Datenschutz-Folgenabschätzung
Eine Datenschutz-Folgenabschätzung (DSFA) ist ein formales Verfahren zur Ermittlung und Minimierung von Datenschutzrisiken bei der Verarbeitung personenbezogener Daten. Organisationen müssen eine DSFA durchführen, bevor sie eine Verarbeitung vornehmen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, insbesondere bei der Verwendung neuer Technologien oder bei der Verarbeitung besonderer Kategorien personenbezogener Daten.
Rechtsgrundlage
„Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch."
— Artikel 35 Absatz 1, Verordnung (EU) 2016/679 (DSGVO)
Warum es wichtig ist
Datenschutz-Folgenabschätzungen sind für jede Organisation unerlässlich, die personenbezogene Daten für die Ausrichtung politischer Werbung oder Anzeigenauslieferungstechniken verwendet. Nach der DSGVO müssen Verantwortliche eine DSFA durchführen, wenn Verarbeitungsvorgänge voraussichtlich ein hohes Risiko zur Folge haben, insbesondere bei der Verwendung von Profiling, besonderen Kategorien von Daten oder systematischer umfangreicher Überwachung von Personen.
Für politische Werbung sind DSFAs besonders wichtig, da Targeting-Techniken häufig die Verarbeitung sensibler personenbezogener Daten wie politischer Meinungen beinhalten, die nach der DSGVO als besondere Kategorien von Daten eingestuft werden. Herausgeber und Anbieter politischer Werbedienstleistungen müssen beurteilen, ob ihre Targeting-Praktiken eine DSFA erfordern, bevor sie Kampagnen starten.
Die DSFA hilft Organisationen, Risiken frühzeitig zu erkennen, geeignete Schutzmaßnahmen umzusetzen und Rechenschaftspflicht nachzuweisen. Sie bestimmt auch, ob eine Konsultation mit der zuständigen Datenschutzbehörde erforderlich ist, bevor die Verarbeitung beginnt. Organisationen, die erforderliche DSFAs nicht durchführen, drohen erhebliche Geldbußen nach der DSGVO.
Wichtige Punkte
- Pflicht vor Hochrisiko-Verarbeitung: DSFAs sind erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, insbesondere bei der Verwendung neuer Technologien oder Profiling
- Unerlässlich für politische Werbung: Die Ausrichtung politischer Anzeigen unter Verwendung personenbezogener Daten, insbesondere besonderer Kategorien wie politischer Meinungen, erfordert in der Regel eine DSFA
- Muss im Voraus durchgeführt werden: Die Abschätzung muss vor Beginn der Verarbeitung durchgeführt werden, nicht nachdem Kampagnen bereits laufen
- Identifiziert und mindert Risiken: DSFAs ermitteln systematisch Datenschutzrisiken und helfen Organisationen, geeignete technische und organisatorische Maßnahmen umzusetzen
- Kann Konsultation der Behörde erfordern: Wenn Risiken nach Umsetzung von Abhilfemaßnahmen weiterhin hoch bleiben, müssen Organisationen ihre Datenschutzbehörde konsultieren, bevor sie fortfahren
- Weist Compliance nach: Die Durchführung und Dokumentation von DSFAs ist Teil des Grundsatzes der Rechenschaftspflicht nach der DSGVO und zeigt proaktive Compliance
Datenschutz-Folgenabschätzung vs. Risikobewertung
Obwohl beide Verfahren Risiken bewerten, ist eine Datenschutz-Folgenabschätzung eine spezifische gesetzliche Anforderung nach der DSGVO, die sich auf Datenschutz- und Datenschutzrisiken für natürliche Personen konzentriert. Eine allgemeine Risikobewertung kann umfassendere organisatorische oder geschäftliche Risiken abdecken, wie Reputationsschäden, finanzielle Verluste oder operative Sicherheit.
Eine DSFA untersucht konkret, wie Verarbeitungsvorgänge die Rechte und Freiheiten natürlicher Personen beeinträchtigen, unter Berücksichtigung von Faktoren wie Art, Umfang, Umständen und Zwecken der Verarbeitung. Sie erfordert spezifische Inhalte, einschließlich einer Beschreibung der Verarbeitungsvorgänge, Beurteilungen von Notwendigkeit und Verhältnismäßigkeit, ermittelter Risiken und geplanter Schutzmaßnahmen.
Nach der Verordnung 2024/900 über politische Werbung müssen Organisationen auch systemische Risikobewertungen durchführen, wenn sie als sehr große Online-Plattformen (VLOPs) qualifizieren, diese sind jedoch von DSFAs getrennt, obwohl sich die Ergebnisse gegenseitig beeinflussen können.