Datenschutz-Folgenabschätzung (DSFA) – Pflicht, Inhalt und Ablauf nach Art. 35 DSGVO

Was ist eine Datenschutz-Folgenabschätzung?

Die Datenschutz-Folgenabschätzung (DSFA) ist eine Risikoprüfung, die Unternehmen vor Beginn einer besonders riskanten Datenverarbeitung durchführen müssen. Sie beschreibt die Verarbeitung, bewertet die Risiken für die betroffenen Personen und legt fest, mit welchen Maßnahmen diese Risiken gesenkt werden. Geregelt ist sie in Art. 35 der DSGVO.

Die DSFA ist kein Formular, das einmal ausgefüllt wird. Sie ist ein Werkzeug, um Risiken frühzeitig zu erkennen, solange sich ein Projekt noch ändern lässt.

Wann ist eine Datenschutz-Folgenabschätzung Pflicht?

Eine DSFA ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Ob das so ist, klären Sie in drei Prüfschritten.

1. Die Regelbeispiele der DSGVO

Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen immer eine DSFA nötig ist:

systematische und umfassende Bewertung persönlicher Aspekte, etwa durch Profiling, auf deren Grundlage Entscheidungen mit rechtlicher Wirkung getroffen werden
umfangreiche Verarbeitung besonderer Kategorien von Daten, etwa Gesundheitsdaten, oder von Daten über Straftaten
systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, etwa durch Videoüberwachung

2. Die Muss-Liste der Aufsichtsbehörden

Die deutschen Aufsichtsbehörden haben gemeinsam eine Liste mit 17 Verarbeitungen veröffentlicht, für die eine DSFA durchzuführen ist (Art. 35 Abs. 4 DSGVO). Dazu gehören etwa die Ortung von Beschäftigten per GPS oder Smartphone, die umfangreiche Auswertung ihres Verhaltens am Arbeitsplatz und der Einsatz von KI im Kundenkontakt oder zur Bewertung von Personen. Biometrische Verfahren wie eine Zutrittskontrolle per Fingerabdruck stehen ebenfalls auf der Liste, allerdings nur in Verbindung mit einem weiteren Risikokriterium. Videoüberwachung hat dort keinen eigenen Eintrag – sie fällt meist unter die Fallgruppen oben oder die Kriterien im nächsten Abschnitt.

3. Die Kriterien der europäischen Datenschutzbehörden

Für alle anderen Fälle helfen die Leitlinien der europäischen Datenschutzbehörden (WP 248). Sie nennen neun Kriterien, etwa Bewertung oder Scoring, Verarbeitung sensibler Daten, Daten schutzbedürftiger Personen wie Beschäftigter, den Einsatz neuer Technologien oder die Zusammenführung von Datensätzen. Sind zwei dieser Kriterien erfüllt, ist in der Regel eine DSFA nötig.

Diese Vorprüfung heißt Schwellwertanalyse. Dokumentieren Sie sie auch dann, wenn das Ergebnis lautet, dass keine DSFA nötig ist.

Typische Beispiele für eine DSFA im Mittelstand

Videoüberwachung von Betriebsgelände, Lager oder Verkaufsräumen: systematische Überwachung, oft auch von Beschäftigten
GPS-Ortung von Firmenfahrzeugen: Standortdaten von Beschäftigten, Bewegungsprofile
Biometrische Zutrittskontrolle per Fingerabdruck oder Gesicht: besondere Kategorie nach Art. 9 DSGVO
KI-gestützte Bewerberauswahl oder Leistungsbewertung: Bewertung von Personen, neue Technologie, Beschäftigtendaten
Patienten- oder Gesundheitsdaten in größerem Umfang, etwa in Praxen oder Pflegediensten: besondere Kategorie, schutzbedürftige Personen
Zusammenführung von Kundendaten für Scoring oder Profiling: Bewertung, Zusammenführung von Datensätzen

Ob im Einzelfall tatsächlich eine DSFA nötig ist, hängt vom Umfang und von den Umständen ab. Die Schwellwertanalyse klärt das.

Was muss eine Datenschutz-Folgenabschätzung enthalten?

Art. 35 Abs. 7 DSGVO legt vier Mindestbestandteile fest:

eine systematische Beschreibung der Verarbeitung und ihrer Zwecke
eine Bewertung, ob die Verarbeitung notwendig und verhältnismäßig ist
eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen
die geplanten Abhilfemaßnahmen, also Garantien, Sicherheitsvorkehrungen und TOM

So führen Sie eine DSFA in 6 Schritten durch

Schwellwertanalyse: Prüfen, ob eine DSFA nötig ist, und das Ergebnis dokumentieren.
Verarbeitung beschreiben: Zweck, Daten, Betroffene, Systeme, Dienstleister und Datenflüsse. Das Verzeichnis von Verarbeitungstätigkeiten liefert dafür die Grundlage.
Notwendigkeit prüfen: Geht es auch mit weniger Daten, kürzerer Speicherung oder einem milderen Mittel?
Risiken bewerten: Welche Schäden können Betroffenen entstehen, und wie wahrscheinlich sind sie?
Maßnahmen festlegen: Risiken durch Technik und Organisation senken, etwa Verschlüsselung, Zugriffsbeschränkung, Pseudonymisierung oder klare Löschfristen.
Ergebnis dokumentieren und prüfen: Den Rat des Datenschutzbeauftragten einholen (Art. 35 Abs. 2), das Ergebnis festhalten und regelmäßig überprüfen.

Bleibt trotz aller Maßnahmen ein hohes Risiko bestehen, müssen Sie vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren (Art. 36 DSGVO).

Brauche ich eine DSFA für den Einsatz von KI?

Nicht automatisch, aber häufig. KI gilt als neue Technologie, und viele Anwendungen verarbeiten große Datenmengen oder bewerten Personen. Damit sind schnell zwei der neun Kriterien erfüllt. Das gilt besonders, wenn Beschäftigtendaten, Kundendaten oder Gesundheitsdaten in ein KI-System fließen.

Wo die Daten verarbeitet werden, beeinflusst das Risiko stark. Eine lokale KI auf eigener Hardware senkt Risiken bei Drittlandübermittlung und Zugriff durch Anbieter. Werden Daten vor der Verarbeitung in der Cloud pseudonymisiert, sinkt das Risiko ebenfalls. Mehr dazu im Artikel KI und Datenschutz.

Zusätzlich verlangt der EU AI Act von bestimmten Betreibern von Hochrisiko-KI-Systemen eine Grundrechte-Folgenabschätzung (Art. 27 KI-Verordnung). Sie kann auf einer vorhandenen DSFA aufbauen.

Aus der Praxis

Im eigenen Haus nutzen wir eine lokale KI für interne Wissensdatenbank und Handbücher. Wenn wir für eine Aufgabe ein Cloud-Modell brauchen, pseudonymisieren wir die Daten vorher lokal. Genau solche Maßnahmen gehören in eine DSFA: Sie zeigen konkret, wie ein Risiko gesenkt wird, statt es nur zu beschreiben.

Ein zweites Beispiel betrifft die Videoüberwachung. Vor drei Jahren haben wir das Datenschutzmandat für ein Einzelhandelsunternehmen mit Filialen in mehreren Städten in Westfalen übernommen. Aus Sicherheitsgründen müssen die Geschäfte in großem Umfang videoüberwacht werden. Die Regelungen dazu stammten noch vom früheren Datenschutzbeauftragten.

Den Neubau einer Filiale haben wir zum Anlass genommen, für diesen Standort eine vollständige DSFA zu erstellen. Die Kameras und ihre Erfassungsbereiche sind direkt in den Bauplänen eingezeichnet. Speicherdauer, Datensicherung und Zugriffsberechtigte sind im Verzeichnis von Verarbeitungstätigkeiten hinterlegt. Diese DSFA haben wir anschließend auf die bestehenden Filialen übertragen. So ist für jeden Standort nachvollziehbar, was überwacht wird und warum, und der Mandant kann das bei einer Kontrolle jederzeit belegen.

Häufige Fragen zur Datenschutz-Folgenabschätzung

Wer führt die DSFA durch?

Verantwortlich ist das Unternehmen, das die Daten verarbeitet. Der Datenschutzbeauftragte muss beratend einbezogen werden. In der Praxis erarbeiten Fachabteilung, IT und Datenschutzbeauftragter die DSFA gemeinsam.

Wann muss die DSFA fertig sein?

Vor Beginn der Verarbeitung. Eine DSFA nachträglich für ein laufendes System zu erstellen, ist besser als keine, erfüllt die Pflicht aber nicht vollständig.

Was passiert, wenn eine erforderliche DSFA fehlt?

Dann drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Außerdem fehlt Ihnen im Streitfall der Nachweis, dass Sie die Risiken geprüft haben.

Kann eine DSFA für mehrere ähnliche Verarbeitungen gelten?

Ja. Ähnliche Verarbeitungen mit vergleichbarem Risiko können in einer gemeinsamen DSFA bewertet werden, etwa mehrere Filialen mit gleicher Videoüberwachung (Art. 35 Abs. 1 Satz 2 DSGVO). Wie das in der Praxis aussieht, zeigt unser Beispiel oben.

Wie oft muss eine DSFA überprüft werden?

Spätestens, wenn sich die Verarbeitung oder ihr Risiko ändert, etwa durch neue Funktionen, mehr Daten oder einen neuen Dienstleister (Art. 35 Abs. 11 DSGVO). Eine regelmäßige Überprüfung ist sinnvoll.

Fazit

Die Datenschutz-Folgenabschätzung ist für riskante Verarbeitungen Pflicht, etwa bei Videoüberwachung, Ortung, biometrischen Verfahren oder vielen KI-Projekten. Am Anfang steht immer die Schwellwertanalyse. Wer die DSFA früh im Projekt angeht, kann Risiken noch durch die Gestaltung senken, statt sie später teuer zu beheben.

Quellen und Rechtsgrundlagen

Neues Projekt mit Datenschutzrisiko?

Wir prüfen, ob eine DSFA nötig ist, und begleiten Sie Schritt für Schritt durch die Bewertung.

Schwellwertanalyse und DSFA durch zertifizierte Datenschutzbeauftragte
Technische Maßnahmen direkt aus einer Hand umsetzbar
Besonders erfahren bei KI-Projekten und Videoüberwachung

Sprechen Sie uns an – wir beraten Sie gern.

Projekt besprechen

Unser Angebot: Datenschutzbeauftragter

Telefon 02941 / 9787-0 · E-Mail info@hmcplus.de

Zur Glossar-Übersicht