Eine DSFA ist verpflichtend bei systematischer Überwachung, Verarbeitung sensibler Datenkategorien im großen Maßstab und bestimmten Verfahren auf der Pflichtliste der Aufsichtsbehörden.
Art. 35 DSGVO: Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, muss der Verantwortliche vorab eine Datenschutz-Folgenabschätzung durchführen. Verstoß: bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Was eine DSFA ist und warum sie unterschätzt wird
Wann eine DSFA Pflicht ist – Checkliste
- Systematische Bewertung persönlicher Aspekte: Profiling, Scoring, automatisierte Entscheidungen mit erheblichen Auswirkungen
- Verarbeitung besonderer Datenkategorien im großen Maßstab: Gesundheit, Religion, ethnische Herkunft, biometrische Daten
- Systematische Überwachung öffentlich zugänglicher Bereiche: Videoüberwachung, GPS-Tracking von Mitarbeitern oder Fahrzeugen
- Verarbeitung auf der Muss-Liste der deutschen Aufsichtsbehörden (DSK-Blacklist)
- Einsatz neuer Technologien mit unklarem Risikoprofil: KI-Systeme, IoT, Gesichtserkennung
DSFA Schritt für Schritt durchführen
-
Schritt 1 – Verfahren beschreiben
Dokumentieren Sie das Verarbeitungsverfahren vollständig: Welche Daten werden erhoben? Von wem? Zu welchem Zweck? Wie lange gespeichert? Wer hat Zugriff? Werden Daten an Dritte weitergegeben? Diese Beschreibung ist die Grundlage für die gesamte DSFA.
-
Schritt 2 – Notwendigkeit und Verhältnismäßigkeit prüfen
Ist die Verarbeitung für den angestrebten Zweck erforderlich? Könnten Sie denselben Zweck mit weniger oder weniger sensiblen Daten erreichen? Dieser Schritt zwingt zu einer ehrlichen Auseinandersetzung mit dem tatsächlichen Datenbedarf (Datensparsamkeit nach Art. 5 Abs. 1 lit. c DSGVO).
-
Schritt 3 – Risiken identifizieren und bewerten
Analysieren Sie Risiken für Betroffene: Was passiert, wenn die Daten in falsche Hände geraten? Was, wenn sie falsch verarbeitet werden? Bewerten Sie Eintrittswahrscheinlichkeit und Schwere jedes Risikos (gering, mittel, hoch) und dokumentieren Sie diese Bewertung nachvollziehbar.
-
Schritt 4 – Abhilfemaßnahmen festlegen
Legen Sie konkrete technische und organisatorische Maßnahmen fest, die die Risiken senken: Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, Schulungen, Löschkonzepte, Datenschutz by Design. Bewerten Sie das Restrisiko nach Umsetzung dieser Maßnahmen.
-
Schritt 5 – DSB und ggf. Aufsichtsbehörde einbeziehen
Konsultieren Sie Ihren Datenschutzbeauftragten – das ist nach Art. 35 Abs. 2 DSGVO bei Pflicht-DSFA obligatorisch. Wenn das Restrisiko trotz aller Maßnahmen hoch bleibt, müssen Sie die zuständige Aufsichtsbehörde vorab konsultieren (Art. 36 DSGVO). Diese hat bis zu 8 Wochen Zeit für ihre Stellungnahme.
Wann keine DSFA nötig ist – aber Vorsicht
Tool-Empfehlung
Fazit: DSFA als Investition, nicht als Last
Wir begleiten Sie durch die Datenschutz-Folgenabschätzung – von der Risikoanalyse bis zur fertigen Dokumentation, die Aufsichtsbehörden überzeugt.
Jetzt beraten lassenHäufige Fragen
Was ist eine Datenschutz-Folgenabschätzung?
Welche Verarbeitungen lösen eine DSFA-Pflicht aus?
Was passiert, wenn ich keine DSFA durchführe, obwohl ich müsste?
Wie lange ist eine DSFA gültig?
War dieser Artikel hilfreich?