Die Pflicht zur Risikobewertung und wie sie sich umsetzen lässt

Eine Datenschutz-Folgenabschätzung dient der Vorabbewertung bestimmter Verarbeitungsvorgänge und ist ein entscheidender Schritt, um sicherzustellen, dass die Verarbeitung personenbezogener Daten den Vorschriften der Datenschutz-Grundverordnung (DSGVO) entspricht. Das Thema wird Datenschutzbeauftragte aktuell und zukünftig gerade im Zusammenhang mit Anwendungen der Künstlichen Intelligenz (KI) immer wieder beschäftigen.

Wann ist eine Datenschutz-Folgen­abschätzung erforderlich?

Die Notwendigkeit einer DSFA ergibt sich aus verschiedenen Faktoren, die Art. 35 DSGVO aufführt:

• Die Verwendung neuer Technologien: Setzt ein Verantwortlicher bei der Verarbeitung personenbezogener Daten neue Technologien ein, die das Risiko für die Datenschutzrechte der Betroffenen erhöhen, ist eine DSFA erforderlich.
• Die Art der Verarbeitung: Kann die Art der Verarbeitung dazu führen, dass sie die Datenschutzrechte der Betroffenen beeinträchtigt, muss eine DSFA durchgeführt werden.
• Der Umfang der Verarbeitung: Große Datenmengen und umfangreiche Verarbeitungsvorgänge können ein erhöhtes Risiko für die Datenschutzrechte der Betroffenen darstellen.
• Die Umstände der Verarbeitung: Besondere Umstände, die das Risiko für die Datenschutzrechte der Datensubjekte erhöhen, erfordern ebenfalls eine DSFA.
• Die Zwecke der Verarbeitung: Die DSFA ist erforderlich, wenn die Zwecke der Verarbeitung potenziell die Datenschutzrechte der Betroffenen gefährden.

Was bedeutet das konkret(er)?

Der Gesetzeswortlaut in Art. 35 Abs. 1 DSGVO enthält keine Beispiele bzw…