Datenschutz-Folgenabschätzung
data protection impact assessment für die vorherige Bewertung bei voraussichtlich hohem Risiko. Sie ist nicht bei jeder Verarbeitung erforderlich, sondern nur bei erhöhtem Risiko. Im Zweifel entscheidet, ob die Aufsichtsbehörde die Verarbeitungsart gelistet hat.
Die Pflicht knüpft an das Risiko an, nicht an die Datenmenge. Die Verordnung nennt Regelbeispiele, und die Aufsichtsbehörden veröffentlichen Listen von Verarbeitungsarten, für die eine Abschätzung stets erforderlich ist; diese Listen sind der praktische Einstieg. Bleibt nach den geplanten Maßnahmen ein hohes Risiko bestehen, ist die Aufsichtsbehörde vorab zu konsultieren. Eine Reform sieht Erleichterungen vor, ist aber noch nicht in Kraft.
Die Abschätzung ist nur bei voraussichtlich hohem Risiko erforderlich, nicht bei jeder Verarbeitung.
Die Listen der Aufsichtsbehörden benennen Verarbeitungsarten, bei denen sie stets durchzuführen ist.
Bleibt ein hohes Risiko bestehen, ist die Aufsichtsbehörde vorab zu konsultieren.
Privacy impact assessment ist der ältere internationale Ausdruck und nicht der Begriff der Verordnung.
Plant ein Unternehmen ein System mit umfangreicher Überwachung, ist die Abschätzung vor dem Start fällig. Steht nur risk assessment, wirkt sie wie eine interne Bewertung statt einer Rechtspflicht. Für eine Projektskizze nachrangig; bei einer Prüfung fehlt ein Dokument mit Zeitbezug.
Für die Datenschutz-Folgenabschätzung liefert eine Maschine privacy impact assessment oder data protection assessment; die Verordnung spricht von data protection impact assessment. Dass die Pflicht an ein hohes Risiko anknüpft und vor Verarbeitungsbeginn greift, trägt keine Fassung. Wo das Risiko genannt ist, klärt es sich; in einem Projektplan rutscht sie ans Ende.
Der Begriffsraum erklärt Sprache, nicht den Einzelfall. Er ersetzt keine Rechtsberatung. Bei rechtlich verbindlichen Dokumenten sollte die Übersetzung fachkundig geprüft werden.