Eine Datenschutz-Folgenabschätzung ist laut DSGVO immer dann durchzuführen, wenn durch die Verarbeitung von Daten voraussichtlich hohe Risiken für Freiheiten und persönliche Rechte von Betroffenen entstehen. In Artikel 35 Absatz 3 der DSGVO sind einige Beispiele genannt, bei denen eine Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung besteht. Dies können beispielsweise folgende Vorgänge sein:

• umfangreiche Verarbeitung von Daten über Straftaten und strafrechtliche Verurteilungen
• systematische und weiträumige Überwachung öffentlicher Bereiche
• umfassende Bewertung von persönlichen Aspekten natürlicher Personen basierend auf Profiling und automatisierter Verarbeitung, die als Entscheidungsgrundlage Rechtswirkungen gegenüber Personen entfalten oder sie in erheblicher Weise beeinträchtigen