Neue Software, KI oder ein Umzug in die Cloud: Bei manchen Vorhaben verlangt die DSGVO vorher eine Datenschutz-Folgenabschätzung. Der Check fragt die bekannten Kriterien ab und zeigt, wie Sie weitermachen. Eine Orientierung, keine Rechtsberatung.
01wann → voraussichtlich hohes risiko02faustregel → 2 von 9 kriterien = in der regel ja03zusätzlich → muss-liste der aufsichtsbehörde04zeitpunkt → vor dem start der verarbeitung05inhalt → beschreibung · notwendigkeit06 risiken · maßnahmen07rat → datenschutzbeauftragte08restrisiko → hoch? art. 36: aufsicht vorab
Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Menschen, verlangt Art. 35 DSGVO vorher eine Datenschutz-Folgenabschätzung, kurz DSFA. Die Verordnung nennt besonders neue Technologien als Anlass und gibt in Abs. 3 drei Beispiele, in denen eine DSFA immer nötig ist:
Persönliche Aspekte werden systematisch und umfassend automatisiert bewertet, etwa durch Profiling, und darauf stützen sich Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung.
Besondere Kategorien nach Art. 9, also auch Gesundheitsdaten, oder Daten über strafrechtliche Verurteilungen werden umfangreich verarbeitet.
Öffentlich zugängliche Bereiche werden systematisch und umfangreich überwacht, etwa per Video.
Für alles andere hilft eine Leitlinie der europäischen Datenschutzbehörden, früher bekannt als WP 248, die der Europäische Datenschutzausschuss bestätigt hat. Sie nennt neun Kriterien. Treffen zwei davon zu, ist eine DSFA in der Regel erforderlich. Außerdem führen die Aufsichtsbehörden eine Liste der Verarbeitungen, für die immer eine DSFA nötig ist. Prüfen Sie zusätzlich die Liste der für Sie zuständigen Aufsichtsbehörde.
Im Gesundheitswesen ist die Schwelle schnell erreicht: Gesundheitsdaten sind sensibel, Patientinnen, Patienten und Pflegebedürftige gelten als schutzbedürftig. Neue Software, KI oder ein Umzug in die Cloud sind deshalb gute Anlässe, die Frage ausdrücklich zu stellen und die Antwort festzuhalten.
Wählen Sie ein fiktives Vorhaben oder Ihr eigenes. Jedes zutreffende Kriterium legt einen Stein vor die Tür. Ab dem zweiten ist die Schwelle erreicht, und die Tür zur DSFA geht auf. Das Ergebnis gibt Ihnen eine Gliederung oder einen Vermerk zum Kopieren.
Wunddokumentation mit Foto-KI. Ein fiktiver Pflegedienst fotografiert Wunden per Tablet. Eine KI vermisst die Wunde und schlägt die Gewebeanteile vor.
Ein Stein liegt. Ein zweites Kriterium, und die Schwelle ist erreicht.
Ab zwei erfüllten Kriterien ist eine DSFA nach der Leitlinie in der Regel erforderlich. Je mehr Kriterien, desto deutlicher.
DSFA-Vorprüfung · Wunddokumentation mit Foto-KI
Ergebnis: DSFA wahrscheinlich nötig (4 von 9 Kriterien)
Muss-Liste der Aufsichtsbehörde: noch prüfen
Erfüllte Kriterien:
- 01 Bewerten oder Einstufen
- 04 Sensible Daten
- 07 Schutzbedürftige Betroffene
- 08 Neue Technologien
Gliederung nach Art. 35 Abs. 7 DSGVO
a) Beschreibung: Vorgänge, Zwecke, Daten, Systeme, Empfänger
b) Notwendigkeit und Verhältnismäßigkeit: Geht es mit weniger Daten?
c) Risiken für die Rechte und Freiheiten der Betroffenen
· KI misst falsch, die Fachkraft übernimmt den Wert ungeprüft
· Fotos zeigen mehr als die Wunde, etwa das Gesicht
· Bilder bleiben auf privaten Geräten liegen
d) Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen
· Vorschläge sind als Vorschlag markiert, die Fachkraft bestätigt
· Bildausschnitt auf die Wunde, Speicherung nur in der Akte
Dazu: Rat der/des Datenschutzbeauftragten einholen (Art. 35 Abs. 2).
Bleibt ein hohes Restrisiko: Aufsichtsbehörde vorab konsultieren (Art. 36).
Orientierung, keine Rechtsberatung.Die Vorschläge zu den fiktiven Vorhaben sind eine typische erste Einschätzung. Ihr Vorhaben kann anders liegen. Welche Daten wohin fließen, klären Sie am besten vorher mit dem Verarbeitungsverzeichnis.
Art. 35 Abs. 7 gibt den Mindestinhalt vor. Eine bestimmte Form schreibt die DSGVO nicht vor. Wichtig ist, dass die Überlegungen nachvollziehbar und schriftlich festgehalten sind.
Systematisch beschreiben, was geschieht und wozu: Abläufe, Zwecke, Daten, Systeme, Empfänger, gegebenenfalls die berechtigten Interessen. Das Verzeichnis von Verarbeitungstätigkeiten ist dafür der Ausgangspunkt.
Ist die Verarbeitung für den Zweck notwendig und verhältnismäßig? Geht es mit weniger Daten, kürzeren Fristen oder ohne Klarnamen?
Welche Risiken entstehen für die Rechte und Freiheiten der Betroffenen? Aus deren Sicht gedacht: Wie wahrscheinlich ist ein Schaden, und wie schwer wöge er?
Abhilfemaßnahmen, Garantien und Sicherheitsvorkehrungen, die die Risiken eindämmen und zeigen, dass die DSGVO eingehalten wird.
Ist eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt, holen Sie deren Rat ein. Gegebenenfalls fragen Sie auch Betroffene oder ihre Vertretung nach ihrem Standpunkt.
Bleibt trotz der Maßnahmen ein hohes Risiko, konsultieren Sie vor dem Start die Aufsichtsbehörde.
Eine DSFA ist kein einmaliges Papier. Ändert sich das Risiko, etwa durch neue Funktionen oder einen neuen Anbieter, wird sie überprüft.
Für Teil c bewährt sich eine einfache Matrix: Wie wahrscheinlich ist ein Schaden für die Betroffenen, und wie schwer wöge er? Probieren Sie es mit drei Beispielrisiken aus den fiktiven Vorhaben.
Ziehen Sie ein Risiko in ein Feld. Oder wählen Sie es aus und klicken Sie ein Feld an.
Eine DSFA schreibt niemand allein am Schreibtisch. Sie wird gut, wenn die Menschen am Tisch sitzen, die das Vorhaben kennen, betreiben und später damit arbeiten.
Die Einrichtung ist Verantwortliche. Die Leitung entscheidet, ob und wie das Vorhaben startet, und trägt das Ergebnis.
Pflege, Wundexpertinnen und -experten, Praxisteam oder Personalabteilung: Wer den Ablauf kennt, weiß, welche Daten wirklich gebraucht werden und wo es im Alltag hakt.
Sie liefern Datenflüsse, Standorte und Sicherheitsmaßnahmen. Auftragsverarbeiter müssen Sie dabei unterstützen, so steht es in Art. 28.
Beraten bei der DSFA und überwachen ihre Durchführung. Sie entscheiden nicht anstelle der Einrichtung, ihr Rat gehört aber dokumentiert.
Gibt es Betriebsrat, Personalrat oder Mitarbeitervertretung, sind sie bei Systemen zu beteiligen, die Leistung oder Verhalten von Beschäftigten überwachen können. Früh einbinden spart Schleifen.
Wo es passt, fragen Sie Patientinnen und Patienten, Pflegebedürftige oder Beschäftigte, wie sie das Vorhaben sehen. Das schärft den Blick für Risiken.
Wir nehmen Ihre Systeme und Datenflüsse auf und gehen mit Ihnen und Ihren Datenschutzbeauftragten die Kriterien durch: Welche Vorhaben brauchen eine DSFA, wo genügt ein begründeter Vermerk?
Vor dem Umzug in die EU-Cloud steht die DSFA, nicht danach. Schrittweise und mit dem Einverständnis und der Akzeptanz Ihrer Mitarbeitenden. Die Maßnahmen aus der DSFA werden Teil des Umzugsplans.
Jede KI-Funktion prüfen wir einzeln: Kriterien, Risiken, Maßnahmen. Die KI schlägt vor, Ihr Team entscheidet. Das steht dann auch so in der DSFA.
Sie ist eine Faustregel aus der Leitlinie, die der Europäische Datenschutzausschuss bestätigt hat. Ab zwei Kriterien ist eine DSFA in der Regel nötig, im Einzelfall kann schon eines reichen. Umgekehrt dürfen Sie mit guter Begründung zu einem anderen Ergebnis kommen. Diese Begründung halten Sie schriftlich fest.
Nicht automatisch. Sensible Daten und schutzbedürftige Betroffene treffen im Gesundheitswesen fast immer zu. Nach Erwägungsgrund 91 ist eine DSFA für die Patientendaten einer einzelnen Ärztin, eines einzelnen Arztes oder einer anderen einzelnen Gesundheitsfachperson nicht zwingend. Kommen ein großer Umfang, KI oder neue Technik hinzu, sieht es anders aus.
Vor Beginn der Verarbeitung. Für ein Pilotprojekt mit echten Patientendaten gilt das genauso. Planen Sie die DSFA deshalb in den Projektplan ein, nicht ans Ende.
Nein. Er hilft bei der Vorprüfung, ob eine DSFA nötig ist, und gibt Ihnen eine Gliederung an die Hand. Die DSFA selbst erstellen Sie mit Ihrem Team und Ihren Datenschutzbeauftragten. Ihre Eingaben bleiben dabei in Ihrem Browser und werden nicht übertragen.
Sie planen ein Vorhaben und sind unsicher, ob eine DSFA nötig ist? Erstgespräch vereinbaren