Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist eines der anspruchsvollsten Instrumente im operativen Datenschutzmanagement, wird jedoch in vielen Unternehmen entweder gar nicht oder methodisch unvollständig durchgeführt. Dabei ist die DSFA nicht bloß ein behördliches Dokumentationserfordernis: Sie zwingt die verantwortliche Stelle, Datenverarbeitungsvorgänge mit hohem Risiko systematisch zu analysieren, bevor sie in Betrieb gehen. Wer eine DSFA-pflichtige Verarbeitung ohne diese Prüfung startet, riskiert Bußgelder nach Art. 83 Abs. 4 DSGVO sowie aufsichtsbehördliche Interventionen. Dieser Beitrag erläutert, wann eine DSFA gesetzlich vorgeschrieben ist, wie sie korrekt aufgebaut wird und welche Fehler Unternehmen in der Praxis regelmäßig begehen.
Was ist eine Datenschutz-Folgenabschätzung?
Die DSFA ist ein strukturiertes Verfahren zur Vorabevaluierung von Datenverarbeitungsvorgängen, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen können. Sie wurde mit der Datenschutz-Grundverordnung als verbindliches Instrument eingeführt und ersetzt die frühere Vorabkontrolle nach altem Bundesdatenschutzgesetz.
Kerngedanke der DSFA ist das Prinzip des „Privacy by Design“ in seiner vorgelagerten Ausprägung: Bevor eine riskante Datenverarbeitung startet, muss die verantwortliche Stelle nachweisen, dass sie die Risiken analysiert und durch geeignete technische und organisatorische Maßnahmen (TOM) auf ein akzeptables Maß reduziert hat. Das Ergebnis der DSFA muss dokumentiert und auf Anfrage der Aufsichtsbehörde vorgelegt werden können.
Die DSFA ist kein einmaliges Dokument, sondern ein lebendiger Prozess: Sie muss überprüft und aktualisiert werden, wenn sich die Verarbeitungsgrundlage, die eingesetzten Technologien oder das Risikoumfeld wesentlich ändern.
Wann ist die DSFA gesetzlich verpflichtend?
Art. 35 Abs. 1 DSGVO formuliert als Grundkriterium: Eine DSFA ist erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei explizite Fallgruppen als Regelbeispiele. Darüber hinaus haben die Aufsichtsbehörden nationale Positivlisten (sog. „Muss-Listen“) veröffentlicht, die konkrete Verarbeitungsarten benennen, für die eine DSFA grundsätzlich erforderlich ist.
| Auslösendes Kriterium | Beispiele aus der Unternehmenspraxis | Rechtsgrundlage |
|---|---|---|
| Systematische und umfangreiche Bewertung persönlicher Aspekte (Profiling mit erheblichen Auswirkungen) | Kreditscoring, automatisiertes Bonitäts-Rating, verhaltensbasiertes Targeting mit Entscheidungsautomatisierung | Art. 35 Abs. 3 lit. a DSGVO |
| Umfangreiche Verarbeitung besonderer Kategorien (Art. 9 DSGVO) oder strafrechtlich relevanter Daten (Art. 10 DSGVO) | Gesundheits-Apps, biometrische Zugangssysteme, betriebliche Gesundheitsmanagement-Plattformen, Überwachung von Vorstrafen bei Personalprüfungen | Art. 35 Abs. 3 lit. b DSGVO |
| Systematische Überwachung öffentlich zugänglicher Bereiche in großem Maßstab | Videoüberwachung mit KI-gestützter Personenerkennung, standortbezogene Mobilitätsanalysen | Art. 35 Abs. 3 lit. c DSGVO |
| Nationale Muss-Listen der Aufsichtsbehörden (DSK) | Tracking-Systeme zur Mitarbeiterüberwachung, umfangreiche Verarbeitung genetischer Daten, zentrale Patientendatensysteme, KI-basierte Personalentscheidungssysteme | Art. 35 Abs. 4 DSGVO i.V.m. DSK-Beschlüssen |
Die Schwellenwertprüfung als notwendiger Vorabschritt
Vor jeder DSFA steht die Schwellenwertprüfung: Ist diese Verarbeitung überhaupt DSFA-pflichtig? Die Datenschutzkonferenz (DSK) hat in einer Orientierungshilfe neun Kriterien veröffentlicht, deren Vorliegen auf ein hohes Risiko hindeutet. Sind mindestens zwei dieser Kriterien erfüllt, ist eine DSFA in der Regel durchzuführen.
Diese neun Kriterien umfassen: Bewertung oder Einstufung von Personen, automatisierte Entscheidungsfindung mit Rechtswirkung, systematische Beobachtung, vertrauliche oder sehr persönliche Daten, umfangreiche Datenverarbeitung, Kombination oder Zusammenführung von Datensätzen, Daten schutzbedürftiger Personengruppen (Kinder, Mitarbeiter, Patienten), innovative Technologien oder neuartige Anwendungen sowie Schranken für Betroffenenrechte oder der Ausschluss von deren Ausübung.
Die Schwellenwertprüfung sollte schriftlich dokumentiert werden, auch wenn das Ergebnis ist, dass keine DSFA erforderlich ist. Diese Dokumentation schützt im Falle einer aufsichtsbehördlichen Prüfung, da nachgewiesen werden kann, dass die Prüfpflicht bekannt war und bewusst ein Negativbescheid getroffen wurde.
Aufbau und Inhalt einer vollständigen DSFA
Art. 35 Abs. 7 DSGVO definiert den zwingenden Mindestinhalt einer DSFA. In der Praxis hat sich eine Gliederung in vier Hauptblöcke bewährt:
1. Systematische Beschreibung der geplanten Verarbeitungsvorgänge
Dieser Block dokumentiert vollständig, was verarbeitet wird: Kategorien von Betroffenen und personenbezogenen Daten, Verarbeitungszwecke und Rechtsgrundlagen, Empfänger und Übermittlungen, Speicherdauer sowie eingesetzte Technologien und Systeme. Die Beschreibung muss so präzise sein, dass ein fachkundiger Dritter die Verarbeitung vollständig nachvollziehen kann.
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit
Hier wird geprüft, ob die Verarbeitung für den angestrebten Zweck notwendig ist und ob mildere Alternativen mit geringerem Eingriff in die Betroffenenrechte zur Verfügung stehen. Geprüft werden auch Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO), Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) und Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO).
3. Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen
Dies ist der methodisch anspruchsvollste Teil. Es werden konkrete Schadensszenarien identifiziert (Diskriminierung, Identitätsdiebstahl, finanzielle Verluste, Rufschädigung, physische Schäden), deren Eintrittswahrscheinlichkeit und Schwere bewertet. Das Ergebnis ist eine qualitative oder quantitative Risikoklassifikation, die als Grundlage für die Maßnahmenplanung dient.
4. Geplante Abhilfemaßnahmen (TOM und organisatorische Vorkehrungen)
Für jedes identifizierte Risiko werden technische und organisatorische Maßnahmen beschrieben, die das Risiko auf ein akzeptables Restrisiko senken. Nach Anwendung der Maßnahmen wird das Restrisiko erneut bewertet. Verbleibt ein hohes Restrisiko, muss die Aufsichtsbehörde nach Art. 36 DSGVO konsultiert werden.
Risikomethodik: Eintrittswahrscheinlichkeit und Schadensausmaß
Für die Risikobewertung in der DSFA haben sich zwei weit verbreitete Methoden etabliert: die CNIL-Methodik der französischen Aufsichtsbehörde sowie das BSI-Grundschutz-Vorgehensmodell in seiner datenschutzbezogenen Ausprägung. Beide Ansätze bewerten Risiken auf zwei Achsen:
- Eintrittswahrscheinlichkeit: Wie wahrscheinlich ist es, dass das Schadensereignis tatsächlich eintritt? Bewertungsskala typischerweise: gering, mittel, hoch, sehr hoch
- Schadensausmaß: Wie schwerwiegend wären die Folgen für die betroffenen Personen, wenn das Ereignis eintritt? Bewertungsskala typischerweise: vernachlässigbar, begrenzt, erheblich, maximal
Das Produkt beider Faktoren ergibt die Risikoklasse. Für jedes als „hoch“ oder „sehr hoch“ klassifizierte Risiko müssen in der DSFA Abhilfemaßnahmen beschrieben werden. Die Methodik muss in der DSFA selbst dokumentiert werden, damit die Risikobewertung nachvollziehbar und überprüfbar ist.
„Eine DSFA, die keine konkreten Schadensszenarien benennt und alle Risiken pauschal als gering bewertet, erfüllt weder den rechtlichen Mindeststandard noch den eigentlichen Zweck des Instruments. Die DSFA soll Risiken sichtbar machen, nicht wegdefinieren.“Redaktion rechtimunternehmen.de in Anlehnung an Stellungnahmen des Europäischen Datenschutzausschusses (EDSA)
Einbindung des Datenschutzbeauftragten
Art. 35 Abs. 2 DSGVO schreibt vor, dass der Datenschutzbeauftragte (DSB) bei der Durchführung der DSFA einzubinden ist, sofern ein solcher benannt wurde. Diese Einbindung muss mehr sein als eine formale Kenntnisnahme: Der DSB sollte aktiv bei der Risikoidentifikation und der Bewertung von Abhilfemaßnahmen mitwirken und seine Stellungnahme schriftlich dokumentieren.
Unternehmen, die keinen benannten DSB haben, sind nicht automatisch von der DSFA-Pflicht befreit. Für sie entfällt lediglich die formale Einbindungspflicht nach Art. 35 Abs. 2 DSGVO, nicht jedoch die Pflicht zur DSFA selbst. In diesen Fällen sollte ein externer Datenschutzexperte die Rolle des fachlichen Beraters übernehmen.
Konsultation der Aufsichtsbehörde bei hohem Restrisiko
Verbleibt nach Anwendung aller geplanten Abhilfemaßnahmen ein hohes Restrisiko, verpflichtet Art. 36 DSGVO die verantwortliche Stelle zur vorherigen Konsultation der zuständigen Aufsichtsbehörde. Die Verarbeitung darf in diesem Fall nicht gestartet werden, bevor die Behörde eine Stellungnahme abgegeben hat oder die Frist von acht Wochen (verlängerbar auf 14 Wochen) abgelaufen ist.
In der Praxis ist eine behördliche Konsultation vergleichsweise selten, weil eine methodisch solide DSFA in der Regel zu Maßnahmen führt, die das Restrisiko auf ein akzeptables Niveau senken. Kommt es dennoch zur Konsultation, sollte die DSFA vollständig und professionell aufbereitet sein, da sie die Grundlage der behördlichen Prüfung bildet.
Dokumentation und Überprüfungspflichten
Die abgeschlossene DSFA muss vollständig dokumentiert aufbewahrt werden. Eine Mindestanforderung an die Dokumentation umfasst:
- Vollständigen DSFA-Bericht mit allen vier Inhaltsblöcken nach Art. 35 Abs. 7 DSGVO
- Schriftliche Stellungnahme des Datenschutzbeauftragten nach Art. 35 Abs. 2 DSGVO
- Ergebnis der Schwellenwertprüfung (auch bei negativem Ergebnis)
- Nachweis, dass die beschriebenen TOM tatsächlich umgesetzt wurden
- Datum der letzten Überprüfung und Beschreibung der ausgelösten Änderungen
Die DSFA ist kein statisches Dokument. Art. 35 Abs. 11 DSGVO verpflichtet zur regelmäßigen Überprüfung. Als Auslöser für eine Überprüfung gelten: Änderungen am Verarbeitungszweck, neue Technologien oder Systeme, veränderte Risikoumgebung (neue Angriffsvektoren, neue Rechtsprechung), Datenpannen im Zusammenhang mit der betreffenden Verarbeitung sowie Beschwerden oder Anfragen Betroffener, die auf systematische Probleme hinweisen.
Schritt-für-Schritt: DSFA strukturiert durchführen
- Auslöser identifizieren: Prüfen, ob ein neues Projekt, eine neue Technologie oder eine geänderte Verarbeitung DSFA-relevante Merkmale aufweist. Schwellenwertprüfung durchführen und dokumentieren.
- Projektteam zusammenstellen: Verantwortliche Stelle, Datenschutzbeauftragter, Fachbereich (Verarbeitungsinhaber), IT-Sicherheit, ggf. externe Beratung
- Verarbeitung vollständig beschreiben: Datenflussdiagramm, Liste der Systeme und Schnittstellen, Rechtsgutachten zur Rechtsgrundlage
- Notwendigkeit und Verhältnismäßigkeit prüfen: Alternativen zu voller Verarbeitung erwägen (Anonymisierung, Pseudonymisierung, Datensparsamkeit)
- Schadensszenarien ableiten und bewerten: Konkrete Risiken für Betroffene benennen, mit Eintrittswahrscheinlichkeit und Schwere bewerten
- TOM entwickeln und Restrisiko neu bewerten: Geeignete Maßnahmen für jedes relevante Risiko festlegen, Wirksamkeit einschätzen, Restrisiko dokumentieren
- Konsultationspflicht prüfen: Bei hohem Restrisiko Aufsichtsbehörde konsultieren (Art. 36 DSGVO)
- Freigabe und Umsetzung: DSFA durch Verantwortlichen und DSB unterzeichnen lassen, TOM-Umsetzung sicherstellen, Umsetzungsnachweis dokumentieren
- Wiedervorlage festlegen: Überprüfungstermin in das Datenschutzmanagement-System eintragen
Häufige Fehler bei der DSFA-Durchführung
- Zu späte Durchführung: Die DSFA wird erst nach Go-Live oder während der Aufsichtsbehördenprüfung erstellt. Rechtlich ist sie als Vorabprüfung konzipiert und muss vor Beginn der Verarbeitung abgeschlossen sein.
- Allgemeine statt spezifische Risikobeschreibungen: Pauschale Formulierungen wie „Datenverlust möglich“ ohne Bezug auf konkrete Schadensszenarien für betroffene Personen erfüllen die Anforderungen des Art. 35 Abs. 7 lit. c DSGVO nicht.
- Fehlende Umsetzungsnachweise: Die DSFA beschreibt TOM, die tatsächliche Implementierung wird aber nicht dokumentiert. Aufsichtsbehörden prüfen zunehmend die Übereinstimmung zwischen DSFA und tatsächlichem Systemzustand.
- Keine Überprüfung bei Systemänderungen: Wird das betroffene System um neue Funktionen erweitert oder auf andere Datenkategorien ausgeweitet, ohne die DSFA zu aktualisieren, entsteht eine Dokumentationslücke.
- DSB nicht eingebunden: Die formale Einbindung des DSB unterbleibt oder beschränkt sich auf eine Kenntnisnahme ohne inhaltliche Prüfung.
FAQ
Für welche Verarbeitungsvorgänge ist im Mittelstand eine DSFA am häufigsten erforderlich?
Häufige DSFA-pflichtige Verarbeitungen im Mittelstand sind: biometrische Zugangssysteme (Fingerabdruckscanner), KI-gestützte Mitarbeiterüberwachungssysteme, umfangreiche Videoüberwachungsanlagen mit Bewegungsanalyse, Gesundheitsdaten-Verarbeitungen im betrieblichen Gesundheitsmanagement sowie automatisierte Scoring-Verfahren mit Entscheidungsrelevanz (z.B. Kreditwürdigkeitsprüfungen).
Was passiert, wenn ich eine DSFA-pflichtige Verarbeitung ohne DSFA starte?
Dieser Verstoß kann nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes geahndet werden. Darüber hinaus kann die Aufsichtsbehörde die Verarbeitung nach Art. 58 Abs. 2 DSGVO vorübergehend oder dauerhaft untersagen.
Muss ich eine DSFA auch dann durchführen, wenn ich keinen Datenschutzbeauftragten habe?
Ja. Die DSFA-Pflicht nach Art. 35 DSGVO gilt für alle Verantwortlichen, die DSFA-pflichtige Verarbeitungen durchführen, unabhängig davon, ob ein DSB benannt ist. Ohne DSB entfällt die Einbindungspflicht nach Art. 35 Abs. 2 DSGVO, nicht jedoch die DSFA selbst.
Wie lange muss ich eine DSFA aufbewahren?
Die DSGVO nennt keine explizite Aufbewahrungsfrist für DSFAs. Da sie Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist, empfiehlt die Praxis eine Aufbewahrung für mindestens so lange, wie die Verarbeitung läuft, zuzüglich der regulären datenschutzrechtlichen Aufbewahrungsfristen. Bei abgeschlossenen Verarbeitungen sind mindestens drei bis fünf Jahre als Orientierungswert verbreitet.
Was ist der Unterschied zwischen DSFA und Verarbeitungsverzeichnis?
Das Verarbeitungsverzeichnis nach Art. 30 DSGVO ist eine Bestandsliste aller Verarbeitungsvorgänge (Überblick, Zweck, Rechtsgrundlage, Kategorien, Empfänger, Fristen). Die DSFA ist eine vertiefte Risikoanalyse für ausgewählte Hochrisikovorgänge. Beide Dokumente sind eigenständig und erfüllen unterschiedliche Compliance-Funktionen, stehen aber inhaltlich in enger Beziehung zueinander.
Können externe Dienstleister die DSFA für uns durchführen?
Externe Datenschutzberater können die DSFA methodisch begleiten und als Spiegel für die Risikobewertung dienen. Verantwortlich für die Durchführung und das Ergebnis bleibt jedoch die verantwortliche Stelle selbst. Die Entscheidung, ob die Verarbeitung unter den gegebenen Bedingungen stattfinden soll, kann nicht delegiert werden.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Verwandte Themen
- Compliance im Mittelstand: Anforderungen, Strukturen und praktische Umsetzung
- Haftungsrisiken für Geschäftsführer: Datenschutzverstöße und persönliche Verantwortung
- Unternehmenspflichten im Datenschutz: Überblick über gesetzliche Anforderungen
