DSFA und Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung (DSFA) ist ein strukturierter Prozess, der gemäß Artikel 35 der DSGVO für Verarbeitungsaktivitäten erforderlich ist, die ein hohes Risiko für die personenbezogenen Daten natürlicher Personen darstellen. Eine DSFA erfasst Art, Umfang, Kontext und Zwecke der Verarbeitung; beurteilt Notwendigkeit, Verhältnismäßigkeit und Compliance-Maßnahmen; identifiziert und bewertet Risiken für die Rechte und Freiheiten der betroffenen Personen; und legt Maßnahmen zur Bewältigung dieser Risiken fest (Sicherheitskontrollen, Pseudonymisierung, Datenminimierung, Aufbewahrungsgrenzen). Zu den unterstützenden Ressourcen gehören Datenflusskarten (wie personenbezogene Daten durch Systeme und über Grenzen hinweg übertragen werden), Bewertungen berechtigter Interessen und Register von Drittverarbeitern.

DSFAs sind gemäß Artikel 35 DSGVO für Verarbeitungen gesetzlich vorgeschrieben, die voraussichtlich ein hohes Risiko für Einzelpersonen darstellen – einschließlich systematischer Profilerstellung, groß angelegter Verarbeitung besonderer Datenkategorien und systematischer Überwachung öffentlich zugänglicher Bereiche. Das Versäumnis, eine erforderliche DSFA durchzuführen, kann zu behördlichen Strafen führen und ist ein Beweis für mangelnde Rechenschaftspflicht – ein wichtiger Grundsatz der DSGVO. Über die Einhaltung gesetzlicher Vorschriften hinaus zeigen DSFAs gegenüber Aufsichtsbehörden und betroffenen Personen, dass die Organisation Datenschutzrisiken systematisch berücksichtigt und angegangen hat. Sie werden auch zunehmend von Nicht-EU-Datenschutzgesetzen (brasilianisches LGPD, britische DSGVO, kalifornische CPRA) und von Versicherungsanbietern als Nachweis für das Datenschutzrisikomanagement gefordert.

Vollständige DPIA-Berichte decken die gesamte Bewertung ab – Verarbeitungsbeschreibung, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Risikoidentifizierung, Konsultationsaufzeichnungen (mit dem Datenschutzbeauftragten und, sofern erforderlich, der Aufsichtsbehörde) und Abhilfemaßnahmen. Datenflusskarten und Inventare zeigen, wie sich personenbezogene Daten durch Systeme, über Grenzen hinweg und zwischen Prozessoren bewegen – und unterstützen so Aufzeichnungen über Verarbeitungsaktivitäten (ROPA) und die Bereitschaft zur Meldung von Verstößen. Beurteilungen berechtigter Interessen (LIAs) sind dreiteilige Beurteilungen, die für die Verarbeitung erforderlich sind und sich auf berechtigte Interessen als Rechtsgrundlage gemäß Artikel 6 Absatz 1 Buchstabe f der DSGVO stützen. Drittanbieter-Verarbeiterregister verfolgen alle Datenverarbeiter und Unterauftragsverarbeiter, einschließlich des Status der Datenverarbeitungsvereinbarung (DPA), der Übertragungsmechanismen und des Standorts – erforderlich für die fortlaufende DSGVO-Rechenschaftspflicht.

DPIan-Assets, Datenflusskarten und Prozessorregister werden auf Sustalium hochgeladen und mit den relevanten Datenschutz-Compliance-Frameworks verknüpft. Datenschutznachweise stellen eine Verbindung zu DSGVO-Compliance-Aufzeichnungen, Verfahren zu den Rechten betroffener Personen und Protokollen zur Meldung von Verstößen her. Sustalium verfolgt DPIA-Überprüfungspläne – DPIAs müssen überprüft werden, wenn sich Verarbeitungsvorgänge erheblich ändern – und markiert auslaufende DPIAs zur Neubewertung. Auftragsverarbeiterregister sind mit Beschaffungsunterlagen verknüpft, sodass neue Auftragsverarbeiteraufträge automatisch DPIA-Überprüfungsanforderungen auslösen. Für Organisationen, die in mehreren Gerichtsbarkeiten tätig sind, ordnet Sustalium die Datenschutz-Compliance-Anforderungen den geltenden nationalen Umsetzungen der DSGVO und anderen Datenschutzgesetzen zu.

Die DSGVO ist der primäre Rahmen – Artikel 35 erfordert DSFAs, Artikel 30 erfordert Aufzeichnungen über Verarbeitungsaktivitäten, Artikel 32 erfordert aufgezeichnete Sicherheitsmaßnahmen und Artikel 33 erfordert aufgezeichnete Verfahren zur Meldung von Verstößen. Das EU-KI-Gesetz verlangt DPIA-ähnliche Folgenabschätzungen für Hochrisiko-KI-Systeme. DORA erfordert IKT-Risikobewertungen, die sich mit der DPIA-Datenverarbeitungszuordnung überschneiden. Die ePrivacy-Richtlinie schreibt Datenschutzbewertungen für die Verarbeitung elektronischer Kommunikation vor. Nicht-EU-Datenschutzgesetze, einschließlich der britischen DSGVO, der brasilianischen LGPD, der kalifornischen CPRA und der chinesischen PIPL, haben alle DPIA oder gleichwertige Anforderungen. ISO 27701 (Privacy Information Management) erfordert aufgezeichnete Datenschutz-Folgenabschätzungsprozesse.