DSFA-Trigger
Wann ist eine DSFA Pflicht?
TL;DR
DSFA-Pflicht greift bei wahrscheinlich hohem Risiko für Rechte + Freiheiten. Konkretisierung in Art. 35 Abs. 3 + AB-Black/White-Listen + Art. 29 EDSA-Leitlinien.
Was ist DSFA-Trigger?
Pflicht-Triggers (Art. 35 Abs. 3):
- Systematische Bewertung mit rechtlicher Wirkung
- Sondersensible Daten in großem Umfang
- Systematische Überwachung öffentlicher Bereiche
Die verbindliche Muss-Liste DSFA-pflichtiger Verarbeitungen (Art. 35 Abs. 4 DSGVO) wird von der jeweils zuständigen Aufsichtsbehörde erlassen — nicht vom BfDI. Typische gelistete Beispiele: Mitarbeiter-Tracking, KI-Recruiting, Fitness-Tracker, Smart-Cities.
Praxisbeispiel
HR-Tool mit KI-Bewertung: Trigger „systematische Bewertung mit rechtlicher Wirkung“ erfüllt → DSFA Pflicht. Aufwand 8-15 PT (Erfahrungswert aus der Praxis, keine gesetzliche Vorgabe), dokumentiert nach Art. 35 Abs. 7.
Rechtslage Deutschland und Österreich
Die materielle DSFA-Pflicht folgt EU-einheitlich aus Art. 35 DSGVO und gilt in Deutschland wie in Österreich gleich. Die verbindlichen Muss- und Ausnahmelisten (Art. 35 Abs. 4 und Abs. 5 DSGVO) erlässt jedoch die jeweils zuständige nationale Aufsichtsbehörde — nur die listenerlassende Stelle unterscheidet sich:
- Deutschland: Für den nicht-öffentlichen (privatwirtschaftlichen) Bereich stammt die Muss-Liste von den Landesdatenschutzbehörden bzw. gemeinsam von der Datenschutzkonferenz (DSK-Muss-Liste, V1.1, 10/2018) — nicht vom BfDI. Der BfDI ist nach § 9 BDSG nur für öffentliche Stellen des Bundes und bestimmte TK-/Postdiensteanbieter zuständig; privatwirtschaftliche Verarbeitungen fallen unter die Landesaufsicht (§ 40 BDSG).
- Österreich: Die österreichische Datenschutzbehörde erlässt die Listen per Verordnung — die DSFA-V (Blacklist, BGBl. II Nr. 278/2018) und die DSFA-AV (Ausnahme-/Whitelist, BGBl. II Nr. 108/2018).