Datenschutz-Folgenabschätzung (DSFA)

Während das Verzeichnis der Verarbeitungstätigkeiten die Verarbeitungstätigkeiten eines Verantwortlichen strukturiert dokumentiert, setzt die Datenschutz-Folgenabschätzung bei besonders risikoreichen geplanten Verarbeitungen an: Sie soll deren Auswirkungen vor Beginn der Verarbeitung bewerten.

Wird eine DSFA erst nach dem Produktivstart erstellt, kommt sie häufig zu spät. Geplante Schutz- und Abhilfemaßnahmen lassen sich dann nicht mehr ohne Weiteres in die technische oder organisatorische Gestaltung einbauen.

Die DSFA beschreibt in diesem Fall eher den bestehenden Zustand, statt Risiken im Vorfeld zu vermeiden oder zu reduzieren.

Die rechtliche Grundlage bildet Art. 35 DSGVO. Ergänzend sind Art. 36 DSGVO zur vorherigen Konsultation sowie die Erwägungsgründe 84 und 89 bis 95 relevant.

Wozu dient eine DSFA?

Der Maßstab bei einer DSFA ist das Risiko für die Rechte und Freiheiten der betroffenen Personen. Im Fokus liegt daher drauf, welche Folgen eine Datenverarbeitung für die betroffenen Menschen haben kann.

In der Praxis wird diese Perspektive häufig verwechselt. Wenn eine DSFA vor allem mögliche Bußgelder, Reputationsschäden oder wirtschaftliche Folgen für das Unternehmen beschreibt, greift sie zu kurz. Solche Aspekte können zwar intern wichtig sein, stehen aber nicht im Mittelpunkt der Prüfung nach Art. 35 DSGVO.

Erwägungsgrund 84 macht deutlich, worauf es ankommt. Der Verantwortliche soll bewerten, wie wahrscheinlich ein Risiko ist und wie schwer seine möglichen Folgen wären. Auf dieser Grundlage sind geeignete Schutz- und Abhilfemaßnahmen festzulegen.

Für Sie bedeutet das praktisch, die DSFA hilft dabei, eine Verarbeitung schon vor ihrem Start datenschutzgerecht zu gestalten. Sie zeigt, wo Gefahren entstehen können und welche Maßnahmen erforderlich sind, um diese zu vermeiden oder zu verringern. Die Prüfung der Rechtsgrundlage und das Verzeichnis der Verarbeitungstätigkeiten ersetzt sie dabei nicht.

Der größte Nutzen einer Datenschutz-Folgenabschätzung liegt in ihrer frühen Planung. Wenn Sie Risiken bereits vor dem Systemdesign kennen, können Sie zwischen verschiedenen Lösungen wählen. Werden die Risiken erst später erkannt, bleibt häufig nur noch die nachträgliche Anpassung.

Wann ist eine DSFA verpflichtend?

Ob eine DSFA erforderlich ist, lässt sich praktisch über drei Prüfpfade feststellen.

• die Generalklausel des Art. 35 Abs. 1 DSGVO,
• die Regelbeispiele des Art. 35 Abs. 3 und
• die von den Aufsichtsbehörden nach Art. 35 Abs. 4 veröffentlichten Listen.

Der erste Anknüpfungspunkt ist also die Generalklausel in Artikel 35 Absatz 1. Sie greift, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat. Maßgeblich sind Art, Umfang, Umstände und Zwecke der Verarbeitung. Denken Sie hier an den Einsatz neuer Technologien.

Der zweite Anknüpfungspunkt sind die drei Regelbeispiele in Artikel 35 Absatz 3.

• Systematische und weitreichende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf Automatisierung einschließlich Profiling stützt und die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient. Beispiele finden sich in Bonitätsverfahren und in automatisierten Vorauswahlsystemen im Bewerbungsprozess.
• Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10. Typische Fälle sind klinische Register und betriebsärztliche Systeme.
• Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Dazu zählen großflächige Videoüberwachungsanlagen und Systeme zur automatisierten Kennzeichenerfassung.

Der dritte Anknüpfungspunkt sind die Listen der Aufsichtsbehörden nach Artikel 35 Absatz 4.

Praktisch bedeutsam ist der umgekehrte Fall. Kommt der Verantwortliche zu dem Ergebnis, dass keine DSFA erforderlich ist, sollte er diese Bewertung schriftlich festhalten. Artikel 35 verlangt das nicht ausdrücklich.

Art. 35 DSGVO schreibt für die Verneinung der DSFA-Pflicht keine eigene Form vor. Aufgrund der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist es jedoch dringend empfehlenswert, die Schwellwertanalyse und die Gründe für das Ergebnis nachvollziehbar zu dokumentieren.

Die neun Kriterien als Prüfraster

Für die Beurteilung des hohen Risikos hat die Artikel-29-Datenschutzgruppe neun Kriterien entwickelt. Sie stehen in den Leitlinien WP 248 rev.01. Der Europäische Datenschutzausschuss hat diese Leitlinien nach dem Geltungsbeginn der DSGVO bestätigt. Sie sind damit die maßgebliche europäische Auslegungshilfe.

Als Orientierung gilt, treffen zwei Kriterien zu, ist nach den WP248-Leitlinien in den meisten Fällen von einer DSFA-Pflicht auszugehen. Je nach Intensität kann bereits ein Kriterium ausreichen; umgekehrt muss die Gesamtbewertung stets den konkreten Verarbeitungsvorgang berücksichtigen.

Der Wert des Rasters liegt insbesondere in der Begründungsfähigkeit. Wer die neun Kriterien einzeln durchgeht und das Ergebnis notiert, kann eine Verneinung der DSFA-Pflicht nachvollziehbar belegen.

Die Muss-Listen und ihre Grenzen

Jede Aufsichtsbehörde muss nach Artikel 35 Absatz 4 eine Liste von Verarbeitungsvorgängen veröffentlichen, für die eine DSFA durchzuführen ist. Für Deutschland hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder eine gemeinsame Liste für den nicht-öffentlichen Bereich vorgelegt. Sie liegt in der Version 1.1 vor. Für den öffentlichen Bereich veröffentlichen mehrere Länder eigene Listen, etwa Niedersachsen und Nordrhein-Westfalen.

Die Liste ist nicht abschließend. Auch eine nicht aufgeführte Verarbeitung kann nach Art. 35 Abs. 1 DSGVO eine DSFA erfordern, wenn sie voraussichtlich ein hohes Risiko mit sich bringt.

Die Listen sind allerdings auch nur die Untergrenze. Eine Verarbeitung, die dort nicht aufgeführt ist, kann gleichwohl eine DSFA erfordern. Das sollen Sie immer im Hinterkopf haben.

Für Unternehmen mit Niederlassungen in mehreren Mitgliedstaaten entsteht ein zusätzlicher Aufwand. Die nationalen Listen unterscheiden sich in Zuschnitt und Detailtiefe. Ein Verarbeitungsvorgang kann in einem Mitgliedstaat gelistet sein und in einem anderen nicht.

Pflichtinhalte einer DSFA nach Art. 35 Abs. 7 DSGVO

Vier Elemente gehören zwingend in die Datenschutz-Folgenabschätzung.

• Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und ihrer Zwecke, gegebenenfalls einschließlich des verfolgten berechtigten Interesses
• Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung in Bezug auf den Zweck
• Eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
• Die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren

Das zweite Element fehlt in der Praxis am häufigsten. Es verlangt eine Aussage darüber, ob ein milderes Mittel den Zweck ebenso erreicht.

Dazu ein Beispiel:

Ein Unternehmen plant eine Videoüberwachung des Lagerbereichs zur Verhinderung von Diebstahl. Die Risikobewertung beschreibt die Beeinträchtigung der Beschäftigten. Die Verhältnismäßigkeitsprüfung fragt, ob Zutrittskontrolle, Warenwirtschaftskontrolle oder stichprobenartige Prüfungen denselben Zweck erreichen. Erst die zweite Frage entscheidet über die Zulässigkeit.

Artikel 35 Absatz 9 sieht vor, dass der Verantwortliche gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter einholt. Im Beschäftigtenkontext führt das regelmäßig zum Betriebsrat. Verzichtet der Verantwortliche auf diese Einholung, sollte er den Grund dokumentieren.

Vom Risiko zur Maßnahme

Risiko setzt sich aus Eintrittswahrscheinlichkeit und Schwere zusammen. Erwägungsgrund 75 benennt typische Schäden. Dazu zählen Diskriminierung, Identitätsdiebstahl, finanzieller Verlust, Rufschädigung, der Verlust der Vertraulichkeit von Berufsgeheimnissen, die unbefugte Aufhebung einer Pseudonymisierung sowie erhebliche wirtschaftliche oder gesellschaftliche Nachteile.

Für die Überführung rechtlicher Anforderungen in technische und organisatorische Maßnahmen stellt die Datenschutzkonferenz eine Methodik bereit, auf die Sie jederzeit zurückgreifen können. Das Standard-Datenschutzmodell liegt in der Version 3.1 vor und wurde am 14. Mai 2024 beschlossen. Es ordnet die Anforderungen der DSGVO sieben Gewährleistungszielen zu.

• Datenminimierung
• Verfügbarkeit
• Integrität
• Vertraulichkeit
• Nichtverkettung
• Transparenz
• Intervenierbarkeit

Jede Maßnahme lässt sich einem Gewährleistungsziel zuordnen. Dadurch lassen sich Lücken leichter erkennen und beheben.

Als alternative behördliche Methodik hat die französische Aufsichtsbehörde CNIL ein eigenes Verfahren samt frei verfügbarer Software veröffentlicht. Sie eignet sich für Organisationen, die eine strukturierte und wiederholbare Bewertungsroutine aufbauen wollen.

Verantwortlicher, Datenschutzbeauftragter und Auftragsverarbeiter

Artikel 35 Absatz 2 verpflichtet den Verantwortlichen, bei einer Datenschutz-Folgenabschätzung den Rat des Datenschutzbeauftragten einzuholen. Artikel 39 Absatz 1 Buchstabe c weist dem Datenschutzbeauftragten die Beratung und die Überwachung der Durchführung zu.

Aber denken Sie daran, dass ein Datenschutzbeauftragter nur hinreichend beratend zur Seite steht. Sie als Verantwortlicher entscheiden selbst und tragen damit die gesamte Verantwortung.

Auftragsverarbeiter sind nach Artikel 28 Absatz 3 Buchstabe f zur Unterstützung bei einer Datenschutz-Folgenabschätzung verpflichtet. Ohne ihre Angaben lässt sich die technische Beschreibung des Verarbeitungsvorgangs meist nicht erstellen. Die Unterstützungspflicht gehört in den Auftragsverarbeitungsvertrag und sollte mit Fristen versehen werden.

Fachbereich, IT-Betrieb, Informationssicherheit und Einkauf liefern jeweils eigene Beiträge. Die DSFA ist deshalb ein interdisziplinäres Verfahren. Eine allein von der Rechtsabteilung erstellte Fassung bleibt an der Beschreibung der Verarbeitung regelmäßig unscharf.

Art. 36 DSGVO: Wann ist die Aufsichtsbehörde einzubeziehen?

Ergibt die DSFA trotz der geplanten Abhilfemaßnahmen weiterhin ein hohes Risiko, muss der Verantwortliche die Aufsichtsbehörde vor Beginn der Verarbeitung konsultieren.

Die Behörde antwortet innerhalb von acht Wochen. Bei komplexen Verarbeitungen kann sie diese Frist um sechs Wochen verlängern.

So können zwischen dem Abschluss der DSFA und einem möglichen Produktivstart nicht selten mehrere Monate vergehen. Haben Sie sich einen Termin für die Inbetriebnahme eines Produktes gesetzt, sollten Sie unter Umständen einen längeren Prüfzeitraum einplanen.

Generell lässt sich der Kontakt mit der Aufsichtsbehörde allerdings auch vermeiden. Das Erreichen der Konsultationsschwelle bedeutet schlichtweg, dass die vorgesehenen Maßnahmen das Risiko nicht ausreichend senken. In vielen Projekten führt diese Erkenntnis zu einer Überarbeitung des Konzepts. Die Konsultation bleibt in der Praxis daher in der Regel Ausnahme.

Artikel 36 Absatz 3 zählt auf, welche Unterlagen der Aufsichtsbehörde vorzulegen sind. Dazu gehören die Zuständigkeitsverteilung, die Zwecke und Mittel der Verarbeitung, die vorgesehenen Garantien, die Kontaktdaten des Datenschutzbeauftragten und die DSFA selbst.

Verhältnis zur Grundrechte-Folgenabschätzung nach der KI-Verordnung

Die DSFA betrachtet die Verarbeitung personenbezogener Daten. Die Grundrechte-Folgenabschätzung nach Artikel 27 der KI-Verordnung betrachtet die Auswirkungen des KI-Systems auf Grundrechte insgesamt. Erfasst werden damit auch Gleichbehandlung, Bildung, soziale Teilhabe und wirtschaftliche Nachteile.

Artikel 27 Absatz 4 der KI-Verordnung regelt das Zusammenspiel. Sind einzelne Pflichten bereits durch eine DSFA nach Artikel 35 DSGVO erfüllt, kann der Betreiber auf die einschlägigen Abschnitte verweisen oder sie übernehmen.

Art. 27 KI-Verordnung verpflichtet nicht jeden Betreiber eines Hochrisiko-KI-Systems zu einer Grundrechte-Folgenabschätzung. Erfasst werden bestimmte Betreiber bestimmter Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III. Hierzu gehören insbesondere öffentliche Stellen, private Stellen, die öffentliche Dienstleistungen erbringen, sowie bestimmte Betreiber aus den in Anhang III Nr. 5 lit. b und c genannten Bereichen. Diese Verpflichtung gilt nach der aktuellen Rechtslage ab dem 2. Dezember 2027. Für allein nach Art. 6 Abs. 1 und Anhang I eingestufte Systeme begründet Art. 27 dagegen keine eigenständige Grundrechte-Folgenabschätzung.

Eine DSFA deckt jedoch nicht alle Anforderungen vollständig ab. Insbesondere die grundrechtsspezifischen Aspekte müssen zusätzlich betrachtet werden. Sinnvoll ist deshalb eine gemeinsame Dokumentationsgrundlage. Beschreibungen des Systems, der Datenflüsse und der betroffenen Personengruppen müssen dann nur einmal erstellt und anschließend für beide Prüfungen genutzt werden.

Für die Umsetzung besteht noch etwas zeitlicher Spielraum. Nach der Verordnung (EU) 2026/1744 gelten die entsprechenden Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III ab dem 2. Dezember 2027. Für KI-Systeme, die Bestandteil regulierter Produkte nach Anhang I sind, gilt der 2. August 2028.

Wenn Sie bereits heute eine DSFA für ein KI-gestütztes Verfahren erstellen, lohnt es sich daher, die Dokumentation vorausschauend aufzubauen. Sie können die DSFA so strukturieren, dass eine später erforderliche Grundrechte-Folgenabschätzung darauf aufsetzt. Das reduziert Doppelarbeit und erleichtert es, beide Prüfungen miteinander zu verzahnen.

DSFA regelmäßig überprüfen und fortschreiben

Artikel 35 Absatz 11 verlangt eine Überprüfung, wenn sich das Risiko der Verarbeitungsvorgänge ändert. Die DSFA ist damit ein dynamisches Dokument, das Sie regelmäßig prüfen und anpassen sollten.

Typische Auslöser einer Überprüfung lassen sich benennen.

• Neue Datenkategorien oder eine erweiterte Personengruppe
• Wechsel oder Hinzunahme eines Auftragsverarbeiters
• Änderung des Verarbeitungszwecks
• Übermittlung in ein Drittland
• Einsatz einer neuen Technologie, etwa eines Modells mit maschinellem Lernen
• Sicherheitsvorfall mit Bezug zu der Verarbeitung
• Neue Rechtsprechung oder neue Orientierungshilfen der Aufsichtsbehörden

DSFA-Verstöße: Bußgelder und Maßnahmen der Aufsicht

Verstöße gegen Art. 35 und Art. 36 DSGVO können mit erheblichen Bußgeldern geahndet werden. Nach Art. 83 Abs. 4 Buchst. a DSGVO sind bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres möglich. Maßgeblich ist jeweils der höhere Betrag.

In der Praxis bleibt eine fehlende oder unzureichende DSFA häufig nicht der einzige Vorwurf. Sie kann zusätzlich ins Gewicht fallen, wenn zugleich weitere Datenschutzverstöße vorliegen. Denn nach Art. 83 Abs. 2 Buchst. d DSGVO berücksichtigt die Aufsichtsbehörde auch, wie sorgfältig der Verantwortliche seine datenschutzrechtlichen Pflichten erfüllt und welche Schutzmaßnahmen er getroffen hat. Wenn Risiken nie systematisch bewertet wurden, lässt sich eine sorgfältige und risikobewusste Gestaltung nur schwer belegen.

Für Unternehmen besonders relevant: Aufsichtsbehörden können nicht nur Geldbußen verhängen. Nach Art. 58 Abs. 2 Buchst. f DSGVO dürfen sie eine Verarbeitung vorübergehend oder dauerhaft beschränken oder sogar untersagen. Bei bereits laufenden Systemen kann eine solche Anordnung wirtschaftlich deutlich schwerer wiegen als das eigentliche Bußgeld.

Die häufigsten Fehler bei einer Datenschutz-Folgenabschätzung

• Die DSFA wird nach dem Produktivstart erstellt.
• Die Risiken werden aus Sicht des Unternehmens beschrieben.
• Die Prüfung der Notwendigkeit und Verhältnismäßigkeit fehlt.
• Die Verneinung der DSFA-Pflicht bleibt undokumentiert.
• Die Verantwortung für die DSFA wird vollständig auf den Datenschutzbeauftragten verlagert.
• Angaben des Auftragsverarbeiters fehlen.
• Die DSFA wird nach Abschluss nicht mehr gepflegt.
• Für ein KI-gestütztes Verfahren wird ausschließlich eine DSFA erstellt

SBS LEGAL – Kanzlei für Datenschutzrecht

SBS LEGAL berät Unternehmen umfassend im Datenschutzrecht und unterstützt bei der Prüfung, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Wir begleiten Sie zudem bei der Erstellung einer DSFA, der Bewertung datenschutzrechtlicher Risiken und der rechtlichen Einordnung KI-gestützter Verarbeitungsvorgänge.

Unterstützung bei DSFA, Datenschutz und KI-Systemen

Gerade bei neuen Technologien, umfangreichen Datenverarbeitungen oder dem Einsatz von KI-Systemen sollte frühzeitig geklärt werden, welche datenschutzrechtlichen Prüf- und Dokumentationspflichten bestehen. SBS LEGAL unterstützt Unternehmen dabei, Verarbeitungsvorgänge rechtlich einzuordnen, die DSFA-Pflicht zu bewerten, erforderliche Inhalte und Schutzmaßnahmen zu strukturieren und Schnittstellen zur KI-Verordnung zu berücksichtigen.

Der Erstkontakt zu SBS LEGAL ist kostenlos.