Schluss mit dem Rätselraten, ob Sie eine DSFA benötigen: Automatisierte Compliance-Empfehlungen in Minuten

Das Wichtigste auf einen Blick

Eine Datenschutz-Folgenabschätzung (DSFA) ist ein gesetzlich vorgeschriebener Prozess nach Artikel 35 DSGVO, der immer dann erforderlich ist, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen zur Folge hat. Eine Privacy Impact Assessment (PIA) ist ein breiter angelegtes, freiwilliges Risikomanagement-Instrument zur Bewertung der Datenschutzauswirkungen eines beliebigen Projekts. Zu verstehen, wann welches zur Anwendung kommt – und den Workflow über Tochtergesellschaften hinweg zu automatisieren – ist entscheidend für Compliance-Programme mit mehreren Einheiten, die unter DSGVO, dem revidierten Datenschutzgesetz (revDSG) und ISO 27001 betrieben werden.

Was ist eine DSFA?

Eine Datenschutz-Folgenabschätzung (DSFA) ist ein strukturierter Prozess, der durch Artikel 35 DSGVO vorgeschrieben ist und von Verantwortlichen verlangt, die Auswirkungen von Verarbeitungsvorgängen auf den Schutz personenbezogener Daten zu beurteilen. Sie muss vor Beginn der Verarbeitung durchgeführt werden, wenn die Tätigkeit «voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat». Die EDSA-Leitlinien zu DSFA (WP248 rev.01) nennen neun Kriterien zur Bestimmung, wann eine DSFA erforderlich ist, darunter Bewertung oder Scoring, automatisierte Entscheidungsfindung mit Rechtswirkung, systematische Überwachung und umfangreiche Verarbeitung sensibler Daten.

Was ist eine Privacy Impact Assessment (PIA)?

Eine Privacy Impact Assessment (PIA) ist eine breiter angelegte Risikomanagement-Methodik, die bewertet, wie ein Projekt, System oder Prozess personenbezogene Informationen erhebt, nutzt, weitergibt und schützt. Anders als eine DSFA ist eine PIA nicht durch eine einzelne Verordnung vorgeschrieben, wird jedoch von Rahmenwerken wie ISO/IEC 29134:2023 (Leitlinien für die Privacy Impact Assessment) und NIST SP 800-122 empfohlen. PIA werden häufig in Rechtsräumen ohne DSGVO-gleichwertige DSFA-Anforderungen sowie als frühzeitiges Screening-Instrument verwendet, um festzustellen, ob eine vollständige DSFA erforderlich ist.

DSFA vs. PIA: Vergleichstabelle

Wann ist eine DSFA nach der DSGVO gesetzlich vorgeschrieben?

Artikel 35(3) DSGVO nennt drei Szenarien, in denen eine DSFA stets erforderlich ist: (a) die systematische und umfassende Bewertung persönlicher Aspekte auf der Grundlage automatisierter Verarbeitung, einschliesslich Profiling, die rechtliche Wirkung entfaltet; (b) die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9(1) oder von Daten über strafrechtliche Verurteilungen nach Artikel 10; und (c) die systematische Überwachung eines öffentlich zugänglichen Bereichs in grossem Umfang. Darüber hinaus bieten die neun Kriterien des EDSA weitere Orientierung – erfüllt eine Verarbeitungstätigkeit zwei oder mehr Kriterien, ist in der Regel eine DSFA erforderlich.

Was muss eine DSFA gemäss Artikel 35(7) DSGVO enthalten?

Gemäss Artikel 35(7) DSGVO muss eine DSFA mindestens Folgendes enthalten: (a) eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschliesslich des vom Verantwortlichen verfolgten berechtigten Interesses; (b) eine Beurteilung der Notwendigkeit und Verhältnismässigkeit der Verarbeitungsvorgänge in Bezug auf die Zwecke; (c) eine Beurteilung der Risiken für die Rechte und Freiheiten der betroffenen Personen; und (d) die zur Bewältigung der Risiken geplanten Massnahmen, einschliesslich Garantien, Sicherheitsvorkehrungen und Verfahren zur Gewährleistung des Schutzes personenbezogener Daten.

Verlangt das revidierte Datenschutzgesetz (revDSG) DSFA?

Ja. Das revidierte Datenschutzgesetz (DSG), das am 01.09.2023 in Kraft getreten ist, verlangt nach Artikel 22 eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen zur Folge hat. Zeigt die Beurteilung, dass die geplante Bearbeitung trotz der getroffenen Massnahmen weiterhin ein hohes Risiko birgt, muss der Verantwortliche vor dem Vorgehen den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) konsultieren.

Wie oft sollte eine DSFA überprüft werden?

Artikel 35(11) DSGVO verlangt, dass Verantwortliche eine Überprüfung der DSFA durchführen, «zumindest, wenn hinsichtlich des mit den Verarbeitungsvorgängen verbundenen Risikos Änderungen eingetreten sind». Der EDSA empfiehlt eine fortlaufende Überprüfung, insbesondere wenn sich Art, Umfang, Kontext oder Zwecke der Verarbeitung ändern, neue Technologien eingeführt werden oder sich der organisatorische oder gesellschaftliche Kontext weiterentwickelt. Laut dem IAPP-EY Privacy Governance Report 2023 überprüfen 68 % der Organisationen mit ausgereiften Datenschutzprogrammen ihre DSFA mindestens jährlich.

Welche Sanktionen drohen, wenn eine erforderliche DSFA nicht durchgeführt wird?

Nach Artikel 83(4)(a) DSGVO kann die Unterlassung einer erforderlichen DSFA Geldbussen von bis zu 10 Millionen EUR oder 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens nach sich ziehen, je nachdem, welcher Betrag höher ist. Aufsichtsbehörden in ganz Europa haben diese Bestimmung durchgesetzt. Laut EDSA-Durchsetzungsdaten wurden DSFA-bezogene Verstösse seit 2018 in mehreren Durchsetzungsmassnahmen angeführt.

Statistiken und Branchenkontext

Laut dem IAPP-EY Privacy Governance Report 2023 beschäftigt die durchschnittliche Organisation inzwischen 5,2 Vollzeitkräfte im Datenschutz, gegenüber 3,7 im Jahr 2020 – ein Spiegelbild der wachsenden regulatorischen Komplexität. Derselbe Bericht stellte fest, dass 59 % der Organisationen für alle Verarbeitungstätigkeiten mit hohem Risiko DSFA durchführen. Eine Gartner-Prognose geht davon aus, dass bis 2025 die personenbezogenen Daten von 75 % der Weltbevölkerung durch moderne Datenschutzvorschriften abgedeckt sein werden, was strukturierte Folgenabschätzungen immer wichtiger macht. Der ENISA-Bericht zu Data Protection Engineering betont, dass DSFA in den Systementwicklungszyklus integriert werden sollten, statt als einmaliges Compliance-Häkchen behandelt zu werden.