DSFA-Schwellwerttest
Nicht jede Verarbeitung braucht eine Datenschutz-Folgenabschätzung — aber wer sie zu Unrecht auslässt, verstößt gegen Art. 35 DSGVO. Der Schwellwerttest führt Sie durch die drei gesetzlichen Regelbeispiele und die neun Risikokriterien der EDSA-Leitlinie WP248 rev.01. Sie erhalten eine begründete Einschätzung, die Sie als Dokumentation Ihrer Prüfung weiterverwenden können.
Ohne Anmeldung · läuft in Ihrem Browser · keine Eingabe wird übertragen
Trifft eines dieser drei Beispiele zu, ist die DSFA ohne weitere Prüfung verpflichtend.
Indikatoren für ein voraussichtlich hohes Risiko im Sinne von Art. 35 Abs. 1 DSGVO. Faustregel der Leitlinie: ab zwei erfüllten Kriterien ist in der Regel eine DSFA durchzuführen.
Kreuzen Sie an, was auf die geplante Verarbeitung zutrifft. Die Auswertung erscheint hier.
Nach Art. 35 Abs. 1 DSGVO muss der Verantwortliche vorab eine Datenschutz-Folgenabschätzung durchführen, wenn eine Form der Verarbeitung — insbesondere bei Verwendung neuer Technologien — aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele, in denen eine DSFA jedenfalls erforderlich ist; die Aufsichtsbehörden veröffentlichen nach Art. 35 Abs. 4 DSGVO zusätzlich Listen von Verarbeitungsvorgängen, für die eine DSFA zwingend durchzuführen ist. Bei der Durchführung ist nach Art. 35 Abs. 2 DSGVO der Rat des Datenschutzbeauftragten einzuholen, sofern ein solcher benannt wurde. Ergibt die DSFA ein hohes Risiko, das der Verantwortliche nicht durch Maßnahmen eindämmen kann, ist vor der Verarbeitung die Aufsichtsbehörde nach Art. 36 DSGVO zu konsultieren.
Nur zur Orientierung — keine Rechtsberatung. Der Test bildet die Regelbeispiele des Art. 35 Abs. 3 DSGVO und die Kriterien der Leitlinie WP248 rev.01 ab; die Schwellwertprüfung bleibt eine Einzelfallentscheidung des Verantwortlichen. Die Muss-Listen der zuständigen Aufsichtsbehörde nach Art. 35 Abs. 4 DSGVO sind zusätzlich zu prüfen und können eine DSFA auch dann verpflichtend machen, wenn dieser Test kein hohes Risiko anzeigt.
Häufige Fragen
- Wann ist eine Datenschutz-Folgenabschätzung verpflichtend?
- Immer dann, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele, in denen das ohne weitere Prüfung anzunehmen ist: die systematische und umfassende Bewertung persönlicher Aspekte als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung, die umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 Abs. 1 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10, sowie die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Hinzu kommen die nach Art. 35 Abs. 4 DSGVO veröffentlichten Listen der Aufsichtsbehörden. Verstöße gegen Art. 35 und 36 DSGVO können nach Art. 83 Abs. 4 lit. a DSGVO mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
- Was besagt die Faustregel „ab zwei Kriterien“?
- Die Leitlinie WP248 rev.01 der Artikel-29-Datenschutzgruppe, die der Europäische Datenschutzausschuss übernommen hat, benennt neun Kriterien für eine voraussichtlich risikoreiche Verarbeitung: Bewerten oder Einstufen, automatisierte Entscheidungsfindung mit Rechtswirkung, systematische Überwachung, vertrauliche oder höchst persönliche Daten, Verarbeitung in großem Umfang, Abgleichen oder Zusammenführen von Datensätzen, Daten schutzbedürftiger Betroffener, innovative Nutzung neuer Technologien sowie die Verhinderung der Betroffenen an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung oder eines Vertrags. Als Faustregel gilt: Erfüllt eine Verarbeitung zwei oder mehr dieser Kriterien, ist in der Regel eine DSFA durchzuführen. Auch ein einzelnes Kriterium kann je nach Art, Umfang, Umständen und Zwecken der Verarbeitung genügen.
- Muss ich auch ein negatives Ergebnis dokumentieren?
- Ja. Kommt die Schwellwertprüfung zu dem Ergebnis, dass keine DSFA erforderlich ist, gehört diese Negativ-Entscheidung zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können, und dazu zählt die Begründung, warum kein voraussichtlich hohes Risiko angenommen wurde. Halten Sie Datum, geprüfte Kriterien, Begründung und den einbezogenen Datenschutzbeauftragten schriftlich fest — sonst steht im Prüfungsfall Aussage gegen Aussage.
- Wann muss die DSFA durchgeführt werden?
- Vor Beginn der Verarbeitung. Art. 35 Abs. 1 DSGVO verlangt die Abschätzung „vorab“ für die vorgesehenen Verarbeitungsvorgänge — sie ist ein Planungsinstrument, kein nachträglicher Bericht. In der Praxis heißt das: vor dem Rollout eines neuen Systems, vor dem Produktivstart einer neuen Auswertung, vor der Einführung eines neuen Verfahrens. Ändern sich das Risiko oder die Verarbeitung wesentlich, ist die DSFA nach Art. 35 Abs. 11 DSGVO zu überprüfen.
- Welche Rolle spielt der Datenschutzbeauftragte?
- Der Verantwortliche holt bei der Durchführung einer DSFA nach Art. 35 Abs. 2 DSGVO den Rat des Datenschutzbeauftragten ein, sofern ein solcher benannt wurde. Der Datenschutzbeauftragte berät nach Art. 39 Abs. 1 lit. c DSGVO im Zusammenhang mit der Datenschutz-Folgenabschätzung und überwacht ihre Durchführung. Die Entscheidung selbst bleibt beim Verantwortlichen — weicht er vom Rat des Datenschutzbeauftragten ab, sollte das mit Begründung dokumentiert werden.
- Was passiert, wenn trotz Maßnahmen ein hohes Risiko bleibt?
- Dann greift die vorherige Konsultation nach Art. 36 DSGVO: Der Verantwortliche konsultiert vor der Verarbeitung die Aufsichtsbehörde, wenn aus der DSFA hervorgeht, dass die Verarbeitung ohne risikoeindämmende Maßnahmen ein hohes Risiko zur Folge hätte. Die Aufsichtsbehörde antwortet nach Art. 36 Abs. 2 DSGVO binnen acht Wochen; die Frist kann um sechs Wochen verlängert werden. Bis zur Antwort ist die Verarbeitung in der Regel zurückzustellen — planen Sie diesen Zeitraum in Ihren Projektplan ein.