Eine Datenschutz-Folgenabsch\u00e4tzung (DPIA) spielt bei der Website-Pr\u00fcfung immer dann eine zentrale Rolle, wenn die Datenverarbeitung auf einer Website voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen mit sich bringt. Sie ist kein optionales Zusatzinstrument, sondern eine gesetzliche Pflicht nach Art. 35 DSGVO, die vor der eigentlichen Verarbeitung durchzuf\u00fchren ist. Die folgenden Abschnitte beleuchten, wann eine DPIA konkret erforderlich ist, welche Website-Elemente dabei eine Rolle spielen und wie sich die Vorbereitung effizient gestalten l\u00e4sst.<\/p>\n
Eine DPIA ist gesetzlich vorgeschrieben, wenn die geplante Datenverarbeitung auf einer Website voraussichtlich ein hohes Risiko f\u00fcr betroffene Personen darstellt. Art. 35 DSGVO nennt drei Regelbeispiele: systematische und umfassende Bewertung pers\u00f6nlicher Aspekte mittels automatisierter Verarbeitung, umfangreiche Verarbeitung besonderer Datenkategorien sowie systematische \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche.<\/p>\n
F\u00fcr Websites bedeutet das konkret: Setzt Ihre Website Technologien ein, die das Verhalten von Nutzern umfassend verfolgen, etwa durch Cross-Site-Tracking, detaillierte Nutzerprofile oder den Einsatz von Targeting-Algorithmen, ist eine DPIA in der Regel erforderlich. Auch der Einsatz von Diensten, die Daten in unsichere Drittstaaten \u00fcbermitteln, kann die Risikoschwelle erh\u00f6hen.<\/p>\n
Die Datenschutzbeh\u00f6rden der EU-Mitgliedstaaten ver\u00f6ffentlichen sogenannte Muss-Listen, die Verarbeitungst\u00e4tigkeiten auff\u00fchren, f\u00fcr die eine DPIA zwingend durchzuf\u00fchren ist. Die deutsche Datenschutzkonferenz (DSK) hat eine solche Liste ver\u00f6ffentlicht. Auch wenn Ihre Website nicht explizit auf dieser Liste steht, empfiehlt sich eine eigene Risikoeinsch\u00e4tzung: Verarbeiten Sie Daten von Minderj\u00e4hrigen, kombinieren Sie verschiedene Datens\u00e4tze oder setzen Sie innovative Technologien ein, sollten Sie die DPIA-Pflicht sorgf\u00e4ltig pr\u00fcfen.<\/p>\n
Wichtig: Die Pflicht zur DPIA entsteht vor<\/em> dem Start der Verarbeitung. Wer erst nach dem Go-live pr\u00fcft, ob eine DPIA erforderlich war, handelt bereits au\u00dferhalb des gesetzlich vorgesehenen Rahmens.<\/p>\n In eine DPIA f\u00fcr eine Website flie\u00dfen alle Elemente ein, die personenbezogene Daten verarbeiten oder die Risikobewertung beeinflussen. Dazu geh\u00f6ren Cookies und Tracker, externe Dienste, Formulare, Login-Bereiche sowie die technische Infrastruktur, auf der die Website betrieben wird.<\/p>\n Eine strukturierte DPIA ber\u00fccksichtigt typischerweise folgende Website-Elemente:<\/p>\n Jedes dieser Elemente muss in der DPIA hinsichtlich der Art der Daten, des Verarbeitungszwecks, der Rechtsgrundlage und des potenziellen Schadens f\u00fcr Betroffene bewertet werden. Gerade die Kombination mehrerer dieser Elemente kann das Gesamtrisiko erheblich erh\u00f6hen.<\/p>\nWelche Website-Elemente flie\u00dfen in eine DPIA ein?<\/h2>\n
\n
Wie unterscheidet sich eine DPIA von einem regul\u00e4ren Datenschutz-Audit?<\/h2>\n