Datenschutz-Folgenabschätzung
Definition
Die Datenschutz-Folgenabschätzung (DSFA) ist ein strukturiertes Verfahren zur frühzeitigen Identifikation und Bewertung von Datenschutzrisiken vor der Einführung neuer Technologien oder Verarbeitungsprozesse, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen erzeugen. Sie ist nach Art. 35 DSGVO für bestimmte Verarbeitungstätigkeiten verpflichtend — insbesondere beim Einsatz von Profiling, automatisierten Entscheidungen oder der Verarbeitung besonderer Datenkategorien in großem Umfang. Im NIS2-Kontext ist die DSFA besonders relevant für betroffene Einrichtungen im Gesundheitssektor, die umfangreiche Patientendaten verarbeiten, sowie bei der Implementierung neuer Sicherheitsüberwachungstechnologien. DSFA und NIS2-Risikoanalyse sind komplementäre, nicht redundante Prozesse: Die DSFA schützt Betroffenenrechte, die NIS2-Risikoanalyse schützt die Betriebskontinuität.
Rechtsgrundlage
Die DSFA ist in Art. 35 DSGVO unmittelbar rechtsverbindlich geregelt, ergänzt durch die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zu DSFA-Pflichten. § 30 Abs. 1 BSIG berührt die DSFA indirekt: Bei der Einführung neuer Sicherheitsmaßnahmen, die personenbezogene Daten verarbeiten (z. B. SIEM-Logging, Videoüberwachung, Biometrie), kann eine DSFA-Pflicht entstehen. Die Aufsichtsbehörden (Landesdatenschutzbeauftragte) haben Positivlisten veröffentlicht, die konkrete Verarbeitungstätigkeiten benennen, für die eine DSFA zwingend erforderlich ist.
Praktische Implikation
Etablieren Sie einen internen DSFA-Prozess, der neue Verarbeitungsvorhaben systematisch auf DSFA-Pflichtigkeit prüft — idealerweise als Bestandteil des Projektgenehmigungsverfahrens, bevor Beschaffung oder Implementierung beginnen. Führen Sie DSFA und NIS2-Risikoanalyse für Verarbeitungsvorhaben mit Sicherheitsbezug gemeinsam durch, um Synergien zu nutzen und Doppelarbeit zu vermeiden. Dokumentieren Sie DSFAs vollständig, da die zuständige Datenschutzbehörde auf Anfrage jederzeit Einsicht verlangen kann. Beziehen Sie den Datenschutzbeauftragten bei der DSFA frühzeitig ein, da seine Einbindung gesetzlich vorgeschrieben ist und nachgewiesen werden muss. Aktualisieren Sie bestehende DSFAs bei wesentlichen Änderungen der Verarbeitungstätigkeit oder des Risikoumfelds.
Verwandte Begriffe
Verwandte Inhalte
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen