DSFA-Schwellwertanalyse

Gesetzliche Regelbeispiele

Trifft einer dieser Fälle zu, ist die DSFA unmittelbar nach Art. 35 Abs. 3 DSGVO erforderlich.

1. Erfolgt eine systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient?

Beispiele: Kreditscoring, automatisierte Bewerberauswahl, Bonitätsprüfung vor Vertragsschluss.

Ja Nein Unklar

Art. 35 Abs. 3 lit. a DSGVO

2. Werden besondere Kategorien personenbezogener Daten (Art. 9) oder Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10) in großem Umfang verarbeitet?

Gesundheits-, Religions-, Gewerkschafts-, biometrische oder genetische Daten, sexuelle Orientierung, politische Meinung. „Großer Umfang“ nach Zahl der Betroffenen, Datenmenge, Dauer und geografischer Reichweite.

Ja Nein Unklar

Art. 35 Abs. 3 lit. b DSGVO

3. Erfolgt eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche?

Videoüberwachung von Plätzen, Bahnhöfen, Einkaufszentren; Kennzeichenerfassung.

Ja Nein Unklar

Art. 35 Abs. 3 lit. c DSGVO

Muss-Liste der Datenschutzkonferenz

Die deutschen Aufsichtsbehörden haben nach Art. 35 Abs. 4 DSGVO eine Liste von Verarbeitungen veröffentlicht, für die eine DSFA durchzuführen ist.

4. Steht die Verarbeitung auf der Muss-Liste der DSK?

Unter anderem: Beschäftigtenüberwachung mit Bewegungs- oder Kommunikationsdaten, zentrale Fraud-Prevention-Systeme, Verarbeitung von Standortdaten in großem Umfang, Zusammenführung von Datenbeständen aus unterschiedlichen Quellen, Anonymisierung von Art.-9-Daten, KI-gestützte Verarbeitung zur Steuerung der Interaktion mit Betroffenen, Telematik-Tarife, Whistleblowing-Systeme mit sensiblen Daten. Die aktuelle Liste liegt bei der DSK.

Ja Nein Unklar

DSK Muss-Liste nach Art. 35 Abs. 4

Neun Kriterien (WP 248)

Treffen zwei oder mehr Kriterien zu, ist in den meisten Fällen eine DSFA erforderlich. Bei einem Kriterium ist sie zu erwägen und die Entscheidung zu dokumentieren.

5. Bewertung oder Einstufung (Scoring), einschließlich Profiling und Vorhersagen?

Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben, Zuverlässigkeit, Verhalten, Aufenthaltsort.

Ja Nein Unklar

WP29 WP 248, Kriterium 1

6. Automatisierte Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung?

Ja Nein Unklar

WP29 WP 248, Kriterium 2

7. Systematische Überwachung?

Beobachtung, Überwachung oder Kontrolle von Betroffenen, auch über Netzwerke oder in öffentlich zugänglichen Bereichen.

Ja Nein Unklar

WP29 WP 248, Kriterium 3

8. Sensible oder höchstpersönliche Daten?

Art.-9- und Art.-10-Daten, aber auch Finanzdaten, Standortdaten, elektronische Kommunikation, Dokumente aus dem Privatleben.

Ja Nein Unklar

WP29 WP 248, Kriterium 4

9. Datenverarbeitung in großem Umfang?

Maßstäbe: Zahl der Betroffenen, Datenvolumen, Dauer oder Beständigkeit, geografische Reichweite.

Ja Nein Unklar

WP29 WP 248, Kriterium 5

10. Abgleich oder Zusammenführung von Datensätzen?

Aus mindestens zwei Verarbeitungen mit unterschiedlichen Zwecken, in einer Weise, die Betroffene vernünftigerweise nicht erwarten.

Ja Nein Unklar

WP29 WP 248, Kriterium 6

11. Daten schutzbedürftiger Personen?

Beschäftigte, Kinder, Patienten, Geflüchtete, ältere Menschen – überall dort, wo ein Machtungleichgewicht besteht.

Ja Nein Unklar

WP29 WP 248, Kriterium 7

12. Innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen?

Zum Beispiel KI-Systeme, Internet of Things, Fingerabdruck und Gesichtserkennung kombiniert.

Ja Nein Unklar

WP29 WP 248, Kriterium 8

13. Hindert die Verarbeitung Betroffene an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung oder eines Vertrags?

Etwa eine Bonitätsprüfung, die über die Vergabe eines Darlehens entscheidet.

Ja Nein Unklar

WP29 WP 248, Kriterium 9