Datenschutz-Folgenabschätzung (DSFA): Wann und wie

Kurz: Bei Verarbeitungen mit hohem Risiko für Betroffene muss vorab eine DSFA durchgeführt werden: Risiken beschreiben, bewerten und mit Maßnahmen senken.

Genauer: Die DSGVO (Art. 35) verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen hat, etwa wegen neuer Technologien, Umfangs oder Sensibilität. Sie ist Pflicht, bevor die Verarbeitung beginnt. Dies ist allgemeine Information und keine Rechtsberatung; Gesetze ändern sich, und Einzelfälle können anders liegen. Bei konkreten Problemen hilft eine Beratung (Verbraucherzentrale, Anwalt, Datenschutzaufsicht).

Im Detail

Wann ist sie nötig?

Typische Fälle (Art. 35 Abs. 3 DSGVO und Listen der Aufsichtsbehörden):

• Umfangreiche Profilbildung mit erheblichen Entscheidungen (Scoring).
• Umfangreiche Verarbeitung besonderer Kategorien (Gesundheit, biometrische Daten, politische Meinung).
• Systematische umfangreiche Überwachung öffentlicher Bereiche (Videoüberwachung).
• Neue Technologien mit hohem Risiko (KI-Entscheidungssysteme, umfassende Tracking-Lösungen).
• Die Aufsichtsbehörden veröffentlichen Muss-Listen, ob bestimmte Verarbeitungen DSFA-pflichtig sind. Kleine Betriebe sind häufig nicht betroffen, sollten aber dokumentiert prüfen („Schwellwertanalyse“).

Ablauf

1. Beschreibung der Verarbeitung: Daten, Zwecke, Beteiligte, Datenflüsse, Speicherdauer.
2. Notwendigkeit und Verhältnismäßigkeit begründen: Rechtsgrundlage, Datensparsamkeit.
3. Risiken für Betroffene identifizieren (Diskriminierung, Identitätsdiebstahl, Kontrollverlust, finanzielle Schäden) und nach Eintrittswahrscheinlichkeit und Schwere bewerten.
4. Abhilfemaßnahmen festlegen (Verschlüsselung, Pseudonymisierung, Zugriffsrechte, Löschfristen, Transparenz).
5. Restrisiko bewerten. Bleibt es hoch, ist die Aufsichtsbehörde vorab zu konsultieren (Art. 36).
6. Dokumentieren und regelmäßig überprüfen. Den Datenschutzbeauftragten (falls vorhanden) und, wo sinnvoll, Betroffene oder Vertreter einbeziehen.

Hilfen und Praxis

Muster und Werkzeuge bieten Aufsichtsbehörden, BfDI, CNIL (PIA-Tool), Standard-Datenschutzmodell (SDM) und Verbände. Die DSFA ist ein laufender Prozess, nicht eine Pflichtübung: Bei Änderungen am Projekt erneut prüfen. Für kleine Projekte (zum Beispiel Vereins-App) lohnt oft schon eine kurze Risikoübersicht nach demselben Muster. Sie verbindet sich mit Verzeichnis von Verarbeitungstätigkeiten und TOMs.

Typische Fehler

Zu spät beginnen (nach Start der Verarbeitung), zu allgemein formulieren, Risiken nur für das Unternehmen statt für Betroffene bewerten, Maßnahmen nicht umsetzen, Ergebnis nicht aktuell halten.

Siehe auch: Verzeichnis von Verarbeitungstätigkeiten, DSGVO-Grundsätze, Datenpanne und Meldepflicht, Risikoanalyse