Artikel 35 Datenschutz-Folgenabschätzung

Die Datenschutz-Folgenabschätzung ist ein neues Instrument der DS-GVO. Sie verpflichtet den Verantwortlichen bei einer Datenverarbeitung vorab zur Feststellung, ob hierdurch voraussichtlich hohe Risiken für die Rechte und Freiheiten natürlicher Personen entstehen. Sie ist an die Stelle der in § 4d Abs. 5 und 6 BDSG 2003 enthaltenen Vorabkontrolle getreten, die in der Praxis nicht die gewünschte Relevanz erreicht hatte, obwohl auch Mitarbeiterbefragungen durch Kollegen (sogen. Feedbackverfahren) hierzu zählten (zum früheren Recht siehe Wächter, Datenschutz im Unternehmen, 4. Aufl., 2014 Rdn. 212; Hoffmann/Wolf, ZD 2017, 120 ff. (122). Wenn hohe Risiken (hierzu nachstehend) zu erwarten sind, ist er verpflichtet, eine Datenschutz-Folgenabschätzung durchzuführen. Bei der Form der Verarbeitung sind neben Art, Umfang, Umständen und Zwecken, insbesondere die Verwendung neuer Technologien zu berücksichtigen. Mit den Elementen des risikoorientierten Regelungsansatzes der DS-GVO, den Risiken für die Rechte und Freiheiten natürlicher Personen und den Verarbeitungsmodalitäten Art, Umfang, Umstände und Zwecke, zeigt der Art. 35 seine große Nähe zu den Art. 24, 25 und 32. Die Elemente des risikoorientierten Regelungsansatzes sind allen Vorschriften gemeinsam. Hinzu tritt in Art. 35 ein besonderes Augenmerk auf die technische Seite der Datenverarbeitung durch die besonders zu beachtende Verwendung neuer Technologien. Hier macht die DS-GVO den Versuch, eine Systematik der Risikoeinschätzung zukünftiger Datenverarbeitung personenbezogener Daten zu implementieren (siehe auch Schmitz/von Dall'Armi in ZD 2017, 57 ff.).