Datenschutz-Folgenabschätzung
Eine Datenschutz-Folgenabschätzung (DSFA) ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen hat (Art. 35 Abs. 1 DSGVO). Sie beschreibt die Verarbeitung, prüft Notwendigkeit und Verhältnismäßigkeit, bewertet die Risiken und legt Abhilfemaßnahmen fest (Art. 35 Abs. 7). Ob ein hohes Risiko vorliegt, zeigen Art. 35 Abs. 3, die Muss-Liste der Aufsichtsbehörden und die neun Kriterien der Leitlinien WP 248. Treffen zwei Kriterien zu, ist eine DSFA in der Regel erforderlich.
Für Deinen KI-Server
- Ein Sprachmodell erfüllt das Kriterium neuartige Technologie immer.
- Ein zweites Kriterium löst die Pflicht aus: Bewertung von Personen (Muss-Liste Nr. 11), Steuerung der Interaktion mit Betroffenen (Nr. 11), besondere Kategorien, schutzbedürftige Personen, großer Umfang.
- Die DSK erwartet beim Einsatz von KI-Anwendungen vielfach eine DSFA. Mit DSFA wird ein Datenschutzbeauftragter Pflicht (§ 38 Abs. 1 S. 2 BDSG).
- Das System erzeugt die Schwellwertanalyse immer und die DSFA, wenn sie erforderlich ist.
Rechtsgrundlagen
- Art. 35 DSGVO
- Art. 36 DSGVO
- § 38 Abs. 1 S. 2 BDSG
Quellen
- Art. 35 DSGVO Datenschutz-Folgenabschätzung: dsgvo-gesetz.de, eur-lex.europa.eu
- Art. 36 DSGVO Vorherige Konsultation: dsgvo-gesetz.de, eur-lex.europa.eu
- § 38 BDSG Datenschutzbeauftragte nichtöffentlicher Stellen: www.gesetze-im-internet.de, dsgvo-gesetz.de
- DSK Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, nichtöffentlicher Bereich, Stand 17.10.2018: datenschutz-hamburg.de, www.lda.bayern.de
- Artikel-29-Datenschutzgruppe, Leitlinien zur Datenschutz-Folgenabschätzung, WP 248 rev.01: ec.europa.eu
- DSK Kurzpapier Nr. 5 Datenschutz-Folgenabschätzung nach Art. 35 DSGVO: www.datenschutzkonferenz-online.de, lfd.niedersachsen.de
- DSK Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0, 06.05.2024: www.datenschutzkonferenz-online.de, www.lfd.niedersachsen.de, www.baden-wuerttemberg.datenschutz.de