bringt. Die zeitliche Betrachtung/Weiterentwicklung wird dann als Privacy by Design (Art. 25 DSGVO) verstanden. Ist das Restrisiko wahrscheinlich „hoch“, ist eine DSFA Pflicht.
  • Sicherheit der Verarbeitung: 32 DSGVO regelt den Schutz der Vertraulichkeit sowie der Verfügbarkeit und Integrität von Daten, IT-Systemen und (Geschäfts-)Prozessen. Ist dieser Schutz für jede Verarbeitungstätigkeit korrekt aufgesetzt (ggf. mehrfach iterativ – Stichwort Plan–Do–Check–Act, also im PDCA-Zyklus), lässt sich das Restrisiko bewerten. Ist dieses wahrscheinlich „hoch“, dann ist eine DSFA Pflicht

Arbeiten Verantwortliche bei diesen beiden Punkten – Sicherheit der Verarbeitung und Privacy by Design – sauber, wird es in einer Vielzahl von Verarbeitungstätigkeiten zu keinem hohen Restrisiko mehr kommen. Damit ist die Verpflichtung, eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen, eher die Ausnahme als die Regel.

Tritt einer …

Andreas Sachs
+

Weiterlesen mit DP+

Sie haben noch kein Datenschutz-PRAXIS-Abo und möchten weiterlesen?

Weiterlesen mit DP+
Konzentrieren Sie sich aufs Wesentliche
Profitieren Sie von kurzen, kompakten und verständlichen Beiträgen.
Kein Stress mit Juristen- und Admin-Deutsch
Lesen Sie praxisorientierte Texte ohne Fußnotenapparat und Techniker-Sprech.
Sparen Sie sich langes Suchen
Alle Arbeitshilfen und das komplette Heftarchiv finden Sie online.
Verfasst von
DP
Andreas Sachs
Andreas Sachs ist Vizepräsident des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA). Darüber hinaus leitet er das Referat Technischer Datenschutz und IT-Sicherheit beim BayLDA.
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.