Bei Fragen zu den folgenden Ausführungen oder bereitgestellten Unterlagen wenden Sie sich bitte an die Datenschutzstelle.

1. Was ist eine DSFA?

Organe sind verpflichtet, die Datenbearbeitung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden. Im Vorfeld einer geplanten Datenbearbeitung sind die Risiken für die Grundrechte der betroffenen Personen entsprechend zu identifizieren, zu bewerten und mit geeigneten Massnahmen zu reduzieren.

Das Organ, das Personendaten bearbeitet, muss den Nachweis erbringen können, dass es die Datenschutzbestimmungen einhält. Die DSFA dient dazu, diesen Nachweis zu erbringen.

 Eine DSFA umfasst eine

• Schutzbedarfsanalyse
• Rechtsgrundlagenanalyse
• Risikoanalyse und -bewertung
• allenfalls ein ISDS-Konzept

Die Datenschutzstelle stellt für die Datenschutz-Folgenabschätzung Vorlagen zur Verfügung.

2. Wer muss eine DSFA erstellen?

Die Pflicht zur Erstellung einer DSFA, inkl. aller damit zusammenhängender Dokumente (Rechtsgrundlagenanalyse, Schutzbedarfsanalyse, ISDS-Konzept), liegt beim Organ, das für eine geplante neue Bearbeitung oder eine wesentlich veränderte Bearbeitung verantwortlich ist. Im Rahmen einer DSFA sind rechtliche, technische und organisatorische Anforderungen darzulegen, was den Beizug entsprechender Fachpersonen erfordert.

3. Wann besteht eine Pflicht zur Erstellung einer DSFA?

Bild Legende:

Im Vorfeld jeder Datenbearbeitung und damit jeder DSFA sind folgende Abklärungen erforderlich

•  Schutzbedarfsanalyse
• Rechtsgrundlagenanalyse

 Die Pflicht zur Erstellung einer DSFA ergibt sich

• aus der Schutzbedarfsanalyse
• aufgrund der Liste Vorabkonsultation, die der Datenschutzstelle zur Vorabkonsultation zu unterbreiten sind.

Grundsätzlich ist bei jeder beabsichtigten Bearbeitung von Personendaten in elektronischen Systemen immer eine DSFA erforderlich. Eine DSFA ist auch vor wesentlichen Änderungen der Bearbeitung von Personendaten zu erstellen.

4. Was ist Inhalt/Ziel einer DSFA?

Die Datenschutz-Folgenabschätzung enthält mindestens Folgendes:

Beschreibung der geplanten neuen Bearbeitung von Personendaten oder der wesentlichen Veränderung von Bearbeitungsvorgängen.

Risikoanalyse: Die Risiken für die Grundrechte der betroffenen Personen (informationelle Selbstbestimmung, Privatsphäre), die mit der neuen Bearbeitung verbunden sind, sind zu benennen.
Beispiele für Risiken sind unverhältnismässige Erhebung von Daten, übermässig lange Datenaufbewahrung, Dateneinsicht durch Unbefugte, Probleme bei der Datenverfügbarkeit, fehlerhafte Daten, unzulässige Verknüpfung von Daten oder Profilbildung, ungenügende Transparenz über die Datenbearbeitung, ungenügende Intervenierbarkeit durch die betroffenen Personen etc.

Die Risiken für die Grundrechte der betroffenen Personen sind ohne die Berücksichtigung von möglichen geplanten Massnahmen aufzuführen (sog. inhärente Risiken).

Risikobewertung: Anschliessend sind die inhärenten Risiken einzeln zu bewerten. Bei dieser Risikobewertung wird ebenfalls die Annahme getroffen, dass keine risikomindernden Massnahmen vorhanden sind. Die Risikobewertungen im Rahmen der DSFA erfolgt zweidimensional:

• Zuerst werden die möglichen Auswirkungen einer Datenschutzverletzung, das sogenannte Schadensausmass, bestimmt (gering/mittel/hoch).
• Anschliessend wird eine Einschätzung getroffen, wie wahrscheinlich eine solche Verletzung eintreten könnte. Die Bewertung der Eintretenswahrscheinlichkeit ist ebenfalls dreistufig (unwahrscheinlich/möglich/wahrscheinlich).

Bild Legende:

Übertragen in die Risikoanalyse der DSFA wird «nur» der Wert des Schnittpunktes zwischen Schadensausmass und Eintretenswahrscheinlichkeit gemäss obiger Matrix.

Massnahmen zur Bewältigung der Risiken: Für jedes inhärente Risiko sind die risikomindernden Massnahmen zur Bewältigung des Risikos zu erwähnen.

Im DSFA-Dokument ist keine detaillierte Beschreibung notwendig. Eine Beschreibung der einzelnen Massnahmen erfolgt in einem allfälligen ISDS-Konzept (siehe nachfolgend).

Bewertung der Restrisiken: Jedes Risiko wird unter Berücksichtigung der vorgesehenen Massnahmen erneut einer Bewertung unterzogen. Das verbleibende Risiko nach Umsetzung der geplanten Massnahme wird als Restrisiko bezeichnet und ist für den Entscheid betreffend Vorabkonsultation relevant.

Entscheid über Vorabkonsultation: Wenn das Restrisiko im Rahmen der DSFA hoch ist/bleibt oder ein Projekt/Vorhaben unter die Liste Vorabkonsultation der Datenschutzstelle fällt, ist eine Vorabkonsultation durch die Datenschutzstelle erforderlich. Der Entscheid über die Vorabkonsultation ist im Rahmen der DSFA abschliessend festzuhalten.

5. Wann ist ein ISDS-Konzept erforderlich?

Das in einem separaten Dokument zu erstellende Informationssicherheits- und Datenschutzkonzept (ISDS-Konzept) stellt das Detailkonzept mit den technischen und organisatorischen Beschreibungen der Lösung inkl. aller Massnahmen dar. Es gilt als Bestandteil der DSFA. 

Ein ISDS ist erforderlich, wenn

• eine Datenbearbeitung gemäss Liste Vorabkonsultation geplant oder geändert wird;
• die Risikobewertung im Rahmen der DSFA beim inhärenten Risiko (Spalte B) mindestens einmal «hoch» ergeben hat.

Das Template «ISDS-Konzept» gibt die wesentlichen Inhalte vor. Es kann direkt verwendet oder als Hilfestellung genutzt werden.

Übersicht DSFA und ISDS-Konzept

6. Wann ist eine DSFA abgeschlossen?

Das Ergebnis der DSFA ist durch das verantwortliche Organ (i.d.R. Amtsleitung) schriftlich festzuhalten. 

Eine DSFA ist abgeschlossen, wenn die zwingend erforderlichen Dokumente vorliegen, die Bewertung der Restrisiken erfolgt ist und das verantwortliche Organ den Entscheid betreffend Vorabkonsultation getroffen hat.

Falls die DSFA, inkl. der in diesem Zusammenhang erstellten Dokumente, der Datenschutzstelle nicht zur Stellungnahme vorzulegen ist (Vorabkonsultation), sind die DSFA-Dokumente aufzubewahren, periodisch zu überprüfen und gegebenenfalls zu aktualisieren.

7. Wann ist eine Vorabkonsultation erforderlich?

Die DSFA ist der Datenschutzstelle in zwei Fällen zur Vorabkonsultation einzureichen: 

• Die DSFA ergibt, dass die vorgesehene Bearbeitung voraussichtlich zu einem hohen Restrisiko für die Persönlichkeit und die Grundrechte der betroffenen Person führt.
• Es handelt sich um einen Bearbeitungsvorgang der Liste Vorabkonsultation.

Für die Vorabkonsultation sind der Datenschutzstelle die zwingend erforderlichen DSFA-Dokumente zuzustellen.

8. Was bedeutet es, wenn eine Datenbearbeitung auf der Liste Vorabkonsultation aufgeführt ist?

In diesem Fall ist der Datenschutzstelle die Datenschutz-Folgenabschätzung zusammen mit der

• Schutzbedarfsanalyse,
• der Rechtsgrundlagenanalyse und dem
• ISDS-Konzept

 zur Stellungnahme zuzustellen.