Eine Datenschutz-Folgenabschätzung (DSFA) ist bei Verarbeitungen mit voraussichtlich hohem Risiko für die betroffenen Personen nötig (Art. 35 Abs. 1 Datenschutz-Grundverordnung, DSGVO).
Ob ein Verantwortlicher eine Datenschutz-Folgenabschätzung durchführen muss, kann er per sogenannter Schwellwertanalyse ermitteln. Eine Schwellwertanalyse ist eine grobe Einschätzung, welches Risiko eine Verarbeitung mit sich bringt. Erst die DSFA selbst betrachtet die Risiken ganz genau und sucht Abhilfemaßnahmen, um das Risiko zu verringern.
Die Entscheidung, ob eine DSFA durchzuführen ist oder nicht, ist zu dokumentieren. Dabei unterstützt das hier vorgestellte Prüfformular „Schwellwertanalyse“.
Faktoren für die Durchführung einer DSFA
Art. 35 DSGVO nennt Faktoren für eine Verarbeitung, die eine Datenschutz-Folgenabschätzung notwendig machen.
Neben neuen Technologien sowie Art, Umfang, Umstände und Zwecke der Verarbeitung gehören ausdrücklich dazu Profiling (mit Rechtswirkung), eine umfangreiche Verarbeitung besonderer Datenkategorien / Straftaten und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Die Datenschutzkonferenz (DSK) hat zudem eine „Positivliste“ veröffentlicht. Sie enthält Verarbeitungen, bei denen Verantwortliche eine DSFA durchführen müssen.
Das Prüfformular „Schwellwertanalyse“
Das Prüfformular „Schwellwertanalyse“ orientiert sich an den Faktoren, die Art. 35 DSGVO nennt. Sie berücksichtigt neben den Positivlisten der Aufsichtsbehörde auch mögliche Negativlisten der Aufsichten (Verarbeitungen, bei denen keine DSFA durchzuführen ist).
Das Ergebnis der Schwellwertanalyse ergibt sich aus den Antworten zu jeder Frage und wird im letzten Schritt des Formulars festgehalten. Die Schwellwertanalyse wird zur Datenschutzdokumentation hinzugefügt.
