Eine DPIA, vollständig eine Datenschutz-Folgenabschätzung, ist eine Risikobewertung, die Sie im Voraus durchführen, wenn eine Verarbeitung personenbezogener Daten wahrscheinlich ein hohes Risiko für die Personen mit sich bringt, deren Daten betroffen sind. Die DSGVO verpflichtet zu dieser Analyse nicht bei jeder Verarbeitung, sondern gezielt bei Verarbeitungen, die aufgrund ihrer Art, ihres Umfangs, ihres Kontextes oder ihres Zwecks erhebliche Auswirkungen haben können — denken Sie an großflächige Überwachung, systematische Profilierung oder die Verarbeitung besonderer Daten wie Gesundheitsdaten in großem Umfang.
Ob Ihr Unternehmen eine DPIA durchführen muss, hängt davon ab, was Sie genau mit den Daten tun, nicht von Ihrer Größe als Unternehmen. Ein Solopreneur, der in kleinem Maßstab Kameras in einem Geschäft aufhängt, fällt in der Regel nicht unter diese Verpflichtung; ein KMU, das mit KI-Software im großen Maßstab das Kundenverhalten analysiert oder Bewerber screent, kommt schneller in die Lage einer obligatorischen DPIA. Die Autoriteit Persoonsgegevens veröffentlicht eine Liste mit Verarbeitungen, für die diese Analyse nach ihrer Einschätzung immer erforderlich ist; diese Liste ist ein guter Ausgangspunkt, um zu bestimmen, ob Ihre Situation darunter fällt.
Wann ist dies für KMU relevant
Die meisten KMU entgehen einer formalen DPIA, einfach weil ihre Verarbeitungen nicht den Umfang oder das Risiko haben, das die DSGVO meint. Dennoch gibt es Situationen, in denen die Frage plötzlich doch relevant wird: die Einführung von Videoüberwachung mit Gesichtserkennung, die Nutzung eines neuen KI-Tools, das automatisch Entscheidungen über Kunden oder Mitarbeiter trifft, oder eine Erweiterung bestehender Software, mit der Sie plötzlich in viel größerem Umfang Daten erfassen als zuvor.
Es ist also nicht so sehr der Sektor, der bestimmt, ob eine DPIA erforderlich ist, sondern die Veränderung in dem, was Sie tun. Eine Personalabteilung, die auf ein Bewerbertool mit automatischer CV-Screening umsteigt, täte gut daran, sich zu fragen, ob dieser Wechsel unter die Kriterien fällt. Dasselbe gilt für einen Büromanager, der erwägt, ein neues SaaS-Tool einzusetzen, das das Verhalten von Besuchern auf der Website verfolgt und mit anderen Datenquellen kombiniert.
Was muss eine DPIA enthalten
Eine DPIA beschreibt systematisch, was passiert: welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, und wer Zugriff auf die Daten hat. Anschließend kartiert die Analyse die Risiken für die betroffenen Personen — was kann schiefgehen, und wie groß sind die Wahrscheinlichkeit und die Auswirkungen davon. Der letzte Teil ist die Maßnahme: welche technischen oder organisatorischen Schritte werden unternommen, um diese Risiken zu verringern, und bleibt nach diesen Maßnahmen noch ein Risiko übrig, das nicht zu beseitigen ist.
Dieser letzte Punkt ist wichtig: Wenn eine DPIA zeigt, dass auch nach Maßnahmen ein hohes Risiko verbleibt, schreibt die DSGVO vor, dass Sie dies dem Aufsichtsorgan vorlegen, bevor Sie die Verarbeitung aufnehmen. Das ist eine Ausnahme, keine Standardmaßnahme, aber es ist der Grund, warum eine DPIA nicht etwas ist, das Sie einfach im Nachhinein ausfüllen.
Die Beziehung zum Verarbeitungsverzeichnis
Eine DPIA steht nicht isoliert von Ihrer übrigen DSGVO-Dokumentation. Die Verarbeitung, für die Sie die Analyse durchführen, sollte auch einen Platz bekommen in der Wissensdatenbank, in der Risiken pro Verarbeitung ausgearbeitet sind, so dass klar bleibt, welche Verarbeitungen zusätzliche Aufmerksamkeit benötigen und welche nicht. Wer das Verarbeitungsverzeichnis bereits in Ordnung hat, sieht oft von selbst, welche Verarbeitungen hinsichtlich Umfang oder Sensibilität näher an der DPIA-Schwelle liegen als andere.
Es ist auch ein guter Moment, die Verträge zur Auftragsverarbeitung, die zu dieser Verarbeitung gehören, noch einmal zu überprüfen: Ein externer Partner, der die Daten verarbeitet, für die Sie eine DPIA in Betracht ziehen, ist oft auch der Partner, bei dem die größten Risiken entstehen, wenn etwas schiefgeht. Genau wie bei einem möglichen Datenschutzvorfall ist es sinnvoll, vorher zu wissen, wo Sie stehen, statt hinterher herausfinden zu müssen, was genau vereinbart wurde.
Was ist, wenn Sie unsicher sind
Die Grenze zwischen "wahrscheinlich keine DPIA erforderlich" und "besser zuerst analysieren" ist nicht immer scharf, und die DSGVO lässt hier bewusst Raum für eigene Abwägung. Im Zweifelsfall ist es ratsam, die Leitlinien der Autorität Persoonsgegevens zu konsultieren oder einen Juristen zu bitten, sich Ihre spezifische Situation anzusehen. Diese Seite beschreibt die allgemeine Linie der Verordnung; sie ist kein Ersatz für diese Beratung.
Möchten Sie zunächst einen Eindruck davon bekommen, wie sich Ihre eigenen Verarbeitungen zu der Risikobewertung verhalten, die die DSGVO vornimmt? Machen Sie den kostenlosen Quick-Scan oder blättern Sie durch die häufig gestellten Fragen zum Verarbeitungsverzeichnis und seiner Überwachung um zu sehen, welcher Schritt für Ihr Unternehmen am naheliegendsten ist.