wann bin ich verpflichtet, eine Datenschutz-Folgenabschätzung durchzuführen

Eine DPIA ist erforderlich bei Verarbeitung mit hohem Risiko

Eine DPIA – eine Datenschutz-Folgenabschätzung – ist erforderlich, wenn eine Verarbeitung wahrscheinlich ein hohes Risiko für die Rechte und Freiheiten der Personen darstellt, deren Daten verarbeitet werden. Dies ist keine feste Liste von Aktivitäten, die überall genau gleich ist, sondern eine Bewertung, die mit Art, Umfang, Kontext und Zweck der Verarbeitung beginnt. Großflächige Verarbeitung sensibler Daten, strukturierte und systematische Überwachung von Personen an einem öffentlich zugänglichen Ort und Verarbeitungen, die zu automatisierten Entscheidungen mit erheblichen Folgen führen, sind Beispiele, die häufig als Situationen genannt werden, in denen ein hohes Risiko wahrscheinlich ist.

Für ein gewöhnliches Einzelunternehmen oder KMU, das Kundendaten, Personaldaten oder ein Buchhaltungssystem verwaltet, ist eine erforderliche DPIA normalerweise nicht erforderlich – diese Verarbeitungen sind typischerweise nicht großflächig oder systematisch genug, um als hohes Risiko zu gelten. Sobald beispielsweise mit Gesundheitsdaten in größerem Umfang, Kameraüberwachung öffentlicher Räume oder Profilbildung, die Auswirkungen auf Einzelne hat, gearbeitet wird, ändert sich das Bild. Wer unsicher ist, ob eine Verarbeitung in diese Kategorie fällt, kann diese Bewertung am besten basierend auf demselben Überblick untermauern, der auch für das Verarbeitungsregister erstellt wird: für jede Verarbeitung ist dann bereits festgehalten, was der Zweck, der Umfang und die betroffenen Daten sind, und das ist genau die Information, die eine Risikobewertung benötigt.

Worauf dies basiert: Artikel 6 DSGVO und die Aufsichtsbehörde

Die Verpflichtung zur Durchführung einer DPIA ergibt sich aus der DSGVO und ist an die Rechtsgrundlage des Artikels 6 DSGVO gebunden: Nur wenn bereits eine rechtmäßige Grundlage für die Verarbeitung festgestellt wurde, ist die Anschlussfrage relevant, ob diese Verarbeitung auch ein hohes Risiko mit sich bringt. Aufsichtsbehörden geben dabei weitere Hinweise darauf, welche Verarbeitungen in der Praxis als hohes Risiko angesehen werden; in den Niederlanden tut dies die Autoriteit Persoonsgegevens mit eigenen Listen und Erläuterungen, während die Aufsichtsbehörde in einem anderen Mitgliedstaat eine etwas andere Liste verwenden kann – was überall gleich bleibt, ist die Norm der Verordnung selbst, was unterschiedlich ist, ist die nationale Auslegung, welche Verarbeitungen darunter fallen. Wer unsicher ist, ob sein Unternehmen aufgrund des Umfangs der Verarbeitung einen separaten Datenschutzbeauftragten benötigt, findet einen Ansatzpunkt in der Erläuterung zur Datenschutzbeauftragten-Pflicht, denn diese beiden Fragen – DPIA und Datenschutzbeauftragter – hängen oft mit demselben Umfang und derselben Risikobewertung der Verarbeitung zusammen.