Datenschutz Informationssicherheit KI-Compliance Unternehmens-Compliance

Datenschutz-Risikomanagement & Datenschutz-Folgenabschätzung

Datenschutz-Risiken systematisch erkennen und beherrschen. Von der Pflicht-DSFA bis zum laufenden Risikomanagement für alle Verarbeitungstätigkeiten.

DSGVO Art. 35 Externer DSB BDSG

Warum Datenschutz-Risikomanagement?

Nicht jede Verarbeitung braucht eine DSFA, aber jede braucht eine Risikobetrachtung.

Die DSGVO fordert eine risikobasierte Herangehensweise an den Datenschutz. Das bedeutet: Für alle Verarbeitungstätigkeiten ist das Risiko für betroffene Personen zu beurteilen. Bei hohem Risiko ist eine Datenschutz-Folgenabschätzung (DSFA) Pflicht, sonst drohen empfindliche Bußgelder.

Wir begleiten Sie bei der Einschätzung, wann eine DSFA erforderlich ist, führen diese durch und etablieren ein laufendes Risikomanagement für Ihre Verarbeitungstätigkeiten.

Wann ist eine DSFA Pflicht? Bei Verarbeitungen mit voraussichtlich hohem Risiko, z. B. systematische Überwachung, Profiling, sensitive Datenkategorien (Art. 9 DSGVO), neue Technologien oder umfangreiche Verarbeitungen. Die Datenschutzkonferenz hat Muss-Listen veröffentlicht.

Unsere Leistungen im Überblick

Schwellenwertprüfung: DSFA erforderlich oder nicht?
Vollständige DSFA-Dokumentation nach Art. 35 DSGVO
Risikobeurteilung für alle VVT-Einträge
Maßnahmen zur Risikominderung (technisch & organisatorisch)
Konsultation der Aufsichtsbehörde (Art. 36) bei Bedarf
Laufende Überprüfung und Aktualisierung

Unser Vorgehen

DSFA in vier strukturierten Schritten.

Schwellenwertprüfung

Prüfung jeder Verarbeitung auf DSFA-Pflicht. Berücksichtigung der DKK-Muss-Liste.

Systematische Beschreibung

Vollständige Beschreibung der Verarbeitung, der verfolgten Zwecke, der betroffenen Personengruppen und der Datenkategorien.

Risikobewertung

Beurteilung von Eintrittswahrscheinlichkeit und Schwere möglicher Schäden für betroffene Personen. Identifikation der Risikoquellen.

Maßnahmen & Review

Festlegung geeigneter TOMs zur Risikominderung. Dokumentation des verbleibenden Restrisikos und regelmäßiger Review-Zyklus.

Leistungsumfang

Was wir für Sie übernehmen.

Datenschutz-Folgenabschätzung (DSFA)

Schwellenwertanalyse und Dokumentation der Entscheidung
Erstellung der vollständigen DSFA-Dokumentation
Einbeziehung des Datenschutzbeauftragten gemäß Art. 35 Abs. 2
Vorbereitung der Behörden-Konsultation bei verbleibendem hohen Risiko

Laufendes Datenschutz-Risikomanagement

Risikoklassifizierung aller VVT-Einträge (niedrig / mittel / hoch)
Jährlicher Review und anlassbezogene Aktualisierung
Integration in das Datenschutzmanagementsystem
Berichterstattung an die Geschäftsführung

Technische & Organisatorische Maßnahmen

Ableitung geeigneter TOMs aus der Risikobeurteilung
Verhältnismäßigkeitsprüfung der Maßnahmen
Dokumentation im Verarbeitungsverzeichnis
Review bei technischen oder organisatorischen Änderungen

Auftragsverhältnisse & Dritte

Risikobewertung bei Einsatz von Auftragsverarbeitern
Prüfung von Drittlandtransfers (SCC, Angemessenheitsbeschlüsse)
Transfer Impact Assessments (TIA)
Dokumentation für Aufsichtsbehörden und Prüfungen