Datenschutz-folgenabschätzung (DSFA)

Die Datenschutz-Folgenabschätzung war bisher (nach BDSG-alt) als Vorabkontrolle bekannt. Allerdings besteht nach Auffassung des BayLDA kein Bestandsschutz  für eine nach § 4d BDSG-alt durchgeführte Vorabkontrolle. Auch für bereits bestehende und geprüfte Verarbeitungsvorgänge besteht die Pflicht zur Prüfung der Erforderlichkeit einer DSFA nach Art. 35 DS-GVO.

Zusammenfassend kann man die DSFA auch eine Prognose nennen, die festlegt mit welcher Wahrscheinlichkeit ein physischer, materieller oder immaterieller Schaden bei einer Entscheidung eintritt oder ein erwarteter Vorteil ausbleibt.

Eine DSFA ist immer dann durchzuführen, wenn besondere Kategorien personenbezogener Daten nach Art. 9 (1) DS-GVO betroffen sind oder wenn z.B. ein Profiling geplant ist, also die Bewertung von Leistungen, Verhaltensweisen und Fähigkeiten einer betroffenen Person. In diesen Fällen wird der DSB in den Prozess mit einbezogen und prüft die besonderen Risiken für die Rechte und Freiheiten der betroffenen Person. Am Ende gibt der DSB eine Stellungnahme zur Rechtmäßigkeit ab. Zusammenfassend gesagt ist die DSFA eine Bewertung von Risiken und deren Folgen für die Rechte und Freiheiten der betroffenen Personen, möglichst VOR Einführung eines Prozesses der Datenverarbeitung.

Was ist im Rahmen einer DSFA zu tun?