Glossar
Was ist DSFA (Datenschutz-Folgenabschätzung)?
Die DSFA (Datenschutz-Folgenabschätzung, englisch DPIA) ist die vorherige Analyse, die der Verantwortliche durchführen muss, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Sie ist in Art. 35 DSGVO geregelt und muss vor Beginn der Verarbeitung abgeschlossen sein.
Die DSFA ist kein Dokument, das man nachträglich für einen Auditor anfertigt: Sie muss der Verarbeitung vorausgehen, denn ihr Zweck ist die Entscheidung, ob und wie verarbeitet wird. Sie beschreibt die geplanten Vorgänge, bewertet Notwendigkeit und Verhältnismäßigkeit gegenüber dem Zweck, benennt die Risiken für die Betroffenen und legt die Abhilfemaßnahmen fest. Bleibt das Restrisiko trotz Maßnahmen hoch, ist die Aufsichtsbehörde vorab zu konsultieren (Art. 36 DSGVO).
Die Pflicht greift in den drei in Art. 35 Abs. 3 genannten Fällen (systematische und umfassende Bewertung persönlicher Aspekte mittels automatisierter Verarbeitung einschließlich Profiling mit rechtlicher Wirkung; umfangreiche Verarbeitung besonderer Kategorien oder strafrechtlicher Daten; systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche) sowie immer dann, wenn mindestens zwei der neun Kriterien des WP248 der Artikel-29-Gruppe erfüllt sind.
Die Stellungnahme des Datenschutzbeauftragten ist einzuholen und zu dokumentieren. Die DSFA ist zu überprüfen, wenn sich das Risiko ändert: neue Zwecke, neue Technologien, neue Empfänger, ein Anbieterwechsel, der Daten aus dem EWR verlagert.
Häufige Fragen
Wofür steht die Abkürzung DSFA?
DSFA steht für Datenschutz-Folgenabschätzung. Der englische Begriff der DSGVO lautet Data Protection Impact Assessment (DPIA); beide bezeichnen dieselbe Pflicht nach Art. 35 DSGVO.
Wann ist eine DSFA Pflicht?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei typisierte Fälle; darüber hinaus gelten die neun Kriterien des WP248, wobei als Faustregel ab zwei erfüllten Kriterien eine DSFA durchzuführen ist.
Wer muss die DSFA durchführen?
Die Verantwortung liegt beim Verantwortlichen. Er kann externe Berater oder den Auftragsverarbeiter für den technischen Teil hinzuziehen, die Bewertung bleibt jedoch seine und ist von ihm zu zeichnen. Ist ein Datenschutzbeauftragter benannt, ist dessen Rat einzuholen.
Was ist der Unterschied zwischen AVV und DSFA?
Der AVV (Auftragsverarbeitungsvertrag, Art. 28 DSGVO) regelt das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter. Die DSFA ist die Risikobewertung nach Art. 35. Ein unterzeichneter AVV ersetzt keine DSFA.
Was passiert, wenn die DSFA fehlt?
Das Unterlassen ist mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bußgeldbewehrt (Art. 83 Abs. 4 DSGVO). In der Praxis fällt es auf, wenn Konformität nachgewiesen werden muss: bei einer Prüfung, nach einer Datenpanne oder in der Due Diligence eines Kunden.
Quellen: Art. 35 DSGVO (Verordnung EU 2016/679)
Dazu beraten wir Sie: Datenschutz-Folgenabschätzung (DSFA)
Selbst prüfen: DSFA-Prüfung
Verwandte Begriffe: DSB (Datenschutzbeauftragter) · Datenpanne (Verletzung des Schutzes personenbezogener Daten)