Ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen ist in folgenden Fällen jedenfalls anzunehmen:

1. es erfolgt eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen (Profiling), welche als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlicher erheblicher Weise beeinträchtigen.
2. umfangreiche Verarbeitung von Daten besonderer Kategorien (Art 9 Daten) oder strafrechtlich relevanten Daten (Art 10 Daten)
3. Durchführung einer systematischen umfangreichen Überwachung öffentlicher Bereiche (z.B. große Anzahl von Videokameras)
4. die Verarbeitung findet sich auf einer "schwarzen Liste" der Aufsichtsbehörde

Eine PIA hat einen bestimmten Mindestinhalt, der in Art. 35 Abs 7 DSGVO definiert ist.

1. eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen;
   
2. eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck;
   
3. eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
   
4. die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass die Bestimmungen der DSGVO eingehalten werden.