Brauchst du eine Folgenabschätzung?
In zwei Schritten — die Fälle des Art. 35.3 und die neun WP248-Kriterien — findest du heraus, ob deine Verarbeitung eine DSFA erfordert.
Gut zu wissen
Brauchst du eine DSFA? Wann die Folgenabschätzung verpflichtend ist
Die Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) ist vor Beginn einer Verarbeitung verpflichtend, die ein hohes Risiko für die Rechte und Freiheiten der Personen mit sich bringen kann. Die DSGVO nennt in Art. 35 Abs. 3 Fälle, in denen sie stets erforderlich ist — Profiling mit automatisierten Entscheidungen, umfangreiche Verarbeitung besonderer oder strafrechtlicher Daten, systematische Überwachung öffentlicher Bereiche — während die europäischen Leitlinien (WP248) neun Risikokriterien festlegen: liegen mindestens zwei vor, ist die DSFA erforderlich.
Dieses Tool führt dich durch die Fälle des Art. 35 Abs. 3 und die neun WP248-Kriterien (in Italien von der Aufsichtsbehörde mit dem Beschluss 467/2018 übernommen) und sagt dir, ob die DSFA für deine Verarbeitung verpflichtend, erforderlich, empfohlen oder nicht erforderlich ist. Es ersetzt nicht die mit dem DSB an der realen Verarbeitung durchgeführte Bewertung, gibt dir aber eine sofortige Orientierung. Das Ergebnis erhältst du als PDF per E-Mail.
Brauchst du einen DSB? Mach das DSGVO-Quiz Unterstützung bei der DSFA anfragen
Häufige Fragen zur DSFA
Was ist eine DSFA?
Die DSFA (Datenschutz-Folgenabschätzung, Art. 35 DSGVO) ist eine vorgelagerte Analyse der Risiken, die eine Verarbeitung für die Rechte und Freiheiten der betroffenen Personen mit sich bringt, samt Festlegung von Maßnahmen zu deren Minderung. Sie ist vor Beginn der Verarbeitung durchzuführen.
Wann ist die DSFA verpflichtend?
Sie ist verpflichtend, wenn die Verarbeitung ein hohes Risiko mit sich bringen kann (Art. 35 Abs. 1) und insbesondere in den drei Fällen des Art. 35 Abs. 3. Nach WP248 und der Aufsichtsbehörde ist die DSFA zudem erforderlich, wenn mindestens zwei der neun Risikokriterien vorliegen.
Genügen zwei WP248-Kriterien für eine DSFA-Pflicht?
Ja: das Vorliegen von zwei oder mehr der neun Kriterien ist ein Indiz für eine Verarbeitung mit hohem Risiko, für die die DSFA erforderlich ist (Aufsichtsbehörde, Beschl. 467/2018, unter Verweis auf WP248). In einigen Fällen kann bereits ein einziges Kriterium die Bewertung angezeigt sein lassen.
Was passiert, wenn ich die DSFA trotz Pflicht nicht durchführe?
Die unterlassene DSFA ist, wenn geschuldet, ein Verstoß mit einem Bußgeld bis zu 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes, zusätzlich zu Beanstandungen bei einer Prüfung der Aufsichtsbehörde.
Wer muss die DSFA durchführen?
Die Verantwortung liegt beim Verantwortlichen, der den Rat des DSB einholt, sofern benannt. Die DSFA ist zu überprüfen, wenn sich die Risiken oder die Merkmale der Verarbeitung ändern.