Datenschutz-Folgenabschätzung (DSFA): wann sie Pflicht ist und wie sie abläuft
Bevor Sie eine Verarbeitung starten, die für die Betroffenen voraussichtlich ein hohes Risiko bedeutet, verlangt Art. 35 DSGVO eine Datenschutz-Folgenabschätzung. Sie beschreibt die Verarbeitung, bewertet die Risiken und legt fest, wie Sie diese senken. Hier lesen Sie, wann eine DSFA nötig ist, was hineingehört und wie Sie vorgehen.
Typische DSFA-Fälle
- Videoüberwachung öffentlich zugänglicher Bereiche
- Ortung von Fahrzeugen oder Beschäftigten
- KI-gestützte Bewertung von Bewerbern oder Kunden
- Gesundheitsdaten in größerem Umfang
- Scoring und Profiling mit Folgen für Betroffene
Kurz beantwortet: Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Sie muss vor Beginn der Verarbeitung erfolgen und enthält mindestens eine Beschreibung der Verarbeitung, eine Prüfung von Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung und die geplanten Schutzmaßnahmen. Wer eine erforderliche DSFA unterlässt, riskiert ein Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).
Wann ist eine DSFA Pflicht?
Die DSGVO nennt in Art. 35 Abs. 3 drei Fälle, in denen eine DSFA immer erforderlich ist:
- Systematische und umfassende Bewertung persönlicher Aspekte, einschließlich Profiling, auf deren Grundlage Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung getroffen werden.
- Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO.
- Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Darüber hinaus haben die deutschen Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO eine Liste von Verarbeitungen veröffentlicht, für die eine DSFA durchzuführen ist (die sogenannte Muss-Liste der Datenschutzkonferenz). Steht Ihre Verarbeitung dort, ist die Frage beantwortet.
Die Schwellwertprüfung: neun Kriterien
Für alle anderen Fälle hat die Artikel-29-Datenschutzgruppe in ihren Leitlinien WP 248, die der Europäische Datenschutzausschuss übernommen hat, neun Kriterien beschrieben. Als Faustregel gilt: Treffen zwei oder mehr Kriterien zu, ist in den meisten Fällen eine DSFA erforderlich.
Bewerten und Einstufen
Scoring, Profiling oder Prognosen, etwa zu Leistung, Kreditwürdigkeit oder Verhalten.
Automatisierte Entscheidung
Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung ohne menschliche Prüfung.
Systematische Überwachung
Beobachten, Überwachen oder Kontrollieren von Personen, auch in öffentlich zugänglichen Bereichen.
Sensible Daten
Besondere Kategorien nach Art. 9 DSGVO, Daten zu Straftaten oder höchstpersönliche Daten.
Großer Umfang
Viele Betroffene, viele Daten, lange Speicherdauer oder großes geografisches Gebiet.
Abgleich von Datensätzen
Zusammenführen von Daten aus verschiedenen Quellen oder für verschiedene Zwecke.
Schutzbedürftige Personen
Beschäftigte, Kinder, Patienten oder andere Personen in einer schwächeren Position.
Neue Technologien
Innovative Lösungen wie KI, biometrische Verfahren oder vernetzte Geräte.
Ausschluss von Rechten
Die Verarbeitung hindert Betroffene daran, ein Recht auszuüben oder einen Vertrag zu schließen.
Beispiel: Ein Unternehmen ortet seine Außendienstfahrzeuge per GPS. Es handelt sich um systematische Überwachung, und die Betroffenen sind Beschäftigte. Damit sind zwei Kriterien erfüllt, und eine DSFA ist in aller Regel nötig. Kommt man zu dem Ergebnis, dass keine DSFA erforderlich ist, sollte die Begründung dokumentiert werden.
Was in eine DSFA gehört: Gliederung nach Art. 35 Abs. 7
- Beschreibung der Verarbeitung: Zweck, Datenarten, Betroffene, Empfänger, Systeme, Speicherdauer und gegebenenfalls das berechtigte Interesse.
- Notwendigkeit und Verhältnismäßigkeit: Ist die Verarbeitung für den Zweck erforderlich? Gibt es mildere Mittel? Werden Datenminimierung und Speicherbegrenzung eingehalten?
- Risikobewertung: Welche Schäden können für die Betroffenen entstehen, etwa Diskriminierung, Identitätsdiebstahl oder Rufschaden? Wie wahrscheinlich und wie schwer sind sie?
- Abhilfemaßnahmen: technische und organisatorische Maßnahmen, Garantien und Verfahren, die das Risiko senken, siehe technische und organisatorische Maßnahmen (TOM).
- Ergebnis und Freigabe: verbleibendes Risiko, Stellungnahme des Datenschutzbeauftragten, Entscheidung der Verantwortlichen.
Als Methode bietet sich das Standard-Datenschutzmodell (SDM) der Datenschutzkonferenz an. Eine kompakte Einführung gibt das Kurzpapier Nr. 5 der DSK zur Datenschutz-Folgenabschätzung.
So läuft eine DSFA ab
- Schwellwertprüfung: Muss-Liste und die neun Kriterien prüfen, Ergebnis dokumentieren.
- Datenschutzbeauftragten einbinden: Nach Art. 35 Abs. 2 DSGVO holen Sie seinen Rat ein. Die Beratung bei der DSFA gehört zu seinen gesetzlichen Aufgaben.
- Verarbeitung beschreiben und bewerten: mit Fachabteilung, IT und gegebenenfalls Dienstleistern.
- Maßnahmen festlegen und umsetzen: bis das Risiko auf ein vertretbares Maß sinkt.
- Bei hohem Restrisiko konsultieren: Lässt sich das Risiko nicht ausreichend senken, ist vor Beginn die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO).
- Regelmäßig überprüfen: Ändern sich Verarbeitung oder Risiko, wird die DSFA aktualisiert (Art. 35 Abs. 11 DSGVO).
Häufige Fragen zur Datenschutz-Folgenabschätzung
Erster Schritt: Eine strukturierte Risikoanalyse zeigt, wo eine DSFA nötig sein könnte. Zum Beitrag Risikoanalyse nach DSGVO
Was ist der Unterschied zwischen DSFA und Risikoanalyse?
Eine Risikoanalyse gehört zu jeder Verarbeitung, denn die Schutzmaßnahmen nach Art. 32 DSGVO müssen dem Risiko angemessen sein. Die DSFA ist die ausführliche, formal dokumentierte Prüfung, die nur bei voraussichtlich hohem Risiko verpflichtend ist.
Wer muss die DSFA durchführen?
Verantwortlich ist das Unternehmen bzw. die Behörde, die die Verarbeitung durchführt. Der Datenschutzbeauftragte berät und gibt eine Stellungnahme ab, er führt die DSFA aber nicht allein und trägt nicht die Verantwortung für das Ergebnis.
Braucht eine Arztpraxis eine DSFA?
Nicht automatisch. Nach Erwägungsgrund 91 DSGVO gilt die Verarbeitung von Patientendaten durch einen einzelnen Arzt in der Regel nicht als umfangreich. Bei größeren Einrichtungen, Praxisverbünden oder neuen Technologien wie KI-gestützter Diagnostik kann eine DSFA aber erforderlich sein.
Ist Videoüberwachung immer DSFA-pflichtig?
Nein. Pflicht ist sie bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche. Eine einzelne Kamera am Lagereingang ist anders zu bewerten als die Überwachung eines ganzen Verkaufsraums. Die Schwellwertprüfung sollte aber immer dokumentiert werden.
Gibt es ein Muster für die DSFA?
Die Gliederung oben folgt den Mindestinhalten aus Art. 35 Abs. 7 DSGVO und eignet sich als Muster. Hilfreich sind außerdem das Kurzpapier Nr. 5 und das Standard-Datenschutzmodell der DSK. Entscheidend ist, dass Beschreibung und Risiken zu Ihrer tatsächlichen Verarbeitung passen.
Was passiert, wenn keine DSFA gemacht wurde?
Fehlt eine erforderliche DSFA, kann die Aufsichtsbehörde ein Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen (Art. 83 Abs. 4 DSGVO). Zudem fehlt Ihnen im Ernstfall der Nachweis, dass Sie die Risiken bewertet haben.
Weiterlesen: Datenschutzkonzept & TOM · DSGVO-Beratung · Externer Datenschutzbeauftragter · KI-Compliance · Datenschutz-Audit
DSFA gemeinsam durchführen
Im kostenlosen Erstgespräch klären wir, ob Ihre Verarbeitung eine Datenschutz-Folgenabschätzung braucht und wie Sie dabei am besten vorgehen – aus Schwabach, Nürnberg und Weißenburg, vor Ort in Bayern und digital bundesweit.