Folgenabschätzungen

Was ist eine Folgenanschätzung?

Eine Datenschutz-Folgenabschätzung (DSFA) ist ein wichtiges Instrument zur Risikoanalyse, um potenzielle Risiken einer Datenverarbeitung für die Persönlichkeit oder die Grundrechte der betroffenen Person zu bewerten und zu minimieren. Sowohl nach dem revidierten Schweizer Datenschutzgesetz (DSG) als auch nach der Europäischen Datenschutzgrundverordnung (DSGVO) sind Unternehmen dazu verpflichtet, eine DSFA durchzuführen, wenn die geplante Datenverarbeitung potenziell hohe Risiken für die betroffenen Personen birgt.

Bei der Bestimmung des hohen Risikos für die betroffene Person sind insbesondere der Umfang sowie die Umstände einer Verarbeitung massgebend. Zudem ist besonders zu berücksichtigen, ob bei der Datenverarbeitung neue und wenig erprobte Technologien zum Einsatz gelangen. Diese Kriterien sind anschliessend gesamthaft zu betrachten. Beispielsweise je sensibler die personenbezogenen Daten, je umfangreicher die Verarbeitung und je neuartiger die Technologie, desto höher ist das Risiko für die betroffene Person zu bewerten.

Das Hauptziel der DSFA besteht darin, Datenschutzrisiken frühzeitig zu erkennen und geeignete Massnahmen zu ergreifen, um diese Risiken zu reduzieren. Durch eine DSFA kann das Unternehmen unter anderem regulatorische Anforderungen berücksichtigen, das Vertrauen der Kunden stärken und das Risiko von Datenschutzvorfällen minimieren.

Hier sind einige konkrete Beispiele, bei denen eine DSFA notwendig sein könnte:

Kunden-Scoring und Kreditwürdigkeitsprüfungen
Automatisiertes Kundenprofiling für massgeschneiderte Angebote
Überwachung und Betrugsprävention in Echtzeit
Verarbeitung biometrischer Daten für die Authentifizierung
Nutzung externer Cloud-Dienste zur Datenverarbeitung von besonders schützenswerten personenbezogenen Daten

Übersicht

Unter der entsprechenden Registerkarte finden Sie eine Liste all Ihrer DSFAs auf einer Übersichtsseite, unterteilt nach ihrem Status in Alle, Aktiv, Entwurf, Inaktiv und Überprüfung.

Neue DSFA erstellen

Die folgenden Schritte helfen Ihnen bei der Durchführung der für eine vollständige DSFA erforderlichen Massnahmen. Je sorgfältiger die Schritte durchgeführt werden, desto zuverlässiger wird die DSFA sein.

Beginnen Sie, indem Sie auf Erstellen und dann auf DSFA erstellen klicken. Wie bei jedem Element können Sie die DSFA manuell erstellen oder von einer anderen Organisation herunterladen. Dieser Leitfaden konzentriert sich auf die manuelle Erstellung. Um mehr über das Herunterladen von Elementen zu erfahren, lesen Sie den entsprechenden Artikel.

Allgemeine Informationen: Bei der Erstellung einer neue Datenschutz-Folgenabschätzung, definieren Sie zunächst die verantwortliche Person und setzen den Status. Anschliessend geben Sie der DSFA einen Namen und wählen die zugehörige organisatorische Einheit aus. Im nächsten Schritt erhalten Sie detaillierte Anleitungen zur Ausfüllung der folgenden Felder.
Auswahl der verknüpften Verarbeitungstätigkeiten: Es müssen alle Verarbeitungstätigkeiten verknüpft werden, die im Rahmen der DSFA bewertet werden sollen. Wenn Sie die betreffende Verarbeitungstätigkeit bereits im Verzeichnis erfasst haben, können Sie sie aus der Bibliothek auswählen. Andernfalls müssen Sie möglicherweise eine neue erstellen.
Identifizierung des Bedarfs einer DSFA: Die Notwendigkeit einer DSFA für die Verarbeitungstätigkeit muss sorgfältig begründet werden. Berücksichtigen Sie dabei Faktoren wie Art und Umfang der Datenverarbeitung, potenzielle Risiken für die Rechte der Betroffenen, Anzahl und Art der betroffenen Personen und geltende Datenschutzgesetze. Nach der Bewertung dieser Faktoren beschreiben Sie Ihre Schlussfolgerungen.
Beschreibung der Verarbeitung: Um die Vollständigkeit der DSFA sicherzustellen, ist es erforderlich, detaillierte Informationen zur Verarbeitung anzugeben. Je umfassender diese Informationen sind, desto genauer kann die DSFA durchgeführt werden. Daher ist es wichtig, genau zu beschreiben, wie die Daten für die spezifische Aktivität verarbeitet werden.
Bitte Speichern Sie Ihre Angaben, um den Vorgang abzuschliessen.

Verwaltung einer DSFA

Allgemein

Wenn Sie auf die zu verwaltende DSFA klicken, sehen Sie ihre allgemeinen Informationen. Klicken Sie auf Bearbeiten, wenn Sie sie überarbeiten möchten.

Wie bei den meisten Elementen können Sie sie Teilen, den Zugang verwalten oder eine Notiz hinzufügen, indem Sie rechts auf Notizen klicken.

Konsultation

Im Rahmen eines Konsultationsprozesses geht es beispielsweise um interne Abstimmungen mit den relevanten Abteilungen sowie die Einbindung der Datenschutzbeauftragten Person (DSB). Die Konsultation der zuständigen Aufsichtsbehörde ist immer dann erforderlich, wenn eine DSFA zeigt, dass trotz ergriffener Schutzmassnahmen erhebliche Risiken für die betroffene Person bestehen. Diese kann Ratschläge erteilen, zusätzliche Massnahmen vorschlagen oder im Extremfall die Datenverarbeitung untersagen.

Auf der Registerkarte Konsultation finden Sie alle Konsultationsprozesse für diese DSFA.

Sie können auf einen vorhandenen Prozess klicken, um detailliertere Informationen zu sehen oder ihn zu bearbeiten.
Um einen neuen Konsultationsprozess zu erstellen, klicken Sie auf Hinzufügen.
Füllen Sie die erforderlichen Informationen aus.
Klicken Sie auf Weiter.
Nun können Sie Meetings & Aktivitäten, Assessments und Dokumente mit Ihrem Konsultationsprozess verknüpfen.

Abwägung der Interessen

Klicken Sie auf Bearbeiten unter der Registerkarte Interessenabwägung, um das Feld auszufüllen. Es ist wichtig, alle Interessen auf der Grundlage der Notwendigkeit und Verhältnismässigkeit im Zusammenhang mit der Verarbeitungstätigkeit abzuwägen. Dies sollte in ausreichendem Detail und mit der gebotenen Sorgfalt durchgeführt werden. Argumentation und Objektivität sind in diesem Stadium entscheidend, ebenso wie die Berücksichtigung etwaiger Voreingenommenheit.

Aufgaben

Die Registerkarte Aufgaben enthält eine Liste aller Aufgaben im Zusammenhang mit Ihrer DSFA. Sie können entweder auf eine der Aufgaben klicken, um weitere Informationen anzuzeigen, oder eine neue verknüpfen, indem Sie auf Hinzufügen klicken und aus der Liste der vorhandenen Aufgaben auswählen. Sie können auch eine neue Aufgabe Erstellen. Folgen Sie der Anleitung zu Aufgaben, um mehr zu erfahren.

Assessments

In der Registerkarte Assessments können Sie auf eine der aufgeführten Assessments klicken, um weitere Informationen zu erhalten. Wenn Sie ein weiteres Assessment verknüpfen möchten, klicken Sie auf Hinzufügen und wählen es aus der Liste aus. Sie können auch ein neues Assessment Erstellen. Folgen Sie der Anleitung zu den Assessments, um mehr darüber zu erfahren.

Assets

Schliesslich finden Sie auf der Registerkarte Assets alle verlinkten Assets und können zusätzliche über Hinzufügen verknüpfen. Vergewissern Sie sich, dass Sie alle Assets für die von Ihnen geprüfte Verarbeitungstätigkeit mit dieser DSFA verknüpft haben.

Um mehr über Assets zu erfahren, können Sie der entsprechenden Anleitung folgen.