Folgenabschätzung: nötig, wenn das Risiko für die Person hoch ist

Artikel 22 DSG verlangt eine Datenschutz-Folgenabschätzung, wenn die geplante Bearbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte zur Folge hat. Das gilt namentlich für eine umfangreiche Bearbeitung besonders schützenswerter Daten oder ein Profiling mit hohem Risiko. Die Abschätzung beschreibt die Bearbeitung, die Risiken und die Massnahmen. Bleibt das Risiko hoch, konsultiert die verantwortliche Person den EDÖB vor dem Start. Ein KMU mit einer gewöhnlichen Kundendatei hat diese Pflicht nicht automatisch.