Ein Verantwortlicher hat vor Beginn (vgl Art 35 Rz 6) einer Datenverarbeitung eine Datenschutz-Folgenabschätzung durchzuführen, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art 35 Abs 1). Ein solches hohes Risiko ist jedenfalls in folgenden Fällen anzunehmen:
