Datenschutz-Folgenabschätzung (DSFA): Wann sie Pflicht ist und wie sie gelingt

Die Datenschutz-Folgenabschätzung (DSFA), im Englischen Data Protection Impact Assessment (DPIA) genannt, ist ein strukturiertes Verfahren, mit dem Unternehmen und Behörden die Risiken einer geplanten Datenverarbeitung systematisch analysieren und bewerten. Rechtsgrundlage ist Art. 35 der DSGVO. Die DSFA ist kein optionales Extra – bei bestimmten Verarbeitungstätigkeiten ist sie zwingend vorgeschrieben, bevor die Verarbeitung beginnt.

Der Kerngedanke ist einfach: Wer neue Datenverarbeitungen einführt, die ein hohes Risiko für Betroffene erzeugen können, muss vorab prüfen, ob dieses Risiko beherrschbar ist. Die DSFA zwingt Verantwortliche, sich ernsthaft mit Fragen der Verhältnismäßigkeit, der Notwendigkeit und der technischen Schutzmaßnahmen auseinanderzusetzen – und das Ergebnis schriftlich festzuhalten.

Wichtig: Die DSFA ist kein einmaliges Dokument. Sie muss aktuell gehalten und bei wesentlichen Änderungen der Verarbeitung überprüft und fortgeschrieben werden. Datenschutz ist ein Prozess, kein Projekt.

Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele, bei denen eine DSFA immer erforderlich ist: erstens systematische und umfangreiche Bewertung persönlicher Aspekte natürlicher Personen auf Basis automatisierter Verarbeitung einschließlich Profiling; zweitens umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheit, Religion, politische Meinungen, biometrische Daten etc.); drittens systematische Überwachung öffentlich zugänglicher Bereiche, also klassische Videoüberwachung.

Darüber hinaus veröffentlichen die Datenschutzaufsichtsbehörden sogenannte Muss-Listen (Art. 35 Abs. 4 DSGVO). Die deutschen Aufsichtsbehörden (DSK) haben eine gemeinsame Liste herausgegeben, die Verarbeitungen wie den Einsatz von KI-Systemen zur Persönlichkeitsbewertung, intelligente Videokameras, umfangreiche Tracking-Systeme und den Einsatz von Scoring-Modellen in sensitiven Bereichen aufführt.

Als Faustregel gilt: Immer dann, wenn zwei oder mehr der folgenden Kriterien zutreffen, ist eine DSFA wahrscheinlich erforderlich – Profiling, automatisierte Entscheidungsfindung, sensible Datenkategorien, systematische Überwachung, Verarbeitung im großen Maßstab, Zusammenführung unterschiedlicher Datensätze, innovative Technologie, Übermittlung in Drittländer oder Verarbeitung schutzbedürftiger Personengruppen (Kinder, Mitarbeiter, Patienten).

Die DSFA steht nicht isoliert. Sie baut auf dem Verarbeitungsverzeichnis (VVT) auf, das nach Art. 30 DSGVO ohnehin geführt werden muss. Das VVT liefert die Basisdaten für Schritt 1 der DSFA – Verarbeitungsbeschreibung, Zweck, Empfänger, Löschfristen. Eine gut gepflegte VVT-Eintragung ist also gleichzeitig ein wichtiger Baustein der DSFA.

Die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO sind das Ergebnis der DSFA. Was die DSFA als notwendige Schutzmaßnahme identifiziert, muss in den TOM verbindlich festgelegt und dokumentiert werden. DSFA und TOM sind damit keine konkurrierenden Dokumente, sondern ergänzen sich systematisch: Die DSFA analysiert das Risiko, die TOM beschreiben die Gegenmaßnahmen.

Für Unternehmen mit einem Datenschutzbeauftragten (DSB) gilt: Der DSB ist nach Art. 35 Abs. 2 DSGVO bei der Durchführung der DSFA zu konsultieren. Seine Bewertung sollte schriftlich dokumentiert werden – auch dann, wenn er der DSFA zustimmt.