DSFA - DTFA - PIA - TIA - PbD - MfG ;-) ?!?!

Buzzwordbingo? 
DSFA - DTFA - PIA - TIA - GDPR - DSGVO ...

Nein, es sind unterschiedliche Abkürzungen, die derzeit in Stellungnahmen und Veröffentlichungen genutzt werden und häufig das Gleiche, zumindest Ähnliches meinen. 

Profitieren Sie von unseren über 20 Jahren Erfahrung, übergreifendem Branchenwissen und unseren Netzwerken.

Alle gemeinsam haben, dass eine datenschutzkonforme Verarbeitung personenbezogener Daten gewährleitstet und nachweisbar ist. Und dass die individuellen Risiken für die Betroffenen ausreichend berücksichtigt wurden.

Das ist aus unserer Sicht auch eine Frage von Respekt und Fairness.

Artikel 35 der DSGVO besagt:
„Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, […] voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“

Weiter heißt es aber dann in Artikel 36 der DSGVO:
„Der Verantwortliche konsultiert vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz-Folgenabschätzung gemäß Artikel 35 hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft."

Anfang Juni 2021 hat die Europäische Kommission neue Standarddatenschutzklauseln veröffentlicht. In der (neuen) Klausel 14 "Lokale Rechtsvorschriften und Gepflogenheiten, die sich auf die Einhaltung der Klauseln auswirken“ gibt es Anweisungen, welche vor Unterzeichnung und vor dem Datentransfer beachtet werden müssen.

Es handelt sich hierbei um eine Folgenabschätzung vor dem eigentlichen Datentransfer. Einen offiziellen Begriff gibt es hierfür nicht. Umgangssprachlich hat sich aber der Begriff Datentransferfolgenabschätzung (kurz DTFA) etabliert, im englischen Sprachgebrauch wird häufig „DTIA“ (Data Transfer Impact Assessment) bzw. „TIA“ (Transfer Impact Assessment) verwendet.

Nein.

Es geht um die Bewertung des Risikos für die durch die Verarbeitung Betroffenen. Kann durch die Dokumentation das Risiko als tragbar angesehen werden ist eine Verarbeitung entsprechend legitim. Im Zweifel muss eine Stellungnahme der Aufsichtsbehörde eingeholt werden.

Wie unterstützen wir Sie?

Als IT- und Datenschutzexperten begleiten wir Sie inklusiver umfassender Dokumentation bei der Durchführung der DSFA/DTFA. Wichtiger ist hierbei noch, dass wir das bestehende Datenschutzmanagement überprüfen und eventuell optimieren. Um eine Datenschutz-Folgenabschätzung zu einem positiven Ergebnis zu führen, müssen die Basisarbeiten wie ein vollständiges Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Rechtsgrundlagen etc. zumindest weitestgehend umgesetzt sein.

Oftmals lassen sich durch Maßnahmen die Risiken für die Betroffenen schon so einschränken, dass eine DSFA gar nicht mehr erforderlich. Wenn doch, weil bspw. die Art der Verarbeitung auf einer Liste der Aufsichtsbehörden steht, sollte über das Datenschutzmanagement der Nachweis erbracht werden, dass die Verarbeitung für die Betroffenen kein hohes Risiko zu Folge hätte. Aus diesem Grunde nehmen wir im Verzeichnis von Verarbeitungstätigkeiten immer eine Risikobeurteilung vor.

Wir arbeiten hierbei mit einer eigenen Software welche die Risiken und die Maßnahmen, angelehnt an das Standard-Datenschutzmodell der Aufsichtsbehörden (SDM), berücksichtigt, bewertet und dokumentiert.

Am sinnvollsten ist es den Datenschutz von Beginn an in einem Projekt zu berücksichtigen. Das sind auch die Anforderungen aus Erwägungsgrund 78 der DSGVO wo es um "privacy-by-design / privacy-by-default" geht. Wird Datenschutz hier als Qualitätsmerkmal gesehen lassen sich viele Maßnahmen direkt umsetzen, dokumentieren und später gegenüber Betroffenen, Aufsichtsbehörden und anderen Stakeholdern verantworten.