Die Datenschutz-Folgenabschätzung ist ein Instrument zur Beschreibung, Bewertung und Eindämmung von hohen Risiken für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten. Sie ist ein Ausfluss des risikobasierten Ansatzes der DSGVO und ist von den Verantwortlichen unter bestimmten Bedingungen zwingend durchzuführen. 

Um Risiken für die Betroffenen zu beschreiben, bewerten und zu reduzieren, ist die Datenschutz-Folgenabschätzung vor der Einführung der Datenverarbeitung durchzuführen. Ziel der Datenschutz-Folgenabschätzung ist, Risiken zu minimieren.

Die Datenschutz-Folgenabschätzung ist durchzuführen, wenn die Form der Verarbeitung, insbesondere bei der Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge hat. Sie befasst sich insbesondere mit Abhilfemaßnahmen, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der Verordnung nachgewiesen werden kann.  

Typische Datenverarbeitungen, bei welchen Verantwortliche zwingend eine Datenschutz-Folgenabschätzung durchführen müssen sind:

• Offline-Tracking von Kundenbewegungen in Warenhäusern, Einkaufszentren o. ä.

• Fraud-Prevention-Systeme, z. B. in Online-Shops.

• Einsatz von Data-Loss-Prevention Systemen, die systematische Profile der Mitarbeiter erzeugen, z. B. durch die zentrale Aufzeichnung des Internetverlaufs von Beschäftigten. 

• Geolokalisierung von Beschäftigten, z. B. durch Bewegungsprofile von Beschäftigten durch GPS-Ortung oder zur Koordination von Arbeitseinsätzen im Außendienst.

• Erfassung des Kaufverhaltens unterschiedlicher Personenkreise zur Profilbildung und Kundenbindung unter Zuhilfenahme von Preisen, Preisnachlässen und Rabatten durch Treueprogramme.

• Videoüberwachungsmaßnahmen.

• Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten.

Können die identifizierten Risiken nicht beseitigt werden, schreibt die DSGVO vor, dass die zuständige Datenschutzbehörde informiert werden muss. Die Datenschutzaufsichtsbehörde prüft, ob eine Genehmigung der Datenverarbeitung erteilt werden kann oder nicht.

Kraft Gesetzes muss die verantwortliche Stelle den Rat des Datenschutzbeauftragten einholen.