Wie man eine Datenschutz-Folgenabschätzung (DPIA) durchführt

Die Durchführung einer Datenschutz-Folgenabschätzung (DPIA) ist eine komplexe, aber entscheidende Aufgabe, um sicherzustellen, dass Ihre Daten vor Sicherheitslücken und Schwachstellen geschützt sind. Darüber hinaus sind DPIAs durch viele Vorschriften vorgeschrieben. Insbesondere ist die regelmäßige Durchführung von Datenschutz-Folgenabschätzungen eine wichtige Vorgabe der Allgemeinen Datenschutzverordnung (GDPR), einer umfassenden Datenschutzgesetzgebung, die für alle Organisationen gilt, die Daten von Einwohnern der Europäischen Union (EU) speichern oder verarbeiten. DPIAs werden auch vom UK GDPR gefordert.

Lesen Sie weiter, um zu erfahren, was DPIA bedeutet, die wichtigsten DPIA-GDPR-Anforderungen, die Fälle, die DPIAs erfordern, und wie Sie Datenschutz-Folgenabschätzungen durchführen.

Was ist eine Datenschutz-Folgenabschätzung?

Datenschutz-Folgenabschätzungen, manchmal auch Datenschutz-Folgenabschätzungen (PIAs) genannt, werden durchgeführt, um die Datenschutzrisiken eines Projekts oder Plans, der personenbezogene Daten (PII) oder, wie die DSGVO es nennt, „personenbezogene Daten“ umfasst, zu identifizieren, zu analysieren und zu minimieren.

Risiken für persönliche Informationen können von unbefugtem Zugriff durch interne oder externe Akteure bis hin zur Nichteinhaltung der Wünsche des Betroffenen beim Umgang mit personenbezogenen Daten reichen. Eine DPIA sollte immer in einer Liste von Maßnahmen resultieren, die die Organisation ergreifen wird, um die identifizierten Risiken anzugehen.

Was sind die Vorteile einer DPIA?

Die Vorteile der Durchführung von DPIAs gehen weit über die Einhaltung der DSGVO hinaus. Sie umfassen:

• Geringere Wahrscheinlichkeit von Datenpannen für Systeme, Cookies, Apps und Websites
• Verringertes Risiko, rechtlichen Verpflichtungen nicht nachzukommen
• Weniger Risiko für hohe Ausgaben durch data breach-Wiederherstellung, Bußgelder, Rechtsstreitigkeiten und Geschäftsverluste
• Einfachere Einhaltung anderer Datenschutzvorschriften

Wann sollte meine Organisation eine DPIA durchführen?

Die DSGVO verlangt nicht, dass Organisationen für jede Verarbeitungstätigkeit im Zusammenhang mit dem Datenschutz eine Datenschutz-Folgenabschätzung (DPIA) durchführen. Vielmehr müssen sie eine DPIA durchführen, wenn ihre Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen (der Begriff der DSGVO ist „natürliche Personen“) zur Folge hat.

Das Unterlassen einer Datenschutz-Folgenabschätzung (DPIA), wenn diese laut offiziellen Richtlinien erforderlich ist, kann rechtliche Durchsetzungsmaßnahmen nach sich ziehen, einschließlich hoher Bußgelder von der Europäischen Datenschutzbehörde.

Wann ist eine DPIA erforderlich?

Verwenden Sie die folgenden Kriterien aus The Guidelines on Data Protection Impact Assessment um zu bestimmen, ob eine DPIA verpflichtend ist:

• Bewertung oder Scoring — Sie müssen DPIAs durchführen, wenn Sie Personen profilieren, insbesondere deren Arbeitsleistung, wirtschaftliche Situation, Gesundheit, persönliche Vorlieben oder Interessen, Verhalten, Standort oder Bewegungen. Die DSGVO verlangt auch DPIAs für die Feststellung von Kreditwürdigkeiten, genetische Tests zur Bewertung von Gesundheitsrisiken und verhaltensbasiertes Marketingprofilieren.
• Automatisierte Entscheidungsfindung — DPIAs sind notwendig, wenn Prozesse eingeführt werden, die rechtliche Entscheidungsfindung automatisieren. Sie müssen sicherstellen, dass solche Verarbeitungen niemanden ausschließen oder diskriminieren.
• Systematische Überwachung — Sie müssen eine Datenschutz-Folgenabschätzung (DPIA) durchführen, wenn Sie betroffene Personen beobachten, überwachen oder kontrollieren, einschließlich wenn sie sich in öffentlichen Bereichen befinden. Beispiele hierfür sind Fernüberwachungssysteme wie Türklingelkamera-Apps.
• Sensibler Umgang mit Daten — DPIAs sind immer erforderlich, wenn Sie mit hochpersönlichen Daten umgehen, wie zum Beispiel Gesundheitsdaten eines Patienten.
• Großangelegte Datenverarbeitung — DPIAs sind erforderlich, wenn Sie eine großangelegte Datenverarbeitung durchführen. Kriterien für die Bestimmung, ob eine Datenverarbeitung in großem Umfang stattfindet, umfassen die Anzahl der betroffenen Personen und die Dauer sowie den geografischen Umfang der Aktivität.
• Abgleichen oder Zusammenführen von Datensätzen — Sie müssen eine Datenschutz-Folgenabschätzung (DPIA) durchführen, wenn Sie zwei oder mehr Datensätze, die für unterschiedliche Zwecke gesammelt wurden, zusammenführen oder vergleichen.
• Verletzliche Datensubjekte — DPIAs sind erforderlich, wenn ein Machtungleichgewicht zwischen den Datensubjekten und dem Datenverantwortlichen besteht, da dies dem Datensubjekt schaden könnte. DPIAs sind für Datensubjekte erforderlich, die der Verarbeitung ihrer Daten nicht widersprechen können, wie Kinder, Angestellte und Menschen mit psychischen Erkrankungen oder kognitiven Problemen.
• Innovativer Einsatz — DPIAS sind für neuere Technologien erforderlich, wie IoT-Geräte, Fingerabdruckscanner und Gesichtserkennungssysteme.
• Übertragung von Daten außerhalb der EU oder des Vereinigten Königreichs — Sie müssen DPIAs durchführen, wenn Daten außerhalb der EU oder des Vereinigten Königreichs übertragen werden. Dies hilft sicherzustellen, dass angemessene Schutzmaßnahmen vorhanden sind.
• Umgang mit Bewerberdaten — Wenn Sie Prozesse durchführen, die es den betroffenen Personen verhindern, ein Recht auszuüben oder Dienstleistungen oder Verträge zu nutzen, müssen Sie eine Datenschutz-Folgenabschätzung (DPIA) durchführen. Ein Beispiel ist, wenn eine Bank Kreditprüfungen für Darlehensanträge vornimmt.

Wann ist eine DPIA nicht erforderlich?

Sie sind nicht verpflichtet, eine DPIA unter den folgenden Umständen durchzuführen:

• Sie erfüllen rechtliche Verpflichtungen — Wenn Sie Daten aufgrund einer rechtlichen Verpflichtung oder im Auftrag der Öffentlichkeit verarbeiten, müssen Sie keine DPIA durchführen. Diese Ausnahme gilt jedoch nur, wenn die Datenverarbeitung mindestens eine der folgenden Bedingungen erfüllt:
  • Sie haben eine gesetzliche Grundlage für die Verarbeitung der Daten.
  • Eine gesetzliche Bestimmung oder ein gesetzlicher Code regelt den Verarbeitungsvorgang.
  • Sie unterliegen keinen DPIA-Pflichten, wie in der anwendbaren Gesetzgebung festgelegt.
  • Eine Risikobewertung des Datenschutzes wurde als Teil der Folgenabschätzung durchgeführt, als die DSGVO im Mai 2018 angenommen wurde.
• Sie haben bereits eine ähnliche DPIA durchgeführt — Wenn Sie eine DPIA abgeschlossen haben und nachweisen können, dass die Art, das Design, der Umfang, der Kontext und der Zweck der aktuellen Situation alle ähnlich sind, können Sie von der Durchführung einer neuen DPIA befreit sein.

Wann sollte eine DPIA durchgeführt werden?

Sie sollten DPIAs in neue Projekte, die personenbezogene Daten betreffen, von Anfang an einbeziehen und sie während der gesamten Planung und Entwicklung nutzen. Wenn Sie beispielsweise eine IoT-App erstellen möchten, berücksichtigen Sie die DPIA-Verpflichtungen bereits in den ersten Phasen des Planungsprozesses bis hin zum Abschluss.

Was ist mit Prozessen, die bereits vor Inkrafttreten der DSGVO vorhanden waren?

Die DPIA-Anforderung gilt für Prozesse, die am oder nach dem 25. Mai 2018 begonnen haben, sowie für Prozesse, die vor diesem Datum begonnen haben und sich auf eine Weise geändert haben, die die Einhaltung von Compliance-Anforderungen beeinflusst.

Obwohl Sie technisch gesehen von der Durchführung von DPIAs befreit sein könnten, empfehlen die meisten Compliance-Experten, DPIAs für Risikoverarbeitungsoperationen durchzuführen, die bereits vor Inkrafttreten der DSGVO begonnen wurden.

Was sollte in einer DPIA enthalten sein?

Um den vollen Nutzen von DPIAs zu erschließen und die Einhaltung der DSGVO sicherzustellen, ist ein umfassender Ansatz erforderlich. Die folgenden Checklisten können Ihnen helfen, wichtige Informationen oder Kontexte nicht zu übersehen.

DPIA-Awareness-Checkliste

Eine Awareness-Checkliste wird Ihnen helfen, die aktuellen DPIA-Prozesse Ihres Unternehmens zu verstehen und eine Kultur zu etablieren, in der alle Mitarbeiter aufmerksam für die DPIA-Anforderungen sind, wodurch die Wahrscheinlichkeit menschlicher Fehler verringert wird. Awareness-Checklisten umfassen:

• Mitarbeiterschulung — Unterweisen Sie die Mitarbeiter, wie DPIAs persönliche Daten schützen und wann sie notwendig sind.
• Verfahrens- und Richtlinienmanagement — Überprüfen Sie, wie gut die Unternehmensrichtlinien mit den Anforderungen der DPIA übereinstimmen.
• Implementation guidelines — Document what circumstances require a DPIA.

DPIA-Prüflisten

Eine Prüfliste bietet eine gründlichere Analyse, die Kriterien dafür aufstellt, wann eine DPIA für bestimmte Projekte notwendig ist. Prüflisten umfassen:

• Verständnis der betreffenden Daten — Erstellen Sie Dokumente, die Fragen darüber stellen, wie viel Daten betroffen sind, wie verwundbar die Datensubjekte sind und wie persönlich und privat die Daten sind. Geben Sie auch Richtlinien an, um Daten mit hohem Risiko von Daten mit niedrigem Risiko zu unterscheiden.
• Einzelheiten zur Datenverarbeitung — Geben Sie an, wie lange die Daten verarbeitet werden, die Speicherorte und die Überwachung, wer Zugang hat, welche Sicherheitsmaßnahmen vorhanden sind und wie die betroffenen Personen über die Verarbeitung informiert werden. Dokumentieren Sie auch, wie Sie beabsichtigen, Datenschutzexperten und Regulierungsbehörden zu konsultieren.
• Klare Aussage darüber, warum eine DPIA für notwendig erachtet wurde oder nicht — Wenn Sie sich für eine DPIA entscheiden, sollten Sie eine klare, schriftliche Zweckerklärung haben. Wenn Sie sich bei einem Projekt gegen eine DPIA entscheiden, sollten Sie immer eine Dokumentation darüber beifügen, warum eine DPIA abgelehnt wurde.

DPIA-Verarbeitungscheckliste

Die Verarbeitungscheckliste weist die Verarbeiter auf ihr genaues Verhalten hin, sobald die DPIA beginnt, was Ihre Fähigkeit unterstützt, von Anfang bis Ende den Anforderungen der DSGVO zu entsprechen. Die Nichtverwendung einer Verarbeitungscheckliste erhöht die Wahrscheinlichkeit von menschlichen Fehlern und anderen Problemen während der Verarbeitungsphase erheblich. Eine Verarbeitungscheckliste umfasst:

• Risikoidentifikation — Definieren Sie, wie Sie vor Beginn der Verarbeitung mit den Prozessoren zusammenarbeiten möchten, um Risiken zu verstehen. Stellen Sie sicher, dass der Umfang der Verarbeitung dem Gesamtzweck entspricht. Sobald Risiken bewertet sind, schließen Sie schriftliche Maßnahmen ein, wie Sie planen, diese zu messen und zu mindern.
• Stakeholder-Liste — Identifizieren Sie alle wichtigen Stakeholder und Ihre Pläne, sie in verschiedenen Phasen zu informieren und auf dem Laufenden zu halten.
• Entscheidungsprotokolle — Erfassen Sie detaillierte Dokumentation darüber, wen Sie vor und während der Verarbeitung konsultieren, sowie alle Personen, die Zugang zu den Daten erhalten haben. Dokumentieren Sie zusätzlich alle Verarbeitungsmethoden, jegliche verwendete Technologie und alle Änderungen in der Methodik.
• Überprüfen Sie Prozesse — Wenn Sie eine Datenschutz-Folgenabschätzung (DPIA) durchführen, erstellen Sie einen Zeitplan, um den Status Ihres Projekts und Änderungen kontinuierlich zu überprüfen. Denken Sie daran, dass jede Änderung in der Art, dem Kontext, dem Umfang oder dem Design der Bewertung es erforderlich machen kann, den Prozess von vorne zu beginnen.

Welche Schritte sollte ich unternehmen, um eine DPIA durchzuführen?

Hier sind die Schritte, die Sie im Rahmen des DPIA-Prozesses zur Folgenabschätzung durchführen müssen, um die Allgemeine Datenschutzverordnung einzuhalten.

1. Ermitteln Sie den Bedarf für eine DPIA.

Verwenden Sie die oben genannten Informationen, um zu bestimmen, ob eine DPIA erforderlich ist. Stellen Sie sicher, dass Sie die folgenden Aspekte der Verarbeitung dokumentieren:

• Natur — Was Sie mit den Daten vorhaben
• Umfang — Welche Daten werden verarbeitet
• Kontext — Interne und externe Faktoren, die Erwartungen beeinflussen oder Auswirkungen haben könnten
• Zweck — Warum Ihre Organisation die Daten verarbeiten möchte

2. Beschreiben Sie die Verarbeitungsvorgänge und deren Zweck.

Dokumentieren Sie, wie Daten während des Projekts verarbeitet werden und den Umfang der Daten. Beantworten Sie die folgenden Fragen:

• Wie werden Daten gesammelt und verwendet?
• Wo und wie werden Daten gespeichert?
• Wo werden Daten gesammelt?
• Werden die Daten bei Drittanbietern gespeichert?
• Sind irgendwelche Hochrisiko-Datenkategorien beteiligt?
• Wie viele Daten werden gesammelt und wie viele betroffene Personen gibt es?
• Wo finden Datenverarbeitungsaktivitäten statt?
• Was sind die Anforderungen an die Datenaufbewahrung?

Als Nächstes beschreiben Sie den Zweck der Datenverarbeitungsaktivitäten, wie er sich auf die Ziele des Projekts bezieht. Beschreiben Sie jede Datenverarbeitungsaktivität, wie sie den Verbraucher beeinflussen wird und wie sie für das Projekt genutzt wird.

3. Notwendigkeit und Verhältnismäßigkeit bewerten.

Ein wichtiger Aspekt einer DPIA ist die Rechtfertigung der Datenverarbeitungsaktivitäten, die stattfinden, indem erklärt wird, was tatsächlich für die Ziele und Ergebnisse des Projekts erforderlich ist. Beginnen Sie damit, diese Fragen zu beantworten:

• Gibt es eine rechtliche Grundlage für die Erhebung dieser Daten?
• Sind angemessene Zustimmungsmaßnahmen vorhanden?
• Sind gefährdete Datensubjekte beteiligt?
• Wurden bei früheren Projekten ähnlicher Art ähnliche Verarbeitungen durchgeführt? Wenn ja, wurden Sicherheitsmängel erkannt und behoben?
• Ist die Datenverarbeitung notwendig, um die Ziele des Projekts zu erreichen?
• Wie werden Verbraucherrechte gewahrt?
• Gibt es Möglichkeiten, die Verwendung von Verbraucherdaten zu minimieren?

4. Konsultieren Sie die beteiligten Parteien.

Sie sollten im Verlauf der DPIA mehrere wichtige Parteien konsultieren. Dazu gehören:

• Datenschutzbeauftragter (DPO) — Der DPO der Organisation ist verantwortlich für die Überwachung der Einhaltung der DSGVO und anderer Datenschutzgesetze, die Schulung des mit der Datenverarbeitung befassten Personals und fungiert als Ansprechpartner für die betroffenen Personen. Die Konsultation eines DPO kann Ihnen helfen, die Einhaltung nachzuweisen, die Rechenschaftspflicht zu erhöhen und Feedback zu Projektrisiken zu erhalten.
• Projektbeteiligte — Die Einbeziehung aller Beteiligten wird Ihnen helfen, das Ausmaß und die Notwendigkeit der Datenverarbeitungsaktivitäten vollständig zu verstehen sowie geeignete Strategien zur Risikobewältigung zu entwickeln.
• Betroffene Personen und ihre Vertreter — Betroffene Personen und ihre Vertreter können Ihnen Rückmeldung geben, wie ihre Daten verarbeitet werden und die Rechtmäßigkeit Ihrer Verarbeitungstätigkeiten sicherstellen.
• Externe Experten — Für Datenschutz Expertise sollten Sie externe Fachleute wie Informationssicherheitsprofis, Juristen, Techniker, Sicherheitsanalysten und Soziologen hinzuziehen.

5. Identifizieren und bewerten Sie Risiken für personenbezogene Daten.

Erstellen Sie eine priorisierte Liste Ihrer Vermögenswerte und identifizieren Sie potenzielle Schwachstellen. Wenn eines Ihrer Vermögenswerte beispielsweise ein Server ist, auf dem Sie Kundendaten speichern, könnten Risiken für diese Daten Naturkatastrophen, Hardwareausfälle und böswillige Angriffe umfassen.

In Ihrer Risikobewertung, berücksichtigen Sie Folgendes:

• Daten, deren Verlust oder Offenlegung den Betrieb beeinträchtigen würde
• Kerngeschäftsprozesse, die diese Datenbestände nutzen
• Ob Daten anonymisiert werden
• Ob Datenhaltungsrichtlinien anwendbar sind
• Ob Daten an unsicheren Orten gespeichert werden oder möglicherweise an solche Orte verschoben werden könnten
• Ob sich der Umfang der Datenverarbeitung im Laufe des Projekts ändern wird
• Ob angemessene Zugriffskontrollen angewendet werden
• Bedrohungen, die die Fähigkeit der Organisation beeinträchtigen könnten zu operieren, sowie die Schwere und Wahrscheinlichkeit jeder Bedrohung

6. Identifizieren Sie Maßnahmen zur Risikobewältigung.

Sobald Sie eine gute Vorstellung von den potenziellen Risiken des Projekts haben, formulieren und implementieren Sie strategisch geeignete Maßnahmen zur Risikominderung. Datensicherheit Lösungen können Ihnen dabei helfen sicherzustellen, dass:

• Die notwendigen Sicherheitsmaßnahmen sind getroffen, um unbefugten Zugriff auf persönliche Daten durch interne oder externe Akteure zu verhindern.
• Datenaufbewahrungsrichtlinien sind vorhanden, um Daten zu entfernen, die nicht mehr benötigt werden.
• Technologien zur Entdeckung und Überwachung bieten Einblick darin, wo personenbezogene Daten vorhanden sind, wer darauf zugreift, wie sie verwendet werden und wie sie sich innerhalb der Organisation bewegen.
• Maßnahmen zur Behebung (wie das Löschen unnötiger Daten und das Bereinigen von Zugriffen) können automatisiert und im großen Maßstab durchgeführt werden.

Sie müssen dokumentieren, welche Risiken des Informationsschutzes durch eine spezifische Minderungsmaßnahme adressiert werden und wie. Hier sind zwei Beispiele:

Beispiel 1

Risiko: Die Organisation speichert PII länger als notwendig.

Lösung: Verwenden Sie ein automatisiertes Datenretentionstool, um sicherzustellen, dass Daten wie erforderlich gelöscht werden.

Beispiel 2

Risiko: Unbefugte Benutzer könnten auf den Server zugreifen und regulierte Daten einsehen.

Lösung: Erhöhen Sie die Sicherheitstests und Überwachung des Servers, um verdächtige Aktivitäten zu verhindern und zu erkennen.

7. Holen Sie sich die Freigabe.

Sobald alle Risiken identifiziert und eine angemessene Sicherheitsstrategie entwickelt wurde, holen Sie die Genehmigung zur Umsetzung von den relevanten Parteien ein. Die Liste hängt von der Organisation und dem spezifischen Projekt ab, umfasst aber oft den Datenschutzbeauftragten und Mitglieder des Managementteams.

8. Ergreifen Sie Maßnahmen, um Risiken zu begegnen.

Als Nächstes setzen Sie die identifizierten Lösungen und anderen Maßnahmen ein, um Risiken zu reduzieren.

9. Erstellen Sie einen abschließenden DPIA-Bericht.

Zu guter Letzt müssen Sie einen abschließenden DPIA-Bericht erstellen. Dieser muss die folgenden Informationen enthalten:

• Eine detaillierte Beschreibung des Projekts und seines Zwecks
• Eine Bewertung der Datenverarbeitungsanforderungen und des Umfangs
• Eine Bewertung der Risiken im Bereich Datenschutz und Verbraucherdatenschutz
• Eine Erläuterung, wie die Organisation Risiken minimieren und die Anforderungen der DSGVO erfüllen wird

Es ist eine bewährte Praxis, DPIAs vollständig oder teilweise zu veröffentlichen, auch wenn die DSGVO dies nicht vorschreibt. Dies hilft, Vertrauen in Ihre Verarbeitungsvorgänge zu schaffen und Rechenschaftspflicht sowie Transparenz gegenüber allen Stakeholdern zu demonstrieren.

Wie kann Netwrix bei Datenschutz-Folgenabschätzungen helfen?

Die Durchführung einer DPIA kann zeitaufwändig sein, insbesondere für Organisationen mit begrenztem IT-Personal. Glücklicherweise ist Netwrix hier, um zu helfen. Wir bieten Compliance-Audit-Lösungen an, die die Sicherheit stärken, Prüfer zufriedenstellen und Organisationen jeder Größe absichern. Mit unseren Dienstleistungen können Sie:

• Identifizieren Sie regulierte Daten und schränken Sie den Zugriff darauf ein — Ermitteln Sie, welche regulierten Inhalte Ihre Organisation besitzt und stellen Sie sicher, dass diese nur an sicheren Orten gespeichert werden.
• Kontrollieren Sie den Zugriff auf Ihre Daten — Setzen Sie das Prinzip der minimalen Rechte mit automatisierten Zugriffsanforderungen und Genehmigungsworkflows, regelmäßiger Überprüfung und Bestätigung durch Datenbesitzer, effektivem Group Policy Management, sicheren Systemkonfigurationen und starken Passwortrichtlinien. Darüber hinaus erkennen Sie Bedrohungen in ihren frühen Stadien und reagieren schnell, um sie zu unterbinden.
• Reduzieren Sie die Vorbereitungszeit für Audits von Wochen oder Tagen auf Minuten — Erstellen Sie schnell harte Beweise für die Einhaltung von Vorschriften mit vordefinierten Berichten über Systemkonfigurationen, Datenzugriff, Benutzerkonten und mehr.

FAQ

1. Sind DPIAs verpflichtend?

Artikel 35 der DSGVO verlangt eine DPIA immer dann, wenn Sie Verfahren durchführen, die das Risiko für die Rechte oder Freiheiten von Einzelpersonen erhöhen könnten. Die DPIA-Anforderung gilt für Verfahren, die am oder nach dem 25. Mai 2018 begonnen haben, und für Verfahren, die vor diesem Datum begonnen haben und sich in einer Weise geändert haben, die die Einhaltung der Anforderungen beeinflusst.

2. Gibt es irgendwelche Ausnahmen?

Eine DPIA ist möglicherweise nicht erforderlich, wenn Sie Daten aufgrund einer rechtlichen Verpflichtung oder im Auftrag der Öffentlichkeit verarbeiten, oder wenn Sie bereits eine ähnliche DPIA durchgeführt haben.

3. Wer ist verantwortlich für die Durchführung von DPIAs?

Eine DPIA sollte Ihren Datenschutzbeauftragten einbeziehen, falls vorhanden, sowie die Person, die das Projekt leitet, welches die DPIA ausgelöst hat, und alle relevanten Datenverarbeiter.

4. Wann sollten DPIAs durchgeführt werden?

Organisationen sollten DPIAs von Beginn eines jeden neuen Projekts an integrieren und sie während des gesamten Planungs- und Entwicklungsprozesses durchführen.

5. Was sollte eine DPIA beinhalten?

Das Information Commissioner’s Office (ICO) beschreibt, was in einer DPIA-Bewertung enthalten sein sollte. Insbesondere dokumentieren Sie die folgenden Faktoren über die Datenverarbeitung:

• Natur — Was Sie mit den Daten vorhaben
• Umfang — Was die Verarbeitung umfasst
• Kontext — Interne und externe Faktoren, die Erwartungen beeinflussen oder Auswirkungen haben könnten
• Zweck — Warum die Organisation die Daten verarbeiten möchte