Die Datenschutz-Grundverordnung (DSGVO) stellt hohe Anforderungen an den Schutz personenbezogener Daten. Ein zentrales Instrument ist die Datenschutzfolgeabschätzung (DSFA) – ein verpflichtendes Verfahren zur Bewertung von Risiken für die Rechte und Freiheiten betroffener Personen. Doch wann muss sie durchgeführt werden, wie läuft sie ab, und worauf sollten Unternehmen besonders achten?
In diesem Artikel erfahren Sie Punkt für Punkt, was bei der Erstellung einer Datenschutzfolgeabschätzung wichtig ist.
1. Was ist eine Datenschutzfolgeabschätzung?
Die Datenschutzfolgeabschätzung ist ein strukturiertes Verfahren, das durchgeführt werden muss, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt (Art. 35 DSGVO).
Ziel ist es, Risiken frühzeitig zu erkennen, Maßnahmen zur Risikominderung zu definieren und die Verarbeitung datenschutzkonform zu gestalten.
2. Wann ist eine DSFA erforderlich?
Eine DSFA ist gesetzlich vorgeschrieben, wenn mindestens eines der folgenden Kriterien zutrifft:
- Systematische und umfassende Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung (z. B. Profiling)
- Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. Gesundheitsdaten)
- Systematische Überwachung öffentlich zugänglicher Bereiche (z. B. Videoüberwachung)
- Nutzung neuer Technologien mit erheblichen Auswirkungen auf betroffene Personen
- Verarbeitung von Daten in großem Umfang mit hohem Risiko
Zusätzlich veröffentlichen die Aufsichtsbehörden Blacklists, auf denen typische Verarbeitungstätigkeiten mit DSFA-Pflicht aufgeführt sind.
3. Wer ist für die DSFA verantwortlich?
Die Verantwortung für die Durchführung einer DSFA liegt immer beim Verantwortlichen, also dem Unternehmen oder der Organisation, die über die Zwecke und Mittel der Verarbeitung entscheidet. Dabei kann der Datenschutzbeauftragte beratend unterstützen, ist aber nicht verantwortlich für Inhalt und Durchführung.
4. Was sind die Inhalte einer DSFA?
Die Datenschutzfolgeabschätzung sollte mindestens folgende Punkte umfassen:
- Beschreibung der geplanten Verarbeitung, ihrer Zwecke und der Datenflüsse
- Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung
- Ermittlung und Einschätzung der Risiken für betroffene Personen
- Beschreibung geplanter Maßnahmen zur Risikominimierung (z. B. Pseudonymisierung, Zugriffskontrollen)
Optional kann die Einschätzung der Rest-Risiken sowie eine Dokumentation des Entscheidungsprozesses ergänzt werden. Unternehmen ohne Datenschutzexpertise können ihre Datenschutzfolgeabschätzung erstellen lassen – einfach und rechtssicher.
5. Wie läuft eine DSFA typischerweise ab?
Der Ablauf folgt in der Regel diesen Schritten:
- Feststellung der DSFA-Pflicht
- Beschreibung der Verarbeitung und ihrer Zwecke
- Bewertung der Risiken für die Betroffenen
- Festlegung von Schutzmaßnahmen
- Risikoeinschätzung nach Umsetzung der Maßnahmen
- Dokumentation und ggf. Konsultation der Aufsichtsbehörde
6. Was passiert bei hoher Restgefährdung?
Wenn trotz Schutzmaßnahmen ein hohes Risiko für die betroffenen Personen bestehen bleibt, muss die zuständige Datenschutzaufsichtsbehörde konsultiert werden, bevor mit der Verarbeitung begonnen werden darf (Art. 36 DSGVO).
Dies soll sicherstellen, dass zusätzliche Auflagen getroffen oder Anpassungen vorgenommen werden können, um die Rechte der Betroffenen zu schützen.
7. Welche Fehler sollten Unternehmen vermeiden?
Typische Fehler bei Datenschutzfolgeabschätzungen sind:
- Die DSFA wird gar nicht durchgeführt, obwohl eine Pflicht besteht
- Es wird ein Standardformular genutzt, das nicht zur Verarbeitung passt
- Risiken werden unterschätzt oder unzureichend dokumentiert
- Die DSFA wird nicht regelmäßig überprüft und aktualisiert
- Der Datenschutzbeauftragte wird nicht einbezogen
Diese Fehler können bei Prüfungen durch Aufsichtsbehörden zu Sanktionen oder Bußgeldern führen.
8. Warum externe Unterstützung sinnvoll sein kann
Die Durchführung einer vollständigen DSFA ist aufwendig und erfordert Fachwissen in Datenschutzrecht, IT-Sicherheit und Risikobewertung. Daher kann es sinnvoll sein, externe Datenschutzexperten oder spezialisierte Kanzleien hinzuzuziehen.
Vorteile externer Unterstützung:
- Fachliche Sicherheit bei rechtlichen Anforderungen
- Strukturierte Risikobewertung nach anerkannten Methoden
- Minimierung von Haftungsrisiken
- Professionelle Dokumentation für Prüfungen
9. Was kostet eine DSFA?
Die Kosten hängen vom Umfang der Verarbeitung und der gewählten Unterstützung ab. Kleinere DSFA-Projekte sind ab ca. 1.000–2.500 Euro möglich, komplexe Verfahren können deutlich teurer sein – insbesondere bei besonders sensiblen Daten oder vielen betroffenen Systemen.
Datenschutzfolgeabschätzung – Pflicht mit Mehrwert
Die Datenschutzfolgeabschätzung ist nicht nur eine gesetzliche Pflicht, sondern ein wirksames Instrument, um Risiken in der Datenverarbeitung zu erkennen und zu minimieren. Unternehmen, die DSFA richtig umsetzen, schützen nicht nur die Rechte der Betroffenen, sondern auch sich selbst – vor Datenschutzpannen, Reputationsverlust und Bußgeldern.
Wer unsicher ist, ob eine DSFA notwendig ist oder wie man sie professionell umsetzt, sollte sich frühzeitig beraten lassen – idealerweise von einem erfahrenen Datenschutzbeauftragten oder einem spezialisierten Dienstleister.
Wenn du möchtest, kann ich dir auch eine Checkliste oder eine Vorlage für die Durchführung einer DSFA erstellen.
