Datenschutz-Folgenabschätzung: Wann ist eine DSFA Pflicht?

Instrument der DSGVO

Was ist eine Datenschutz-Folgenabschätzung?

Die Datenschutz-Folgenabschätzung – kurz DSFA – ist ein strukturiertes Verfahren zur Beschreibung und Bewertung besonders risikoreicher Verarbeitungen. Sie richtet den Blick nicht primär auf wirtschaftliche, technische oder politische Projektrisiken, sondern auf mögliche Beeinträchtigungen der Rechte und Freiheiten der betroffenen Menschen.

Eine DSFA soll Risiken frühzeitig sichtbar machen und geeignete Abhilfemaßnahmen in die Planung integrieren. Sie ist deshalb vor der Verarbeitung durchzuführen. Ein nachträglich erstelltes Dokument kann zwar zur Verbesserung beitragen, erfüllt aber nicht den präventiven Zweck des Art. 35 DSGVO.

Die DSFA ist keine einmalige Formularübung und auch kein Genehmigungsverfahren des Datenschutzbeauftragten. Verantwortlich bleibt die Organisation, die über Zwecke und Mittel der Verarbeitung entscheidet. Sie muss die Bewertung durchführen, Ergebnisse umsetzen und nachweisen können.

Pflichtprüfung

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Der allgemeine Maßstab steht in Art. 35 Abs. 1 DSGVO: Eine DSFA ist erforderlich, wenn eine Form der Verarbeitung – insbesondere bei Verwendung neuer Technologien – aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein hohes Risiko zur Folge hat. „Neu“ oder „digital“ allein genügt nicht. Ebenso ist eine bewährte Technik nicht automatisch risikolos.

Art. 35 Abs. 3 DSGVO nennt drei besonders wichtige Fallgruppen: die systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung mit erheblichen Entscheidungen, die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder strafrechtlicher Daten sowie die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Diese Beispiele sind nicht abschließend. Eine DSFA kann auch bei anderen Verarbeitungen notwendig sein, wenn die Gesamtbetrachtung ein hohes Risiko ergibt. Umgekehrt löst nicht jede Verarbeitung einzelner Gesundheitsdaten automatisch eine DSFA aus. Umfang, Kontext, Schutzmaßnahmen und mögliche Folgen müssen konkret bewertet werden.

Vorprüfung

Was gehört in eine Schwellwertanalyse?

Für neue oder wesentlich geänderte Verarbeitungstätigkeiten sollte zunächst geprüft werden, ob der Schwellenwert des voraussichtlich hohen Risikos erreicht wird. Diese Vorprüfung wird häufig als Schwellwertanalyse bezeichnet. Sie ist auch dann sinnvoll, wenn das Ergebnis lautet, dass keine DSFA erforderlich ist.

Die Analyse beschreibt Zweck, Datenarten, betroffene Personengruppen, Umfang, Empfänger, Systeme, Speicherorte, Fristen und eingesetzte Technologien. Anschließend werden mögliche Folgen für betroffene Personen und deren Eintrittswahrscheinlichkeit betrachtet. Bereits vorgesehene Maßnahmen des Datenschutzes durch Technikgestaltung können in die Bewertung einfließen, müssen aber konkret und belastbar sein.

Das BayLDA weist in seinem Informationsblatt zur Schwellwertanalyse darauf hin, dass die Prüfung bei Einträgen des Verzeichnisses von Verarbeitungstätigkeiten nachvollziehbar dokumentiert werden sollte. Eine bloße Auswahl „DSFA: nein“ ohne Begründung ist bei erkennbar risikoreichen Verfahren kaum aussagekräftig.

Orientierung

Welche Kriterien sprechen für ein hohes Risiko?

Die europäischen Leitlinien zur DSFA nennen mehrere Kriterien, die eine strukturierte Prüfung unterstützen. Dazu gehören Bewertung oder Einstufung von Personen, automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, systematische Überwachung, besonders schutzbedürftige Daten, umfangreiche Verarbeitung, Zusammenführung verschiedener Datensätze, Daten schutzbedürftiger Personen, innovative Technologien und Situationen, in denen Betroffene ein Recht oder eine Dienstleistung faktisch nicht nutzen können.

Das Vorliegen eines einzelnen Kriteriums bedeutet nicht ausnahmslos, dass eine DSFA erforderlich ist. Umgekehrt kann eine Verarbeitung auch bei nur einem besonders gewichtigen Kriterium ein hohes Risiko erreichen. Häufig wird bei mehreren gleichzeitig erfüllten Kriterien eine DSFA naheliegen. Eine schematische Zählung darf die konkrete Risikobewertung jedoch nicht ersetzen.

Aufsichtsbehörden

Welche Bedeutung haben die Muss-Listen?

Nach Art. 35 Abs. 4 DSGVO veröffentlichen Aufsichtsbehörden Listen mit Verarbeitungsvorgängen, für die eine DSFA erforderlich ist. Für nicht öffentliche Stellen stellt das BayLDA die im Kreis der deutschen Aufsichtsbehörden abgestimmte Muss-Liste bereit. Diese enthält Fallgruppen und konkrete Beispiele, etwa bestimmte umfangreiche Profilbildungen, Scoring-Verfahren oder Überwachungskonstellationen.

Für öffentliche Stellen ist die Liste der jeweils zuständigen Aufsichtsbehörde zu beachten. Eine kommunale Stelle in Bayern fällt grundsätzlich in die Zuständigkeit des Bayerischen Landesbeauftragten für den Datenschutz. Deshalb darf die Unternehmensliste des BayLDA nicht ungeprüft als abschließende Rechtsgrundlage für eine Kommune behandelt werden.

Die Listen konkretisieren typische Pflichtfälle, sind aber kein Freibrief für alle nicht genannten Verfahren. Der allgemeine Tatbestand des Art. 35 Abs. 1 DSGVO gilt weiter. Auch eine Verarbeitung außerhalb einer Liste kann aufgrund ihrer konkreten Ausgestaltung eine DSFA erfordern.

Ablauf

Wie wird eine DSFA durchgeführt?

Eine belastbare DSFA beginnt mit einer präzisen Beschreibung der geplanten Verarbeitung und ihrer Zwecke. Dazu gehören Datenquellen, Verarbeitungsschritte, Systeme, Zugriffe, Empfänger, Schnittstellen, Speicherfristen und Löschung. Ein Datenflussbild kann komplexe Abläufe verständlich machen.

Im nächsten Schritt werden Notwendigkeit und Verhältnismäßigkeit geprüft. Dabei geht es unter anderem um Rechtsgrundlagen, Datenminimierung, Speicherbegrenzung, Transparenz, Betroffenenrechte und die Frage, ob weniger eingriffsintensive Mittel denselben Zweck erreichen können.

Danach werden Risiken für die Rechte und Freiheiten der Betroffenen ermittelt und bewertet. Die DSFA beschreibt Ursache, mögliches Ereignis, denkbare Folge, Schwere und Eintrittswahrscheinlichkeit. Anschließend werden konkrete Abhilfemaßnahmen festgelegt und das Restrisiko erneut bewertet.

Die Maßnahmen müssen in das Projekt übernommen werden. Eine DSFA, deren Vorgaben nicht in Ausschreibung, Konfiguration, Berechtigungskonzept, Schulung oder Betrieb einfließen, bleibt wirkungslos.

Mindestanforderungen

Was muss eine Datenschutz-Folgenabschätzung enthalten?

Art. 35 Abs. 7 DSGVO verlangt mindestens eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und Zwecke, eine Bewertung ihrer Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken sowie die zur Bewältigung geplanten Abhilfemaßnahmen. Dazu gehören Garantien, Sicherheitsvorkehrungen und Verfahren, die den Schutz personenbezogener Daten sicherstellen und den Nachweis der DSGVO-Konformität ermöglichen.

Die Beschreibung muss so konkret sein, dass fachkundige Dritte die Bewertung nachvollziehen können. Allgemeine Aussagen wie „hohe Datensicherheit“ oder „Zugriff nur für Berechtigte“ reichen nicht. Benötigt werden reale Rollen, technische Funktionen, organisatorische Abläufe und Prüfnachweise.

Art. 35 Abs. 9 DSGVO sieht vor, gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter einzuholen, sofern dem nicht der Schutz geschäftlicher oder öffentlicher Interessen oder die Sicherheit der Verarbeitung entgegensteht. Wird darauf verzichtet, sollte auch diese Entscheidung begründet werden.

Beratung und Überwachung

Welche Rolle hat der Datenschutzbeauftragte?

Der Verantwortliche holt bei der Durchführung einer DSFA den Rat des Datenschutzbeauftragten ein, sofern ein solcher benannt ist. Nach Art. 39 Abs. 1 lit. c DSGVO berät der Datenschutzbeauftragte auf Anfrage zur DSFA und überwacht ihre Durchführung.

Die Aufgabenverteilung muss sauber bleiben: Der Datenschutzbeauftragte unterstützt methodisch, weist auf Risiken hin und kontrolliert den Prozess. Er entscheidet aber nicht anstelle des Verantwortlichen über Zweck, Mittel, Risikobereitschaft oder Freigabe der Verarbeitung. Andernfalls können Verantwortlichkeit und unabhängige Überwachung unzulässig vermischt werden.

Der eingeholte Rat und der Umgang mit Empfehlungen sollten dokumentiert werden. Weicht der Verantwortliche von einer wesentlichen Empfehlung ab, ist eine nachvollziehbare Begründung besonders wichtig.

Art. 36 DSGVO

Wann muss die Aufsichtsbehörde konsultiert werden?

Ergibt die DSFA, dass die Verarbeitung trotz vorgesehener Maßnahmen ein hohes Risiko zur Folge hätte, muss der Verantwortliche vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde konsultieren. Diese vorherige Konsultation ist von der gewöhnlichen Beratung durch den Datenschutzbeauftragten zu unterscheiden.

Der Verantwortliche darf ein verbleibendes hohes Risiko nicht lediglich intern akzeptieren und das Verfahren starten. Zunächst ist zu prüfen, ob weitere Maßnahmen das Risiko ausreichend senken oder die Verarbeitung anders gestaltet werden kann. Bleibt das hohe Risiko bestehen, greift Art. 36 DSGVO.

Kommunale Praxis

Welche kommunalen Vorhaben können eine DSFA erfordern?

Für Kommunen kommen beispielsweise neue Formen umfangreicher Videoüberwachung, biometrische Zugangssysteme, datenintensive Analyseverfahren, KI-gestützte Entscheidungen oder umfangreiche Zusammenführungen sensibler Fachverfahrensdaten in Betracht. Auch digitale Plattformen mit Profilbildung oder systematischer Beobachtung können den Schwellenwert erreichen.

Nicht jedes neue Fachverfahren benötigt automatisch eine DSFA. Eine digitale Terminbuchung mit begrenzten Angaben kann anders zu bewerten sein als ein Verfahren, das Gesundheits-, Sozial- oder Verhaltensdaten zahlreicher Menschen kombiniert. Deshalb sollte die Schwellwertanalyse frühzeitig in Beschaffung und Projektplanung integriert werden.

Bei gemeinsamen Projekten mehrerer Stellen muss geklärt werden, wer Verantwortlicher ist und wer die DSFA führt. Art. 35 Abs. 1 DSGVO erlaubt eine gemeinsame Abschätzung für ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken. Die tatsächlichen Verantwortlichkeiten und lokalen Besonderheiten müssen dennoch erkennbar bleiben.

Lebendes Dokument

Wann muss eine DSFA überprüft oder aktualisiert werden?

Nach Art. 35 Abs. 11 DSGVO überprüft der Verantwortliche erforderlichenfalls, ob die Verarbeitung entsprechend der DSFA durchgeführt wird – zumindest wenn sich das mit den Verarbeitungsvorgängen verbundene Risiko ändert. Relevante Anlässe sind neue Datenquellen, weitere Zwecke, zusätzliche Empfänger, Systemwechsel, neue Technik, Sicherheitsvorfälle oder veränderte Bedrohungen.

Auch unabhängig von einem konkreten Vorfall ist ein angemessener Überprüfungszyklus sinnvoll. Dabei werden Annahmen, Maßnahmen, Restrisiken und die tatsächliche Umsetzung kontrolliert. Offene Maßnahmen müssen nachverfolgt werden; eine veraltete DSFA darf nicht jahrelang unverändert als Nachweis verwendet werden.

Praxisfehler

Typische Fehler bei der DSFA

Häufige Fragen

FAQ zur Datenschutz-Folgenabschätzung

Ergebnis

Fazit

Die Datenschutz-Folgenabschätzung ist ein präventives Steuerungsinstrument für besonders risikoreiche Verarbeitungen. Eine saubere Schwellwertanalyse verhindert sowohl unnötige Vollprüfungen als auch das Übersehen echter Hochrisikoverfahren.

Entscheidend ist die praktische Wirkung: Risiken müssen konkret beschrieben, Maßnahmen verbindlich umgesetzt und Restrisiken ehrlich bewertet werden. Wird die DSFA früh in Beschaffung und Projektplanung eingebunden, kann sie technische und organisatorische Fehlentscheidungen vermeiden, bevor sie teuer oder kaum noch korrigierbar sind.

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen