Nachträgliche Datenschutz-Folgenabschätzung

• Dr. Lorenz Franck

Der Begriff „Folgenabschätzung“ (engl.: impact assessment) verdeutlicht, dass möglichst gehandelt werden sollte, bevor das Kind in den Brunnen gefallen ist. Art. 35 Abs. 11 DSGVO sieht dennoch vor, dass eine Datenschutz-Folgenabschätzung u. U. auch später noch vorgenommen wird. Es sind weitere (unbenannte) Fallkonstellationen denkbar, etwa wenn eine behördliche „Blacklist“ gemäß Art. 35 Abs. 4 S. 1 DSGVO erst nach Beginn der Verarbeitung veröffentlicht wird, wenn eine obligatorische Datenschutz-Folgenabschätzung pflichtwidrig unterlassen wurde oder wenn Altverfahren über den 25. Mai 2018 hinaus genutzt werden.