Welche Inhalte muss eine Datenschutz-Folgenabschätzung aufweisen?
Eine Datenschutz-Folgenabschätzung muss nach dem DSG drei Kernelemente enthalten: eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person sowie die Massnahmen zu deren Schutz. Sie ist vorgängig zu erstellen, wenn eine Bearbeitung ein hohes Risiko mit sich bringen kann.
Die Datenschutz-Folgenabschätzung muss inhaltlich drei Punkte abdecken: erstens eine Beschreibung der geplanten Bearbeitung, zweitens eine Bewertung der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person und drittens die Massnahmen zum Schutz der Persönlichkeit und der Grundrechte. Diese Elemente bilden den gesetzlichen Mindestinhalt. Zu prüfen ist deshalb, ob die geplante Bearbeitung nachvollziehbar beschrieben ist, ob die Risiken konkret beurteilt werden und ob Schutzmassnahmen ausdrücklich festgehalten sind.[1]
Eine solche Abschätzung ist vorgängig zu erstellen, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen kann. Das hohe Risiko ergibt sich insbesondere bei Verwendung neuer Technologien aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Namentlich nennt das Gesetz die umfangreiche Bearbeitung besonders schützenswerter Personendaten sowie die systematisch umfangreiche Überwachung öffentlicher Bereiche. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, kann eine gemeinsame Abschätzung erstellt werden.[1]
Zu verifizieren ist auch, ob eine Ausnahme oder ein Entfall der Pflicht in Betracht kommt. Private Verantwortliche sind von der Erstellung ausgenommen, wenn sie gesetzlich zur Bearbeitung der Daten verpflichtet sind. Ein privater Verantwortlicher kann zudem von der Erstellung absehen, wenn ein für die vorgesehene Verwendung nach Artikel 13 zertifiziertes System, Produkt oder eine entsprechende Dienstleistung eingesetzt wird oder wenn ein Verhaltenskodex nach Artikel 11 eingehalten wird, der auf einer Datenschutz-Folgenabschätzung beruht, Schutzmassnahmen vorsieht und dem EDÖB vorgelegt wurde.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor jedem Handeln die aktuell geltende Bestimmung und jede spätere Änderung.[1]