DPIA: verpflichtend, wenn die Verarbeitung ein hohes Risiko mit sich bringt

Eine Datenschutz-Folgenabschätzung (DPIA) ist ein strukturiertes Verfahren, mit dem Datenschutzrisiken vor Beginn der Verarbeitung ermittelt und minimiert werden. Sie ist keine freiwillige bewährte Praxis – Artikel 35 der GDPR schreibt sie zwingend vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Typische Auslöser sind die systematische Überwachung von Menschen, beispielsweise durch CCTV in einem Einkaufszentrum, die umfangreiche Verarbeitung besonderer Kategorien von Daten wie Gesundheitsdaten, biometrische Daten oder politische Meinungen oder der neuartige Einsatz neuer Technologien, etwa AI-Profiling zur Kreditwürdigkeitsbewertung. Der entscheidende Unterschied: Für risikoarme Verarbeitungen wie einen Newsletter für Beschäftigte ist keine DPIA erforderlich, für risikoreiche Verarbeitungen hingegen immer.

Um eine Frage zur DPIA schnell zu erkennen, achten Sie im Szenario auf Schlüsselbegriffe wie „systematisch“, „umfangreich“, „sensible Daten“ oder „neue Technologie“. Umfasst die Verarbeitung Profiling, Standortverfolgung oder die Bewertung von Personen, beispielsweise ihrer Arbeitsleistung, ist dies ein Warnsignal für ein hohes Risiko. Ein nützlicher Ausschlusstrick: Wird die DPIA in den Antwortmöglichkeiten als optional bezeichnet, ist dies mit großer Wahrscheinlichkeit falsch, wenn der Sachverhalt ein hohes Risiko erkennen lässt. Ein weiterer Hinweis: Die DPIA muss vor Beginn der Verarbeitung durchgeführt werden, nicht erst nach einer Datenschutzverletzung – eine zeitliche Falle könnte daher versuchen, sie als reaktive Maßnahme darzustellen.

Merken Sie sich den Auslöser mit „HIGH“: H für health/biometric data, also Gesundheits- oder biometrische Daten, I für innovative Technologie, G für groß angelegte Datenerhebung und H für Hochrisiko-Profiling. Sobald einer dieser Faktoren vorliegt, ist die DPIA verpflichtend und nicht lediglich wünschenswert. Fragen Sie sich zum Selbsttest: „Würde diese Verarbeitung bei einem vernünftigen Menschen Datenschutzbedenken auslösen?“ Falls ja, ist eine DPIA erforderlich.