Datenschutz-Folgenabschätzung

Ist bei der Verarbeitung von personenbezogenen Daten von einem hohen Risiko für die Rechte und Freiheiten betroffener Personen auszugehen, muss der Verantwortliche eine Datenschutz-Folgenabschätzung (DSFA) durchführen.  Das bedeutet, es ist in besonderer Weise eine Risikobetrachtung vorzunehmen und für vorhandene hohe Risiken technische und organisatorische Maßnahmen zu definieren und dokumentieren. Ziel ist dabei die Reduzierung dieser Risiken. 

Die Verpflichtung zur Durchführung einer DSFA resultiert entweder aus der sog. „DSFA-Muss-Liste“ (Art. 35 Abs.4 DSGVO) oder anhand einer Vorprüfung, bezeichnet als Schwellwertanalyse. Mit dieser Analyse wird die Eintrittswahrscheinlichkeit und Schadensschwere eines potenziellen Ereignisses beurteilt und in Folge beurteilt, ob durch die Verarbeitung ein voraussichtlich hohes Risiko im Sinne der DSGVO besteht und eine DSFA somit erforderlich wird.

Auf Anfrage kann Ihnen ein Merkblatt zur Durchführung einer Schwellwertanalyse zur Verfügung gestellt werden. Bitte wenden Sie sich dafür an die Datenschutzbeauftragte der HAW Kiel (datenschutz@haw-kiel.de).

Sofern die Schwellwertanalyse ein hohes Risiko im Sinne der DSGVO ergeben hat, erfolgt die Durchführung einer Datenschutz-Folgenabschätzung, um das Risiko (ggf. Risiken) im Detail zu bewerten. Die Auswirkungen auf die Betroffenen sind zu beschreiben und konkrete Schutzmaßnahmen festzulegen (Art. 35 DSGVO). 

Das Ziel ist mit dem Anschluss der DSFA das bestehende Risiko, durch zu definierende Schutzmaßnahmen, auf ein normales und akzeptables Maß einzudämmen.

Sofern eine Restrisiko hoch bleibt und sich die Risiken trotz aller Maßnahmen nicht ausreichend senken lassen, darf die Verarbeitung nicht starten. Vorab ist in diesem Fall die zuständige Datenschutzbehörde zu konsultieren (Art. 36 DSGVO).

Die Datenschutzbeauftrage berät die HAW Kiel, als Verantwortliche, bei der Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 Abs. 2 DSGVO).