Datenschutz-Folgenabschätzung einfach und rechtssicher

Eine DSFA ist eine systematische Bewertung der Auswirkungen einer geplanten Datenverarbeitung auf den Schutz personenbezogener Daten. Sie ist nach Art. 22 des Schweizer Datenschutzgesetzes (DSG) vorgeschrieben, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person mit sich bringt.

Eine DSFA ist gemäss Art. 22 DSG erforderlich, wenn eine Bearbeitung von Personendaten ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Dies ist insbesondere der Fall bei umfangreicher Bearbeitung besonders schützenswerter Personendaten, bei systematischer Überwachung umfangreicher öffentlicher Bereiche, beim Einsatz von Profiling mit hohem Risiko oder bei automatisierten Einzelentscheidungen.

Das Schweizer DSG und die europäische DSGVO haben ähnliche Konzepte, unterscheiden sich aber in Details. Das Schweizer DSG verweist in Art. 22 auf spezifisch schweizerische Kriterien. Zudem gelten für Schweizer Unternehmen zusätzlich die Empfehlungen des EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter).

Der Verantwortliche (das Unternehmen oder die Organisation, die über Zweck und Mittel der Datenverarbeitung entscheidet) ist für die Durchführung der DSFA verantwortlich. In der Praxis wird dies oft vom Datenschutzbeauftragten oder einer spezialisierten Abteilung koordiniert, wobei Fachabteilungen und ggf. externe Experten einbezogen werden.

Das Unterlassen einer erforderlichen DSFA stellt einen Verstoss gegen das DSG dar. Dies kann zu Sanktionen führen, einschliesslich Bussen von bis zu CHF 250'000 für natürliche Personen bei vorsätzlicher Verletzung. Zudem kann der EDÖB Massnahmen anordnen und öffentliche Verwarnungen aussprechen.