Datenschutz-Folgenabschätzung
DSFA gemäß Art. 35 DSGVO — Schwellwertprüfung und Risiko-Methodik
Einführung
Die Datenschutz-Folgenabschätzung (DSFA) ist ein Instrument zur systematischen Bewertung von Verarbeitungsvorgängen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen (Art. 35 Abs. 1 DSGVO).
Die nachfolgende Schwellwert-Analyse basiert auf den neun Kriterien der WP-248-Leitlinien (Working Party 29 / EDSA). Sind mindestens zwei Kriterien erfüllt, ist eine vollständige DSFA in der Regel verpflichtend.
Hinweis: Dieses Dokument dient der Transparenz gegenüber unseren Kunden. Für jede konkrete Verarbeitungstätigkeit im Rahmen der ClickCandit-Plattform wird intern eine separate Bewertung durchgeführt und dokumentiert.
Schwellwert-Analyse (WP 248)
Bewerten Sie für Ihre geplante Verarbeitungstätigkeit, ob die folgenden Kriterien zutreffen. Klicken Sie auf eine Antwort, um das Ergebnis interaktiv zu berechnen.
Bewertung oder Einstufung (Profiling)
Beurteilung wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit oder Verhaltens einer Person — auch in Form automatisierter Vorhersagen.
Beispiele:
Bonitätsprüfung / Credit-ScoringPerformance-Bewertung von MitarbeitendenBewerber-Ranking durch KIRisikoeinstufung von KundenAutomatisierte Entscheidungen mit Rechtswirkung
Entscheidungen, die der Person gegenüber Rechtswirkung entfalten oder sie ähnlich erheblich beeinträchtigen (Art. 22 DSGVO).
Beispiele:
Automatische Ablehnung eines KreditsAutomatische Kündigung von VersicherungenAlgorithmische PersonalentscheidungenSystematische Überwachung
Beobachtung, Überwachung oder Kontrolle von Personen, auch in öffentlich zugänglichen Bereichen oder im Beschäftigungskontext.
Beispiele:
Videoüberwachung im VerkaufsraumGPS-Tracking von Fahrzeugflotten mit personenbezogenem BezugBildschirm- oder Tastatur-Aufzeichnung bei MitarbeitendenVertrauliche oder höchstpersönliche Daten
Besondere Kategorien nach Art. 9 DSGVO (Gesundheit, Herkunft, Religion, Sexualleben, Gewerkschaftszugehörigkeit, biometrische / genetische Daten) sowie Daten zu Straftaten (Art. 10).
Beispiele:
Patientendaten in der GesundheitsversorgungReligiöse oder politische AusrichtungKrankmeldungen / Reha-DatenHinweisgebersystem (Whistleblowing)Verarbeitung in großem Umfang
Bewertung anhand Anzahl betroffener Personen, Menge oder Vielfalt der Daten, Dauer und geografischem Umfang.
Beispiele:
Datenbanken mit > 10.000 Kunden / PatientenBundesweite Apps mit personenbezogener AuswertungGroßhändler / Filialnetz mit zentralem CRMAbgleichen oder Zusammenführen von Datensätzen
Zusammenführung von Daten aus verschiedenen Quellen oder Zwecken, die die Erwartung der betroffenen Person übersteigt.
Beispiele:
Verknüpfung CRM + Social-Media-ProfileVerschmelzung von HR- und Performance-Daten mit externer AnalyseCross-Channel-TrackingDaten zu schutzbedürftigen Betroffenen
Personen, die in einem Abhängigkeitsverhältnis stehen oder sich nur eingeschränkt gegen die Verarbeitung wehren können — insbesondere Kinder, Beschäftigte, Patient:innen, Geflüchtete.
Beispiele:
Mitarbeiter-Akten (Abhängigkeitsverhältnis)Daten von Kindern und JugendlichenDaten in der PflegeInnovative Nutzung oder neue Technologien
Einsatz von KI, biometrischer Erkennung, IoT, Augmented Reality oder vergleichbaren neuartigen Technologien, deren Risiko-Profile noch nicht etabliert sind.
Beispiele:
KI-gestützte InhaltsmoderationGesichtserkennung am EingangConnected-Car / Smart-Building-AuswertungGenerative KI mit PersonendatenHinderung an Rechtsausübung
Die Verarbeitung schließt Personen von einem Recht, einer Dienstleistung oder einem Vertrag aus oder erschwert deren Inanspruchnahme.
Beispiele:
Automatischer Login-Block bei „verdächtigem" VerhaltenVerweigerung von Versicherungsschutz aufgrund automatischer Risiko-EinstufungSperrung von Konten ohne menschliche PrüfungRisiko-Matrix (BSI 200-3)
Die Risikobewertung erfolgt nach der vereinfachten BSI-Methodik 200-3. Jedes Risiko wird anhand von Eintrittswahrscheinlichkeit und Schadensschwere klassifiziert.
| Schwere → Wahrscheinlichkeit ↓ | Vernachlässigbar | Begrenzt | Erheblich | Existenzbedrohend |
|---|---|---|---|---|
| Unwahrscheinlich | gering | gering | gering | mittel |
| Möglich | gering | mittel | mittel | hoch |
| Wahrscheinlich | gering | mittel | hoch | sehr hoch |
| Nahezu sicher | mittel | hoch | sehr hoch | sehr hoch |
Unsere Maßnahmen bei ClickCandit
ClickCandit hat für die eigenen Verarbeitungstätigkeiten eine interne Schwellwertprüfung durchgeführt. Folgende Ergebnisse und Maßnahmen gelten:
KI-Verarbeitung (Firmen-Gehirn, Smart Actions)
Kriterien „Innovative Technologien“ und „Schutzbedürftige Betroffene“ (Beschäftigte) können zutreffen → DSFA intern durchgeführt. Ergebnis: Risiko durch Opt-in-Einwilligung, PII-Filter, EU-Verarbeitung und Protokollierung hinreichend gemindert.
HR-Modul (Personalverwaltung, Performance, Payroll)
Kriterien „Schutzbedürftige Betroffene“ und „Vertrauliche Daten“ (Gehalt, SV-Nr.) können zutreffen → DSFA intern durchgeführt. Ergebnis: Risiko durch RLS, Rollenkonzept, Verschlüsselung und Audit-Log hinreichend gemindert.
Hinweisgebersystem (HinSchG)
Kriterien „Vertrauliche Daten“ und „Schutzbedürftige Betroffene“ treffen zu → DSFA intern durchgeführt. Ergebnis: Anonymität gewährleistet, Zugriff nur für Case-Manager, Hash-chained Audit-Trail, Löschfrist nach § 11 HinSchG.
Die vollständigen internen DSFA-Berichte können auf Anfrage der zuständigen Aufsichtsbehörde vorgelegt werden. Fragen richten Sie bitte an clickcandit@gmail.com.