Checkliste für eine Datenschutz-Folgenabschätzung (DPIA)

Was eine DPIA ist und warum sie wichtig ist

Eine Datenschutz-Folgenabschätzung (DPIA) ist eine strukturierte Methode, um genau zu prüfen, wie ein Projekt, System oder eine Aktivität personenbezogene Daten verarbeitet und welche Risiken die Verarbeitung für die betroffenen Personen schaffen könnte. Sie ist wichtig, weil die Art und Weise, wie Sie personenbezogene Daten erheben, nutzen, speichern und löschen, die Rechte und Freiheiten betroffener Personen beeinflussen kann. Das Risiko ist höher, wenn es sich um sensible Daten handelt, beispielsweise um Gesundheitsdaten von Beschäftigten. Die Durchführung einer DPIA hilft Ihnen: - zu erkennen, was vor Beginn der Verarbeitung schiefgehen könnte - die Auswirkungen auf betroffene Personen abzuwägen - Maßnahmen zu wählen und zu dokumentieren, die das Risiko verringern oder beseitigen - die Entscheidung und die genehmigende Stelle zu dokumentieren Diese Checkliste orientiert sich an den Vorgaben der DSGVO zur Datenschutz-Folgenabschätzung. Sie ist ein Arbeitsdokument: Sie füllen es aus, während Sie bewerten, konsultieren und entscheiden, damit das Ergebnis die tatsächlichen Umstände Ihrer Verarbeitung widerspiegelt.

Der DPIA-Prozess, Schritt für Schritt

Die Checkliste folgt dem DPIA-Lebenszyklus in aufeinanderfolgenden Schritten. **Schritt 1: Bedarf für eine DPIA feststellen.** Dokumentieren Sie die übergeordneten Ziele des Projekts, die betroffenen Kategorien von Verarbeitungstätigkeiten und eine Begründung für die Durchführung der Beurteilung. Nennen Sie die konkreten Faktoren oder Auslöser, die eine DPIA erforderlich machten. **Schritt 2: Die Verarbeitung beschreiben.** Dieser Schritt umfasst vier Dimensionen: - **Art.** Skizzieren Sie den vollständigen Datenlebenszyklus: wie Daten erhoben, genutzt, gespeichert und schließlich gelöscht oder sicher entsorgt werden. Identifizieren Sie die Herkunft der Daten, ob Daten an externe Parteien weitergegeben werden und welche Verarbeitungsvorgänge ein hohes Risiko bergen. - **Umfang.** Beschreiben Sie die betroffenen Datenkategorien und ob besondere Kategorien personenbezogener Daten verarbeitet werden (zum Beispiel Gesundheits-, biometrische oder Daten zu Straftaten). Schätzen Sie die Datenmenge, die Häufigkeit der Verarbeitung, die beabsichtigte Aufbewahrungsfrist, die Anzahl der betroffenen Personen und den geografischen Geltungsbereich. - **Kontext.** Beschreiben Sie die Beziehung zwischen Ihrer Organisation und den betroffenen Personen, den Grad der Kontrolle, den sie über ihre Daten haben, und ob sie die vorgeschlagene Verwendung vernünftigerweise erwarten würden. Notieren Sie frühere dokumentierte Bedenken, Beschwerden oder bekannte Sicherheitsschwachstellen, den Stand der Technik und Themen von aktuellem öffentlichem Interesse. Geben Sie an, ob Ihre Organisation einem genehmigten Verhaltenskodex oder Zertifizierungssystem beigetreten ist, das für die Verarbeitung relevant ist. - **Zwecke.** Formulieren Sie die konkreten Ergebnisse, die Sie erreichen wollen, und die erwartete Wirkung auf betroffene Personen und beschreiben Sie den voraussichtlichen Nutzen für Ihre Organisation und weitere Interessengruppen. **Schritt 3: Konsultation.** Beschreiben Sie, wann und wie Sie die Ansichten betroffener Personen einholen oder begründen Sie, warum eine Konsultation nicht angemessen ist. Identifizieren Sie andere Parteien innerhalb Ihrer Organisation, die einbezogen werden sollten, ob Sie Auftragsverarbeiter zur Unterstützung benötigen und ob Sie Informationssicherheitsexperten oder andere Fachleute hinzuziehen werden. **Schritt 4: Notwendigkeit und Verhältnismäßigkeit bewerten.** Nennen Sie die Rechtsgrundlage für die Verarbeitung nach dem geltenden Datenschutzrecht. Bestätigen Sie, ob die vorgeschlagene Verarbeitung Ihren angegebenen Zweck wirksam und unmittelbar erreicht, und erwägen Sie, ob eine weniger invasive Alternative dasselbe Ergebnis erreichen könnte. Erläutern Sie die Schutzmaßnahmen gegen Funktionsausweitung, Ihre Maßnahmen zur Datenqualität und Datenminimierung, die Datenschutzinformationen, die Sie betroffenen Personen bereitstellen, wie Sie die Ausübung ihrer Datenschutzrechte unterstützen (wie Auskunft, Berichtigung, Löschung und Widerspruch) und wie Sie die Einhaltung der Pflichten durch Auftragsverarbeiter sicherstellen. **Schritt 5: Risiken identifizieren und bewerten.** Beschreiben Sie für jedes Risiko dessen Quelle und die Art der potenziellen Auswirkungen auf betroffene Personen, einschließlich damit verbundener Compliance- und Unternehmensrisiken. Bewerten Sie die Wahrscheinlichkeit eines Schadens, die Schwere des Schadens und das Gesamtrisikoniveau. **Schritt 6: Maßnahmen zur Risikominderung identifizieren.** Identifizieren Sie für jede Minderungsmaßnahme das konkrete Risiko, das sie adressiert, beschreiben Sie die verfügbaren Optionen zur Verringerung oder Beseitigung dieses Risikos (einschließlich erwogener Alternativen), nennen Sie die erwartete Wirkung der Maßnahme, bewerten Sie das Restrisikoniveau nach Anwendung der Maßnahme und dokumentieren Sie, ob die Maßnahme formell genehmigt wurde. **Schritt 7: Ergebnisse und Freigabe dokumentieren.** Fassen Sie das Gesamtergebnis der DPIA zusammen, einschließlich der wichtigsten Feststellungen, Schlussfolgerungen und etwaiger Bedingungen. Listen Sie die Maßnahmen auf, die vor Beginn der Verarbeitung ergriffen werden müssen, mit verantwortlichen Personen und Zielterminen. Dokumentieren Sie die Gesamtentscheidung, ob die Verarbeitung fortgesetzt werden darf, Ihr Vertrauen, dass Restdatenschutzrisiken angemessen adressiert wurden, sowie etwaige zusätzliche Kommentare, Empfehlungen oder Bedingungen. Holen Sie dann die Freigabe ein.

Was eine gute DPIA abdeckt

Eine starke DPIA ist vollständig und konkret. Sie: - erläutert die Verarbeitung so detailliert, dass jemand anderes verstehen könnte, welche Daten betroffen sind, woher sie stammen, wie sie genutzt werden, wie lange sie aufbewahrt und wie sie entsorgt werden - dokumentiert die Personen, Parteien und Fachleute, die Sie konsultiert haben, sowie die Gründe für jede Entscheidung, nicht zu konsultieren - legt die Rechtsgrundlage dar und zeigt, dass Sie erwogen haben, ob ein weniger invasiver Ansatz denselben Zweck erreichen könnte - dokumentiert jedes Risiko mit seiner Quelle und seinen Auswirkungen und bewertet Wahrscheinlichkeit, Schweregrad und Gesamtrisiko konsistent - kombiniert jede Minderungsmaßnahme mit dem Risiko, das sie adressiert, nennt ihre erwartete Wirkung und dokumentiert das Restrisiko und ob die Maßnahme genehmigt ist - endet mit einem klaren Ergebnis, etwaigen Bedingungen, den vor Beginn der Verarbeitung erforderlichen Maßnahmen mit Verantwortlichen und Terminen, einer dargelegten Entscheidung und der Freigabe

Häufig gestellte Fragen

Eine Datenschutz-Folgenabschätzung ist ein strukturierter Prozess zur Identifizierung und Verringerung der Datenschutzrisiken, die ein Projekt, System oder eine Aktivität für die Personen schaffen kann, deren personenbezogene Daten Sie verarbeiten. Sie beginnen damit, den Bedarf für eine DPIA festzustellen, und beschreiben dann Art, Umfang, Kontext und Zwecke der Verarbeitung. Danach konsultieren Sie relevante Parteien, bewerten Notwendigkeit und Verhältnismäßigkeit, identifizieren und bewerten Risiken, entscheiden über Maßnahmen zur Verringerung dieser Risiken und dokumentieren die Ergebnisse und Genehmigungen.

Eine DPIA ist wichtig, weil die Verarbeitung personenbezogener Daten die Rechte und Freiheiten betroffener Personen gefährden kann und das Risiko größer ist, wenn Sie besondere Kategorien personenbezogener Daten wie Gesundheitsdaten verarbeiten. Die Beurteilung hilft Ihnen zu prüfen, wie Daten erhoben, genutzt, gespeichert und gelöscht werden, was schiefgehen könnte und was Sie dagegen tun werden. Sie bietet Ihnen außerdem eine dokumentierte, wiederholbare Möglichkeit zu zeigen, dass Sie weniger invasive Alternativen erwogen und vor Beginn der Verarbeitung Schutzmaßnahmen ergriffen haben.

Eine gute DPIA deckt das Gesamtbild Ihrer Verarbeitung ab. Sie dokumentiert den Bedarf für die Beurteilung, Art, Umfang, Kontext und Zwecke der Verarbeitung, den Datenlebenszyklus, jede Weitergabe an externe Parteien und ob besondere Kategorien personenbezogener Daten betroffen sind. Sie dokumentiert die Konsultation betroffener Personen, von Kollegen, Auftragsverarbeitern und Sicherheitsspezialisten. Sie legt die Rechtsgrundlage, Notwendigkeit und Verhältnismäßigkeit, Schutzmaßnahmen gegen Funktionsausweitung, Datenminimierung, Datenschutzinformationen und die Unterstützung der Datenschutzrechte betroffener Personen dar. Anschließend erfasst sie jedes Risiko, seine Wahrscheinlichkeit und Schwere, das Gesamtrisikoniveau, die Minderungsoptionen, das Restrisiko und ob jede Maßnahme genehmigt ist, und endet mit den Ergebnissen, Maßnahmen und der Freigabe.

Arbeiten Sie die Beurteilung in Etappen durch. Bestätigen Sie, ob eine DPIA erforderlich ist, und erläutern Sie die Auslöser. Beschreiben Sie die Verarbeitung detailliert, einschließlich Art, Umfang, Kontext, Zwecke und Datenlebenszyklus. Konsultieren Sie betroffene Personen und relevante Parteien, einschließlich Kollegen, Auftragsverarbeiter und Informationssicherheitsspezialisten. Bewerten Sie Notwendigkeit und Verhältnismäßigkeit, indem Sie die Rechtsgrundlage berücksichtigen, ob die Verarbeitung ihren Zweck unmittelbar erreicht und ob eine weniger invasive Alternative besteht. Identifizieren Sie jede Risikoquelle und bewerten Sie ihre Wahrscheinlichkeit, Schwere und ihr Gesamtniveau. Identifizieren und dokumentieren Sie Maßnahmen zur Verringerung oder Beseitigung des Risikos und die erwartete Wirkung jeder Maßnahme. Anschließend können Sie das Restrisiko bewerten, die Ergebnisse und etwaige Bedingungen dokumentieren, die vor Beginn der Verarbeitung erforderlichen Maßnahmen mit Verantwortlichen und Terminen auflisten, die Gesamtentscheidung treffen und die Freigabe einholen.

Die Abfolge ist so gestaltet, dass jede Phase auf der vorherigen aufbaut. Sie beginnen mit der Feststellung des Bedarfs und der Beschreibung der Verarbeitung, denn Sie können keine Risiken bewerten, die Sie nicht definiert haben. Als Nächstes folgen Konsultation und die Prüfung von Notwendigkeit und Verhältnismäßigkeit, damit Sie die Auswirkungen auf betroffene Personen verstehen und weniger invasive Optionen erwägen. Erst dann identifizieren und bewerten Sie Risiken, denn das Risikobild hängt davon ab, was Sie bereits beschrieben haben. Minderung und Restrisiko folgen, damit die endgültige Entscheidung und die Freigabe widerspiegeln, was nach Anwendung Ihrer Maßnahmen verbleibt.

Zu den besonderen Kategorien personenbezogener Daten gehören Gesundheits-, biometrische und Daten zu Straftaten. Wenn solche Daten betroffen sind, verlangt die Beurteilung von Ihnen, sie klar zu identifizieren und den Risiken, die sie für betroffene Personen schaffen können, besondere Aufmerksamkeit zu widmen. Die Checkliste ist mit diesem Schwerpunkt konzipiert, beispielsweise bei der Verarbeitung von Gesundheitsdaten von Beschäftigten.

Wo eine Vorschrift oder ein Standard tatsächlich Anwendung findet, nennen Sie sie klar beim Namen. Diese Checkliste orientiert sich an den Vorgaben der DSGVO, die den Prozess der Datenschutz-Folgenabschätzung und die zu berücksichtigenden Aspekte festlegen. Formulieren Sie Anforderungen nicht konkreter, als Sie belegen können, und gründen Sie Ihre Beurteilung auf das, was die Checkliste und die geltenden Leitlinien tatsächlich sagen.

Bleiben Sie nicht bei der Identifizierung eines Risikos stehen. Beschreiben Sie für jedes Risiko die verfügbaren Maßnahmen zu seiner Verringerung oder Beseitigung, einschließlich der erwogenen alternativen Ansätze, nennen Sie die erwartete Wirkung der Maßnahme, bewerten Sie das Restrisikoniveau nach Anwendung der Maßnahme und dokumentieren Sie, ob die Maßnahme formell genehmigt wurde. So erhalten Sie eine klare Aufzeichnung darüber, was getan wurde und welches Risiko verbleibt.

Verfasst von

Marion Heinz

Editor

Content writer with a background in Information Management, translating complex industrial and digital transformation topics into clear, actionable insights. Keen on international collaboration and multilingual exchange.

LinkedIn-Profil ansehen