Die Folgenabschätzung: wann sie Pflicht ist
Bei voraussichtlich hohem Risiko verlangt Art. 35 DSGVO eine Folgenabschätzung, bevor die Verarbeitung beginnt. Die Hürde ist niedriger, als viele annehmen – und der Zeitpunkt ist der eigentliche Knackpunkt.
Die Folgenabschätzung ist keine Prüfung im Nachhinein, sondern ein Planungswerkzeug. Sie soll Risiken sichtbar machen, solange sich das Vorhaben noch ändern lässt – und genau deshalb muss sie vor dem Beginn der Verarbeitung vorliegen, nicht nach der ersten Beschwerde.
Wann sie zwingend ist
Art. 35 Abs. 3 nennt drei Fälle, in denen sie immer nötig ist: umfangreiche Bewertung persönlicher Aspekte durch automatisierte Verarbeitung, umfangreiche Verarbeitung besonderer Datenkategorien, und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Daneben führt jede Aufsichtsbehörde eine eigene Liste von Verarbeitungen, für die eine Abschätzung verpflichtend ist. Diese Listen sind veröffentlicht und der schnellste Einstieg in die Frage.
Die Faustregel des Europäischen Datenschutzausschusses
Was in das Dokument gehört
- Die Beschreibung der geplanten Verarbeitung: Zwecke, Datenarten, Betroffene, Empfänger, Fristen, eingesetzte Technik.
- Die Bewertung der Notwendigkeit und Verhältnismäßigkeit – lässt sich der Zweck mit weniger Daten erreichen?
- Die Risiken für die Rechte und Freiheiten – aus Sicht der betroffenen Personen, nicht aus Sicht des Unternehmens.
- Die geplanten Abhilfemaßnahmen und das verbleibende Restrisiko nach ihrer Umsetzung.
Wenn das Restrisiko hoch bleibt
Bleibt nach allen geplanten Maßnahmen ein hohes Risiko bestehen, verlangt Art. 36 die vorherige Konsultation der Aufsichtsbehörde. Diese hat acht Wochen Zeit für eine Antwort, verlängerbar um sechs weitere. Die Verarbeitung darf bis dahin nicht beginnen.
In der Praxis ist diese Konsultation selten – nicht weil hohe Restrisiken selten wären, sondern weil ein Vorhaben in aller Regel angepasst wird, sobald die Abschätzung das Risiko sichtbar macht. Genau das ist ihr Zweck.
Eine Folgenabschätzung, die zu dem Ergebnis kommt, dass alles in Ordnung ist, war entweder überflüssig oder zu spät.