Eine Datenschutz-Folgenabschätzung oder DSFA ist eine schriftliche Bewertung, die Ihr Unternehmen vornehmen sollte, um die Auswirkungen eines geplanten Verarbeitungsvorgangs zu bewerten. Es hilft Ihnen, geeignete Maßnahmen zur Bewältigung der Risiken zu identifizieren und Compliance nachzuweisen.

Während es immer vorzuziehen ist, die Auswirkungen der geplanten Verarbeitungsvorgänge Ihrer Organisation durch die Durchführung von DSFA zu antizipieren, ist es obligatorisch, eine DSFA durchzuführen, wenn die Verarbeitung wahrscheinlich zu einem hohen Risiko für die Rechte und Freiheiten des Einzelnen führt.

Dies ist insbesondere dann der Fall, wenn die geplante Verarbeitung Folgendes beinhaltet:

• die Verarbeitung – in großem Umfang – sensibler personenbezogener Daten oder Daten im Zusammenhang mit strafrechtlichen Verurteilungen;  
• eine systematische und umfassende Bewertung der persönlichen Aspekte einer Person auf der Grundlage einer automatisierten Verarbeitung, einschließlich Profiling, und auf denen Entscheidungen beruhen, die rechtliche Auswirkungen auf die Person in Fragen haben oder in ähnlicher Weise Personen erheblich betreffen;
• systematische Überwachung eines öffentlich zugänglichen Bereichs in großem Maßstab.

Der EDSA hat Leitlinien entwickelt, in denen die Kriterien aufgeführt sind, die bei der Beurteilung, ob eine DSFA obligatorisch ist oder nicht, zu berücksichtigen sind. Datenschutzbehörden haben auch Listen von Verarbeitungsvorgängen veröffentlicht, die einer DSFA unterliegen. Darüber hinaus haben mehrere Datenschutzaufsichtsbehörden Leitfäden, Software oder Selbsteinschätzungstools entwickelt, die Ihnen bei Ihrer Bewertung helfen.
 

Weitere Informationen:

• Verhalten Sie sich rechtskonform
   

Die DSGVO gibt Einzelpersonen die Kontrolle über die Verarbeitung ihrer personenbezogenen Daten. Um dies zu erreichen, ist Transparenz der Schlüssel. Dies bedeutet, dass Sie Personen informieren müssen, deren Daten Sie über Ihre Verarbeitungsvorgänge und die Zwecke verarbeiten. Mit anderen Worten, Sie müssen erklären, wer ihre Daten verarbeitet, aber auch wie und warum. Nur wenn die Verwendung personenbezogener Daten für die Beteiligten „transparent“ ist, können sie mögliche Risiken einschätzen und Entscheidungen über ihre personenbezogenen Daten treffen.
Gemäß der DSGVO sind Sie verpflichtet, die folgenden Informationen mit Einzelpersonen zu teilen:

• die Identität und die Kontaktdaten des für die Verarbeitung Verantwortlichen;
• die Zwecke der Verarbeitung;
• Rechtsgrundlage der Verarbeitung (wenn berechtigtes Interesse, spezifische Informationen darüber, welche berechtigten Interessen sich auf die spezifische Verarbeitung beziehen und welche Einrichtung jedes berechtigte Interesse verfolgt.)
• die Kontaktdaten des für die Verarbeitung Verantwortlichen;
• die Kontaktdaten des DSB (wenn es einen DSB gibt);
• die Empfänger oder Kategorien von Empfängern der Daten;
• Informationen darüber, ob die Daten außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden (falls zutreffend: das Bestehen oder Nichtvorliegen einer Angemessenheitsentscheidung oder Bezugnahme auf die geeigneten Garantien und wie diese Informationen den betroffenen Personen zur Verfügung gestellt werden können;
• die Kategorien der verarbeiteten personenbezogenen Daten, wenn die Daten nicht von der Person bezogen werden.

Darüber hinaus verlangt die DSGVO, dass Ihr Unternehmen die folgenden Informationen zur Verfügung stellt, um eine faire und transparente Verarbeitung zu gewährleisten:

• die Aufbewahrungsfrist oder, wenn dies nicht möglich ist, die Kriterien für die Festlegung dieses Zeitraums;
• das Recht auf Auskunft, Löschung, Berichtigung, Einschränkung, Widerspruch und Übertragbarkeit personenbezogener Daten
• das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde;
• wenn die Rechtsgrundlage für die Verarbeitung die Einwilligung ist: das Recht, die Einwilligung jederzeit zu widerrufen;
• im Falle einer automatisierten Entscheidungsfindung relevante Informationen über die zugrundeliegende Logik und die beabsichtigten Folgen der Verarbeitung für die betroffene Person;
• die Quelle der personenbezogenen Daten (wenn Sie sie nicht direkt von der betroffenen Person erhalten haben;
• ob die Person verpflichtet ist, die personenbezogenen Daten (gesetzlich oder vertraglich oder vertraglich) zur Verfügung zu stellen, und welche Folgen die Verweigerung der Daten hat.
   

Weitere Informationen:

• Wahrung der Rechte des Einzelnen

Die Verarbeitung personenbezogener Daten ist jede Art von Tätigkeit (Verarbeitung), die auf oder mit personenbezogenen Daten von Einzelpersonen durchgeführt wird. Dies umfasst die Erhebung, Aufzeichnung, Organisation, Strukturierung, Speicherung, Anpassung oder Veränderung, Abruf, Konsultation, Abfrage, Nutzung, Offenlegung durch Übermittlung, Verbreitung oder anderweitige Bereitstellung, Angleichung oder Kombination, Einschränkung, Löschung oder Vernichtung personenbezogener Daten.

DSBs können andere Aufgaben innerhalb der Organisation erfüllen, dies darf jedoch nicht zu einem Interessenkonflikt führen. Dies bedeutet, dass der DSB keine Position haben kann, in der er die Zwecke und Mittel der Verarbeitungstätigkeiten bestimmt. Widersprüchliche Funktionen umfassen hauptsächlich Führungspositionen (Vorstandsvorsitzende, Chief Operating, Chief Financial Officer, Head of HR, Head of IT, Managing Director), aber auch andere Funktionen, wenn sie zur Bestimmung der Zwecke und der Mittel der Verarbeitung führen.

Der DSB muss in der Lage sein, seine Aufgaben und Aufgaben unabhängig wahrzunehmen. Dies bedeutet, dass Ihre Organisation:

• dem DSB keine Weisungen hinsichtlich der Erfüllung seiner Aufgaben erteilen dürfen;
• den DSB nicht für die Erfüllung seiner Aufgaben bestrafen oder entlassen darf.

Weitere Informationen:

• Datenschutzbeauftragter
   

Ein gültiger Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter ist nach der DSGVO verpflichtend. Gegen eine Zuwiderhandlung kann eine Geldbuße von bis zu 10 Mio. EUR oder bis zu 2 % des Gesamtjahresumsatzes eines Unternehmens verhängt werden, je nachdem, welcher Wert höher ist.

Die dänischen und slowenischen Datenschutzbehörden sowie die Europäische Kommission haben Mustervereinbarungen entwickelt.
 

Weitere Informationen:

• Verantwortlicher oder Auftragsverarbeiter
   

Zu den Aufgaben des DSB gehören unter anderem:

• die Organisation und ihre Mitarbeiter über die Einhaltung des Datenschutzes zu informieren und zu beraten;
• Überwachung der Einhaltung des Datenschutzes;
• Beratung zu Anträgen im Zusammenhang mit der Datenschutz-Folgenabschätzung (DSFA);
• als Kontaktstelle für die Datenschutzbehörde zu fungieren und mit dieser Datenschutzbehörde zusammenzuarbeiten;
• als Anlaufstelle für Einzelpersonen zu fungieren.

Darüber hinaus wird die Anwesenheit des DSB generell empfohlen, wenn Entscheidungen mit datenschutzrechtlichen Auswirkungen getroffen werden. Der Datenschutzbeauftragte sollte auch unverzüglich konsultiert werden, sobald eine Datenschutzverletzung oder ein anderer Vorfall aufgetreten ist.

Weitere Informationen:

• Datenschutzbeauftragter
   

Die Einhaltung der DSGVO wird von den nationalen Datenschutzaufsichtsbehörden überwacht. Datenschutzaufsichtsbehörden können Ermittlungen durchführen und gegebenenfalls Sanktionen verhängen. Ihnen stehen eine Reihe von Instrumenten zur Verfügung, darunter Geldbußen bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist, Verweise und vorübergehende oder dauerhafte Verarbeitungsverbote.

Die Kontaktdaten aller Datenschutzaufsichtsbehörden des EWR finden Sie auf der Website des EDSA: Mitglieder

Weitere Informationen:

• Datenschutzbehörden & Sie

• Jede Verarbeitung personenbezogener Daten muss rechtmäßig, fair und transparent sein.
• Personenbezogene Daten werden nur zu bestimmten, expliziten und legitimen Zwecken erhoben. Die Verarbeitung der Daten einer Person muss streng auf den ursprünglich festgelegten Zweck beschränkt sein und daher nicht für nachfolgende oder andere Zwecke verarbeitet werden, die mit den ursprünglichen Zwecken unvereinbar sind.
• Verarbeitung personenbezogener Daten müssen im Hinblick auf den vorgesehenen Zweck erforderlich und verhältnismäßig sein.
• Alle von Ihnen verarbeiteten personenbezogenen Daten müssen korrekt sein und auf dem neuesten Stand gehalten werden. Ungenaue personenbezogene Daten müssen berichtigt oder gelöscht werden.
• Die Speicherung der personenbezogenen Daten von Einzelpersonen muss zeitlich begrenzt sein, und zwar im Hinblick auf den Zweck, zu dem diese Daten erhoben und verarbeitet wurden. Als solche müssen personenbezogene Daten von Einzelpersonen gelöscht oder anonymisiert werden, sobald diese Daten nicht mehr erforderlich sind.
• Die Verarbeitung der personenbezogenen Daten muss auf sichere Weise erfolgen. In diesem Sinne müssen robuste Cybersicherheitsmaßnahmen eingerichtet werden, um sicherzustellen, dass die Daten von Einzelpersonen angemessen geschützt werden.

Schließlich ist der Controller rechenschaftspflichtig. Dies bedeutet, dass sie für die Einhaltung der oben genannten Grundsätze verantwortlich sind und in der Lage sein müssen, dies nachzuweisen.

Weitere Informationen:

• Datenschutzgrundlagen
   

Die DSGVO erlegt allen Organisationen, die personenbezogene Daten verarbeiten, Verpflichtungen auf, unabhängig davon, ob sie für die Datenverarbeitung Verantwortliche oder Auftragsverarbeiter sind.
Insbesondere sollten Sie:

• sich fragen, ob der Zweck, für den personenbezogene Daten erhoben werden können, gerechtfertigt ist, und Sie nur personenbezogene Daten erheben, die für den/die vorgesehenen Zweck(e) erforderlich sind;
• die personenbezogenen Daten der Personen auf dem neuesten Stand halten und die Daten löschen, wenn dies nicht mehr erforderlich ist;
• die Rechte des Einzelnen respektieren, indem sie diese darüber informieren, wie und warum ihre Daten verarbeitet werden, und dass sie ihre Rechte ausüben können;
• Sie prüfen, ob Sie über eine angemessene Rechtsgrundlage für die Verarbeitung personenbezogener Daten verfügen. Wenn Sie beabsichtigen, sich auf die Einwilligung von Einzelpersonen zu verlassen, bitten Sie um ihre Einwilligung, bevor Sie ihre personenbezogenen Daten verarbeiten;
• Sie sicherstellen, dass die personenbezogenen Daten von Einzelpersonen auf sichere Weise behandelt werden;
• Sie eine Aufzeichnung der Verarbeitungsvorgänge führen.

Die Datenverarbeiter müssen sich an die Verantwortlichkeiten halten, die im Vertrag über die Verarbeitung Verantwortlicher festgelegt sind, und sie dürfen die Daten nicht anders als gemäß den Anweisungen des Verantwortlichen verarbeiten.

Weitere Informationen:

• Verhalten Sie sich rechtskonform
• Verantwortlicher oder Auftragsverarbeiter
• Datenschutzgrundlagen

Cookies sind kleine Dateien, die auf einem Gerät gespeichert werden, wie einem Computer, einem mobilen Gerät oder einem anderen Gerät, das Informationen speichern kann. Cookies dienen einer Reihe wichtiger Funktionen, darunter das Wiedererkennen von Benutzern und deren vorherigen Interaktionen mit einer Website. Sie können verwendet werden, um Artikel in einem Online-Warenkorb zu verfolgen oder Informationen zu verfolgen, wenn Details in ein Online-Antragsformular eingefügt werden.

Authentifizierungs-Cookies sind auch wichtig, um Benutzer zu identifizieren, wenn sie sich bei Bankdiensten und anderen Online-Diensten anmelden. Die in Cookies gespeicherten Informationen können personenbezogene Daten wie eine IP-Adresse, einen Benutzernamen, eine eindeutige Kennung oder eine E-Mail-Adresse umfassen.