DSFA (Datenschutz-Folgenabschätzung)
Datenschutz-Folgenabschätzung nach Art. 35 DSGVO — Pflicht bei voraussichtlich hohem Risiko
TL;DR
Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt — z. B. systematische Bewertung, Verarbeitung sensibler Daten in großem Umfang, systematische Überwachung öffentlich zugänglicher Bereiche.
Was ist DSFA (Datenschutz-Folgenabschätzung)?
Die DSFA ist nicht für jede Verarbeitung Pflicht. Sie greift erst, wenn eine Schwellwertanalyse 'voraussichtlich hohes Risiko' indiziert. Die Aufsichtsbehörden veröffentlichen Muss-Listen (z. B. DSK 'Liste der Verarbeitungsvorgänge mit zwingender DSFA' 10/2018), die folgende Indikatoren nennen: systematische Bewertung, große Mengen sensibler Daten (Art. 9), systematische Überwachung, neue Technologien (KI, Biometrie), Vulnerable Personen (Kinder, Patienten), Datenübermittlung in Drittländer ohne Angemessenheitsbeschluss.
Inhalt einer DSFA (Art. 35 Abs. 7): Beschreibung der Verarbeitung, Notwendigkeitsprüfung, Risikobewertung, Maßnahmen zur Risikominderung.
Praxisbeispiel
Ein E-Commerce-Unternehmen führt ein KI-basiertes Empfehlungssystem ein, das Nutzungsmuster analysiert. Vor Inbetriebnahme wird eine DSFA durchgeführt:
- Systematische Beschreibung: welche Daten, woher, wofür, wie lange
- Notwendigkeitsprüfung: wäre weniger eingreifender Ansatz möglich?
- Risikobewertung: Profiling, Diskriminierungsrisiko, Zweckentfremdung
- Mitigation: Pseudonymisierung, Opt-out, Bias-Test, Aufbewahrungsfrist 90 Tage
- DSB-Konsultation, BR-Information