IX - Datenschutzfolgeabschätzung & besondere Datenverarbeitungssituation

DSFA

bei Datenverarbeitung mit hohem Risiko für Rechte und Feiheiten natürlicher Personen

• Verantwortlicher muss vorab Abschätzung der Folgen der vorgesehenen Verabreitungsvorgänge machen

Eine DSFA für mehrere ähnliche Verarbeitungsvorgänge wenn sinnvoll

systematische Bewertung persönlicher Aspekte natürlicher Personen, die als Grundlage für Entscheidungen dient, die Rechtswirkungen gegenüber natürlicher Personen entfalten

umfangreiche Verarbeitung besonderer Kategorien pbD

systematische, umfangreiche Überwachung öffentlich zugänglicher Bereiche

wenn 2 von 9 Kriterien zutreffen

Bewerten oder Einstufen

Automatisierte Entscheidungsfindung mit Rechtswirkung

Systematische Überwachung

Vertrauliche Daten

Datenverarbeitung im großen Umfang

Abgleichen oder Zusammenführen von Datensätzen

Daten zu schutzbedürftigen betroffenen Personen

Innovatie Nutzung neuer technologischer oder organisatorischer lösung

Fälle in denen die Verarbeitung an sich die betroffene Person an der Ausübung eines Rechtes oder der Nutzung einer Dienstleistung hindert

Vorbereitungsphase (systematische Beschreibung)

Bewerungsphase

Maßnahmenphase (zur Bewältigung der Risiken geplante Abhilfemaßnahmen)

muss am Ende alle Datenschutzrelevante Sachverahltsmerkmale und eine umfassende Technikbeschreibung erfassen

Normative:

• Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge

Risikobewertung:

• Bewertung der Risiken für Rechte und Freiheiten der betroffenen Person

• Risikoquellen

• potentielle Bedrohungen und Auswirkungen

• Eintrittwahrscheinlichkeit und Schwere der Risiken

gezielte und effektive Maßnahmen um ein angemessenes Datenschutzniveau zu erreichen

Hohe Genauigkeit bei der Beschreibung der Maßnahmen

wenn weiterhin hohes Risiko besteht wird Datenverarbeitung nicht vorgenommen

alle relevanten Infos werden der Behörde bereit gestellt

Aufsichtbehörde stellt fest ob mit Maßnahmen noch ein hohes Risiko vorliegt

Verantwortliche müssen überprüfen ob Maßnahmen durchgeführt werden

Alle Entscheidungen müssen dokumentiert werden

Ausnahmen gelten nicht für kommerzielle Zwecke der Datenverarbeitung