Datenschutz-Folgenabschätzung (DSFA): Wann sie Pflicht ist und wie sie gelingt
Kurz gesagt
Eine DSFA ist nach Art. 35 DSGVO Pflicht, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt — etwa bei Profiling, Videoüberwachung oder dem Einsatz neuer Technologien.
Wann eine DSFA verpflichtend ist
Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele: systematische und umfangreiche Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung einschließlich Profiling; umfangreiche Verarbeitung besonderer Datenkategorien wie Gesundheit, Religion oder biometrische Daten; sowie systematische Überwachung öffentlich zugänglicher Bereiche. Zusätzlich veröffentlichen die deutschen Aufsichtsbehörden gemeinsame Muss-Listen, die etwa den Einsatz von KI-Systemen zur Persönlichkeitsbewertung, intelligente Videokameras oder umfangreiche Tracking-Systeme aufführen. Als Faustregel gilt: Treffen zwei oder mehr der folgenden Kriterien zu, ist eine DSFA wahrscheinlich erforderlich — Profiling, automatisierte Entscheidungsfindung, sensible Datenkategorien, systematische Überwachung, Verarbeitung im großen Maßstab, Zusammenführung unterschiedlicher Datensätze, innovative Technologie, Drittlandübermittlung oder Verarbeitung schutzbedürftiger Personengruppen.
Die sechs Schritte
- Verarbeitung beschreiben: welche Daten zu welchem Zweck, wer hat Zugang, wohin fließen Daten, wie lange gespeichert.
- Notwendigkeit und Verhältnismäßigkeit prüfen: Ist die Verarbeitung nötig? Gibt es weniger eingriffsintensive Alternativen?
- Risiken für Betroffene identifizieren: unbefugter Zugriff, Datenverlust, Missbrauch — Eintrittswahrscheinlichkeit und Schadenspotenzial bewerten.
- Maßnahmen festlegen: technische und organisatorische Maßnahmen, die die Risiken auf ein akzeptables Niveau senken, konkret mit Verantwortlichen und Fristen.
- Restrisiko bewerten und dokumentieren: bleibt es hoch, muss die Aufsichtsbehörde vorab konsultiert werden.
- DSFA dokumentieren und genehmigen lassen: vom Verantwortlichen gezeichnet, dem Datenschutzbeauftragten vorgelegt, dauerhaft archiviert, mindestens jährlich überprüft.
Wann die Aufsichtsbehörde vorab zu konsultieren ist
- Das Restrisiko bleibt nach Maßnahmen hoch.
- Die Verarbeitung ist ohne Risikominderung nicht beherrschbar.
- Die Konsultation muss vor Beginn der Verarbeitung erfolgen.
- Die Aufsichtsbehörde hat eine Antwortfrist von acht, verlängerbar auf 14 Wochen.
- Die Behörde kann die Verarbeitung untersagen oder Empfehlungen geben.
- Auch bei unklarer Rechtslage kann eine freiwillige Konsultation sinnvoll sein.
Typischer Fehler: die DSFA als reine Formalität
Die DSFA wird häufig schnell ausgefüllt, abgeheftet und vergessen. Das ist riskant: Aufsichtsbehörden prüfen bei Datenpannen, ob eine DSFA vorhanden war und ob die darin beschriebenen Maßnahmen tatsächlich umgesetzt wurden. Eine DSFA ohne Umsetzung ist schlechter als keine — sie belegt, dass das Risiko bekannt war und trotzdem nichts geschah.
Verhältnis zu TOM und Verarbeitungsverzeichnis
Die DSFA steht nicht isoliert. Sie baut auf dem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO auf, das die Basisdaten für die Verarbeitungsbeschreibung liefert. Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind das Ergebnis der DSFA: Was sie als notwendige Schutzmaßnahme identifiziert, muss in den TOM verbindlich festgelegt werden. Ist ein Datenschutzbeauftragter bestellt, ist er nach Art. 35 Abs. 2 DSGVO bei der Durchführung zu konsultieren — seine Bewertung sollte schriftlich dokumentiert werden.