Das Wichtigste im Überblick
- Pflicht bei hohem Risiko: Eine Datenschutzfolgenabschätzung (DSFA) ist nach Art. 35 DSGVO immer dann zwingend erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
- Drei Kernanwendungsfälle: Besonders relevant ist die DSFA bei systematischer Profilerstellung, Verarbeitung besonderer Kategorien personenbezogener Daten im großen Maßstab sowie bei systematischer Überwachung öffentlich zugänglicher Bereiche.
- Frühzeitig handeln zahlt sich aus: Die DSFA muss vor Beginn der Datenverarbeitung durchgeführt werden. Wer sie nachträglich erstellt oder ganz weglässt, riskiert Bußgelder – und im schlimmsten Fall strafrechtliche Konsequenzen.
Warum die DSFA mehr als eine Formalität ist
Datenschutz ist längst kein abstraktes Thema mehr, das nur Großkonzerne betrifft. Kleine und mittelständische Unternehmen, Arztpraxen, Personalabteilungen, Sicherheitsdienstleister und Kommunen stehen gleichermaßen vor der Frage: Wann ist eine Datenschutzfolgenabschätzung notwendig – und was passiert, wenn wir sie weglassen?
Die Datenschutzfolgenabschätzung ist ein zentrales Instrument des datenschutzrechtlichen Risikomanagements. Sie ist kein bürokratischer Selbstzweck, sondern ein präventives Werkzeug: Bevor eine potenziell riskante Datenverarbeitung beginnt, soll das Unternehmen systematisch analysieren, welche Gefahren entstehen – und wie diese minimiert werden können.
Die Konsequenzen, wenn diese Pflicht ignoriert wird, sind erheblich. Aufsichtsbehörden können hohe Bußgelder verhängen. Hinzu kommt: Datenschutzverstöße können in bestimmten Konstellationen auch strafrechtliche Relevanz entfalten – etwa wenn der Datenschutzverstoß mit anderen Straftatbeständen zusammentrifft.
Rechtliche Grundlagen: Art. 35 DSGVO im Überblick
Die zentrale Norm für die Datenschutzfolgenabschätzung ist Art. 35 DSGVO.
Art. 35 Abs. 1 DSGVO lautet dem Sinn nach: Hat eine Form der Verarbeitung – insbesondere bei Verwendung neuer Technologien – aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge durch.
Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele, bei denen eine DSFA in jedem Fall erforderlich ist:
- Systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen – insbesondere durch Profiling – auf deren Grundlage Entscheidungen mit erheblichen rechtlichen oder ähnlich bedeutsamen Auswirkungen getroffen werden.
- Umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten, biometrische Daten, Daten zur politischen Meinung).
- Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, etwa durch Videoüberwachung.
Wann genau ist eine Datenschutzfolgenabschätzung notwendig? Die entscheidenden Kriterien
Die Frage, ob eine DSFA erforderlich ist, lässt sich nicht immer mit einem einfachen Ja oder Nein beantworten. Der Europäische Datenschutzausschuss hat in seinen Leitlinien zu Art. 35 DSGVO Kriterien entwickelt, anhand derer das Risiko einer Verarbeitung beurteilt werden kann. Je mehr dieser Kriterien zutreffen, desto wahrscheinlicher ist eine DSFA-Pflicht.
Die Kriterien im Überblick:
1. Bewertung oder Scoring – Werden Personen bewertet oder Vorhersagen über ihr Verhalten, ihre Kreditwürdigkeit oder ihre Gesundheit getroffen? Kreditscoring-Systeme, Bonitätsprüfungen oder Verhaltensprofile sind hier klassische Beispiele.
2. Automatisierte Entscheidungsfindung mit erheblichen Auswirkungen – Werden Entscheidungen ohne menschliches Zutun getroffen, die rechtliche oder ähnlich bedeutsame Wirkungen entfalten? Dies betrifft insbesondere automatisierte Ablehnungen von Kreditanträgen oder Bewerbungen.
3. Systematische Überwachung – Werden Personen systematisch beobachtet, verfolgt oder kontrolliert? Dies umfasst nicht nur Videoüberwachung, sondern auch das Tracking von Mitarbeitern über Softwaretools oder das Monitoring von Netzwerkaktivitäten.
4. Verarbeitung sensibler Daten – Betrifft die Verarbeitung besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen? Hier ist die Schwelle naturgemäß niedrig.
5. Verarbeitung im großen Maßstab – Wie viele Personen sind betroffen? Welches Datenvolumen wird verarbeitet? Wie lange dauert die Verarbeitung? Es gibt keine feste Grenze, ab der „großer Maßstab“ vorliegt – die Gesamtschau entscheidet.
6. Abgleich oder Zusammenführung von Datensätzen – Werden Daten aus verschiedenen Quellen zusammengeführt oder miteinander verknüpft, etwa durch Cross-Device-Tracking oder die Kombination von CRM-Daten mit Social-Media-Profilen?
7. Daten über schutzbedürftige Personen – Betrifft die Verarbeitung Kinder, ältere Menschen, psychisch kranke Personen oder andere besonders schutzbedürftige Gruppen? Diese Gruppen können ihre Rechte schwerer wahrnehmen und sind daher besonders schutzwürdig.
8. Innovative Nutzung oder Anwendung technologischer oder organisatorischer Lösungen – Werden neue Technologien eingesetzt, deren Folgen noch nicht vollständig absehbar sind? Beispiele sind KI-gestützte Analysesysteme und die Gesichtserkennung.
9. Verarbeitung, die eine Ausübung von Rechten oder die Inanspruchnahme von Diensten oder Verträgen verhindert – Führt die Verarbeitung dazu, dass Personen von bestimmten Diensten ausgeschlossen werden? Dies gilt besonders im Finanz- und Versicherungsbereich.
Praktische Tipps für Unternehmen
Wer sich fragt, ob für die eigene Datenverarbeitung eine DSFA erforderlich ist, sollte folgende Schritte beachten:
Schritt 1: Verarbeitungstätigkeit genau beschreiben. Welche Daten werden verarbeitet, zu welchem Zweck, von wem, für wie lange und mit wem geteilt? Eine präzise Beschreibung ist die Grundlage jeder Risikobeurteilung.
Schritt 2: Blacklist der Aufsichtsbehörden prüfen. Die deutschen Datenschutzbehörden haben konkrete Verarbeitungstätigkeiten benannt, bei denen eine DSFA verpflichtend ist. Diese Liste sollte als erster Filter dienen.
Schritt 3: Kriterien des Europäischen Datenschutzausschusses (EDSA) prüfen. Wie viele der oben genannten Kriterien des Europäischen Datenschutzausschusses treffen zu? Zwei oder mehr Kriterien indizieren eine DSFA-Pflicht. Die Prüfung sollte dokumentiert werden – auch wenn das Ergebnis ist, dass keine DSFA erforderlich ist.
Schritt 4: Den Datenschutzbeauftragten einbeziehen. Unternehmen, die einen Datenschutzbeauftragten bestellt haben – ob intern oder extern –, sind nach Art. 35 Abs. 2 DSGVO verpflichtet, diesen bei der DSFA hinzuzuziehen. Seine Stellungnahme muss dokumentiert werden.
Schritt 5: DSFA vor Beginn der Verarbeitung abschließen. Die Abschätzung muss abgeschlossen sein, bevor die Verarbeitung aufgenommen wird. Eine nachträgliche DSFA kann Bußgelder nicht mehr abwenden.
Checkliste: DSFA – Bin ich betroffen?
- Pflichtprüfung vorab: Verarbeitungstätigkeit vollständig beschrieben?
- Blacklist geprüft: Ist die Verarbeitung auf der Liste der Aufsichtsbehörden?
- EDSA-Kriterien angelegt: Treffen zwei oder mehr zu?
- Datenschutzbeauftragter einbezogen: Stellungnahme dokumentiert?
- DSFA vollständig dokumentiert: Enthält Beschreibung, Notwendigkeit, Verhältnismäßigkeit, Risiken und Abhilfemaßnahmen?
- Aufsichtsbehörde konsultiert (falls erforderlich): Bei verbleibenden hohen Risiken nach Art. 36 DSGVO vorherige Konsultation eingeleitet?
- DSFA regelmäßig überprüft: Wird die Abschätzung bei Änderungen der Verarbeitung aktualisiert?
- Zeitpunkt eingehalten: DSFA abgeschlossen, bevor die Verarbeitung beginnt?
Datenschutzfolgenabschätzung als strategisches Instrument
Die Frage, wann eine Datenschutzfolgenabschätzung notwendig ist, lässt sich nicht mit einer einzigen Antwort beantworten. Sie erfordert eine sorgfältige, einzelfallbezogene Analyse – und genau darin liegt ihr Wert. Wer die DSFA nicht als lästige Pflicht, sondern als Gelegenheit begreift, Datenverarbeitungsprozesse systematisch zu hinterfragen und abzusichern, schafft nicht nur Rechtssicherheit, sondern auch Vertrauen bei Kunden, Mitarbeitern und Geschäftspartnern.
Die Schnittstelle zwischen Datenschutzrecht, IT-Recht und – in bestimmten Konstellationen – auch Strafrecht ist komplex. Fehler können empfindliche Konsequenzen haben. Wenn Sie unsicher sind, ob für Ihre Verarbeitungstätigkeiten eine DSFA erforderlich ist, oder wenn Sie Unterstützung bei der Erstellung benötigen, sprechen Sie uns an. SITTIG LAW berät Sie mit gebündelter Kompetenz im Datenschutz- und IT-Recht.
Häufig gestellte Fragen
Nicht zwingend. Eine DSFA ist nur erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Viele alltägliche Verarbeitungstätigkeiten – etwa die klassische Kundendatenverwaltung ohne Profilbildung – lösen keine DSFA-Pflicht aus. Eine systematische Vorprüfung ist jedoch immer empfehlenswert.
Das Unterlassen einer erforderlichen DSFA stellt einen Datenschutzverstoß dar, der nach Art. 83 DSGVO mit Bußgeldern geahndet werden kann. Darüber hinaus können Aufsichtsbehörden die betreffende Verarbeitung untersagen.
Verantwortlich für die Durchführung der DSFA ist der datenschutzrechtliche Verantwortliche – in der Regel das Unternehmen oder die Organisation, die über Zweck und Mittel der Datenverarbeitung entscheidet. Der Datenschutzbeauftragte ist beratend einzubeziehen, trägt aber keine eigenständige Verantwortung für die DSFA.
Das hängt von der Komplexität der Verarbeitung ab. Eine einfache DSFA für einen klar umrissenen Verarbeitungsvorgang kann in wenigen Tagen abgeschlossen werden. Komplexe Systeme – etwa unternehmensweite KI-Anwendungen – können mehrere Wochen in Anspruch nehmen. Entscheidend ist, dass die DSFA abgeschlossen ist, bevor die Verarbeitung beginnt.
Die DSFA zu überprüfen, wenn sich das mit der Verarbeitung verbundene Risiko ändert. Auch bei wesentlichen Änderungen der Verarbeitung – neuen Datenquellen, Empfängern oder Zwecken – ist eine Aktualisierung erforderlich. Als Faustregel empfiehlt sich eine Überprüfung alle zwei bis drei Jahre.
Art. 35 Abs. 7 DSGVO gibt den Mindestinhalt vor: eine systematische Beschreibung der Verarbeitungsvorgänge, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung, eine Bewertung der Risiken sowie eine Beschreibung der zur Bewältigung dieser Risiken geplanten Abhilfemaßnahmen.
Ja, es ist erlaubt, eine einzige Abschätzung für mehrere ähnliche Verarbeitungsvorgänge durchzuführen, die vergleichbare hohe Risiken aufweisen. Dies ist etwa bei Unternehmensgruppen oder standardisierten Prozessen sinnvoll.
Grundsätzlich ist die DSFA auch für bereits bestehende Verarbeitungen durchzuführen, wenn diese ein hohes Risiko aufweisen. Für neue Verarbeitungen gilt die Pflicht selbstverständlich von Beginn an. Unternehmen, die bestehende Verarbeitungen bislang nicht geprüft haben, sollten dies nachholen – auch um im Falle einer Prüfung durch die Aufsichtsbehörde entsprechende Dokumentation vorweisen zu können.
German 
English