Datenschutz-Folgenabschätzung (DSFA)

Aufgaben in dieser Vorlage

1. 1
   Bestätigen, dass eine DSFA erforderlich ist D+1

   Art. 35 Abs. 1 und 3 DSGVO: erforderlich bei voraussichtlich hohem Risiko sowie in den aufgezählten Fällen (systematische Bewertung, umfangreiche Verarbeitung besonderer Kategorien, öffentlich zugängliche Überwachung). Muss-Liste der zuständigen Aufsichtsbehörde prüfen.

2. 2
   Verarbeitungstätigkeit und Projektumfang definieren D+2
3. 3
   Verantwortlichen, Auftragsverarbeiter und Zuständigkeiten identifizieren D+3
4. 4
   Verarbeitung systematisch beschreiben: Art, Umfang, Umstände, Zwecke D+4

   Art. 35 Abs. 7 lit. a DSGVO: systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Verarbeitungszwecke, ggf. einschließlich des verfolgten berechtigten Interesses.

5. 5
   Datenflüsse, Speicherorte und Aufbewahrungsfristen dokumentieren D+6
6. 6
   Rechtsgrundlage für jeden Verarbeitungszweck bestimmen D+7
7. 7
   Notwendigkeit und Verhältnismäßigkeit der Verarbeitung bewerten D+9

   Art. 35 Abs. 7 lit. b DSGVO: Notwendigkeit und Verhältnismäßigkeit im Hinblick auf die Zwecke bewerten. Weniger eingreifende Alternativen prüfen.

8. 8
   Gegebenenfalls betroffene Personen oder deren Vertreter konsultieren D+11
9. 9
   Risiken für Rechte und Freiheiten der betroffenen Personen identifizieren und beschreiben D+13
10. 10
    Eintrittswahrscheinlichkeit und Schwere jedes Risikos bewerten D+14
11. 11
    Maßnahmen zur Bewältigung jedes Risikos identifizieren D+16
12. 12
    Technische und organisatorische Maßnahmen nach Art. 32 bewerten D+18

    Art. 32 DSGVO: Verschlüsselung, Pseudonymisierung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie Verfahren zur regelmäßigen Überprüfung und Bewertung prüfen.

13. 13
    Maßnahmen dokumentieren, die die Einhaltung belegen (Art. 25 — Datenschutz durch Technikgestaltung und durch Voreinstellungen) D+20
14. 14
    Datenschutzbeauftragten konsultieren D+21
15. 15
    Verbleibendes Risiko nach Abhilfe bestimmen D+23

    Bleibt trotz Abhilfe ein hohes Restrisiko, ist die vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO erforderlich.

16. 16
    Einschätzung des DSB und etwaige Meinungsverschiedenheiten dokumentieren D+24
17. 17
    Bei hohem Restrisiko die vorherige Konsultation nach Art. 36 einleiten D+25

    Art. 36 Abs. 3 DSGVO: Der Aufsichtsbehörde sind die DSFA, Zuständigkeiten, Zwecke und Mittel, Maßnahmen und Garantien, Kontaktdaten sowie weitere angeforderte Informationen bereitzustellen.

18. 18
    Freigabe der DSFA-Ergebnisse durch die Geschäftsleitung einholen D+26
19. 19
    DSFA intern veröffentlichen oder mit relevanten Stakeholdern teilen D+27
20. 20
    Ergebnisse in Projektpläne und Systemanforderungen einarbeiten D+28
21. 21
    Regelmäßige Überprüfung der DSFA einplanen (mindestens bei Änderung des Risikoprofils) D+29
22. 22
    DSFA mit Begleitnachweisen archivieren D+30