Was ist eine Risikoanalyse nach DSGVO/BDSG (neu) und wann muss eine solche durchgeführt werden?
Der Begriff des Risikos ist weder in der DSGVO noch im BDSG (neu) klar definiert. Dennoch wird an mehreren Stellen sowohl in den Gesetzestexten, als auch in den Erwägungsgründen, auf diesem zentralen Begriff aufgebaut. Eine zentrale Stelle finden sich im Erwägungsgrund 75 zur DSGVO, die hier vollständig zitiert sein soll:
"Die Risiken für die Rechte und Freiheiten natürlicher Personen – mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere – können aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn die Verarbeitung zu einer Diskriminierung, einem Identitätsdiebstahl oder -betrug, einem finanziellen Verlust, einer Rufschädigung, einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten, der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen führen kann, wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren, wenn personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Zugehörigkeit zu einer Gewerkschaft hervorgehen, und genetische Daten, Gesundheitsdaten oder das Sexualleben oder strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln betreffende Daten verarbeitet werden, wenn persönliche Aspekte bewertet werden, insbesondere wenn Aspekte, die die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel betreffen, analysiert oder prognostiziert werden, um persönliche Profile zu erstellen oder zu nutzen, wenn personenbezogene Daten schutzbedürftiger natürlicher Personen, insbesondere Daten von Kindern, verarbeitet werden oder wenn die Verarbeitung eine große Menge personenbezogener Daten und eine große Anzahl von betroffenen Personen betrifft."
(Erwägungsgrund 75 zur DSGVO)
Der Erwägungsgrund 89 erwähnt ausdrücklich, dass auch die Einführung neuer Technologien der Datenverarbeitung eine Datenschutzfolgeabschätzung erforderlich wird. Die bislang notwendige Meldung bei der Einführung neuer Technologien bei den zuständigen Behörden entfällt entsprechend.
Der risikobasierte Ansatz der DSGVO fordert von den Verantwortlichen:
 
* die Identifikation der mit der Verarbeitung verbunden Risiken
* eine Risikoanalyse unter Berücksichtigung der Eintrittswahrscheinlichkeit und der Schwere der Folgen
* die Beurteilung, ob es sich um ein hohes oder sogar sehr hohes Risiko handelt und, nicht zuletzt
* eine adäquate Risikobehandlung.