Muss mein Unternehmen Datenschutz-Folgenabschätzungen nach der DSGVO durchführen?
Does my company have to carry out data protection impact assessment according to the GDPR?
Ab Mai 2018 hat der Auftraggeber (Verantwortliche) schon im Vorfeld eine Datenschutz-Folgenabschätzung durchzuführen, wenn bei einer Form der Verarbeitung personenbezogener Daten, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung, voraussichtlich ein hohes Risiko für die betroffenen Personen besteht. Dabei ist bereits vorab eine Abschätzung der Folgen für den Schutz der personenbezogenen Daten durchzuführen. Dies wird vor allem beim Einsatz neuer Technologien in der Datenverarbeitung der Fall sein. Die Datenschutz-Folgenabschätzung muss zumindest nachfolgende Inhalte enthalten:
Eine systematische Beschreibung der Verarbeitungsvorgänge und deren Zwecke inklusive der verfolgten berechtigten Auftraggeberinteressen
Eine zweckbezogene Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge
Eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen, die durch die Form der Verarbeitung anfallen können
Geplante Maßnahmen zur Risikominimierung, wie Garantien, Sicherheitsvorkehrungen und Verfahren zum Schutz der personenbezogenen Daten
As of May 2018, the responsible person has to carry out a data protection impact assessment in advance, if a form of processing of person-related data causes an anticipated high risk for the affected person due to type, scope, circumstances and purpose of the processing. Here, an assessment of the consequences for the protection of person-related data must be carried out already in advance. This will especially be the case when new technologies in data protection are implemented. The data protection impact assessment must at least contain the following contents:
A systematic description of the processing procedures and their purpose including the employers´ interests
A purpose-related assessment of the necessity and reasonability of the processing procedures
An assessment of the risks and liberties of the affected people, which can result from the type of processing
Planned measures of risk minimisation, such as guarantees, safety precautions and procedures to protect person-related data