Datenschutz-Folgenabschätzung

Manche Verarbeitungen greifen tiefer in die Rechte von Menschen ein als andere. Für sie verlangt die DSGVO, die Risiken vorab systematisch zu prüfen und zu dokumentieren. Dieses Verfahren heißt Datenschutz-Folgenabschätzung.

#Wann sie nötig ist

Art. 35 DSGVO nennt Regelbeispiele; die Aufsichtsbehörden veröffentlichen zusätzlich Listen von Verarbeitungen, für die stets eine DSFA nötig ist. Im Kundenservice sind typische Auslöser:

• Systematische Auswertung vieler Gespräche, etwa nach Themen oder Stimmung.
• Automatisierte Entscheidungen oder Profilbildung mit spürbaren Folgen für Kundinnen.
• Besondere Kategorien von Daten, etwa Gesundheitsdaten bei Krankenkassen.
• Neue Technologien wie KI-Agenten, die in Fachsystemen handeln.

Ob eine DSFA nötig ist, entscheidet der Verantwortliche, beraten durch die oder den Datenschutzbeauftragten. Im Zweifel ist sie die sichere Wahl.

#Was hineingehört

1. Beschreibung: Welche Daten, welche Zwecke, welche Systeme und Empfänger?
2. Notwendigkeit: Ist die Verarbeitung für den Zweck erforderlich und verhältnismäßig?
3. Risiken: Was kann für die Betroffenen schiefgehen, wie wahrscheinlich, wie schwer?
4. Maßnahmen: Wie werden die Risiken technisch und organisatorisch begrenzt?

Bleibt trotz Maßnahmen ein hohes Risiko, ist vor Beginn der Verarbeitung die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO).

#Kein einmaliges Dokument

Eine DSFA ist nie ganz fertig. Ändern sich Zwecke, Datenarten oder Technik, etwa weil eine neue KI-Funktion hinzukommt, ist sie zu überprüfen (Art. 35 Abs. 11 DSGVO). Planen Sie deshalb feste Termine für die Überprüfung ein.

#Welche Unterlagen helfen

Die DSFA schreibt der Verantwortliche, nicht der Anbieter. Er braucht aber Material: eine Beschreibung der Plattform und ihrer Datenflüsse, die technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter, Lösch- und Rollenkonzepte.

#Unterstützung durch Univerx

Unterlagen für Ihre DSFA erhalten Sie von Univerx auf Anfrage, zusammen mit dem Vertrag zur Auftragsverarbeitung. Für KI-Funktionen kommen Angaben zu Kennzeichnung, menschlicher Aufsicht und Protokollierung hinzu, siehe EU AI Act. Überblick im Trust Center: DSGVO.