Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO

Was ist eine Datenschutz-Folgenabschätzung?

Eine Datenschutz-Folgenabschätzung, kurz DSFA, ist eine dokumentierte Risikoprüfung vor Beginn einer Verarbeitung. Sie ist nach Art. 35 Abs. 1 DSGVO Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, insbesondere beim Einsatz neuer Technologien. Die DSFA beschreibt die Verarbeitung, bewertet Notwendigkeit und Risiken und legt Maßnahmen fest, die diese Risiken eindämmen.

Die DSFA ist kein Formular, das einmal ausgefüllt wird. Nach Art. 35 Abs. 11 DSGVO prüft der Verantwortliche erforderlichenfalls, ob die Verarbeitung der DSFA entspricht, zumindest wenn sich das Risiko ändert. Ist ein Datenschutzbeauftragter benannt, holt der Verantwortliche dessen Rat ein (Art. 35 Abs. 2 DSGVO).

Wann ist eine DSFA erforderlich?

Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen eine DSFA insbesondere erforderlich ist:

1. systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, wenn darauf Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung beruhen
2. umfangreiche Verarbeitung besonderer Kategorien von Daten nach Art. 9 Abs. 1 DSGVO, etwa Gesundheitsdaten, oder von Daten über Straftaten nach Art. 10 DSGVO
3. systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

Diese Aufzählung ist nicht abschließend. Entscheidend bleibt das voraussichtlich hohe Risiko nach Art. 35 Abs. 1 DSGVO. Die Artikel-29-Datenschutzgruppe hat dafür in ihren Leitlinien WP 248 neun Kriterien beschrieben, darunter vertrauliche Daten, schutzbedürftige Betroffene, Verarbeitung in großem Umfang, systematische Überwachung, neue Technologien, Scoring und das Zusammenführen von Datensätzen. Erfüllt eine Verarbeitung zwei dieser Kriterien, ist nach den Leitlinien in den meisten Fällen eine DSFA durchzuführen.

Eine Ausnahme beschreibt Erwägungsgrund 91 DSGVO: Verarbeitet ein einzelner Arzt, ein sonstiger Angehöriger eines Gesundheitsberufs oder ein Rechtsanwalt Daten seiner Patienten oder Mandanten, gilt das nicht als umfangreich. Eine DSFA ist dann nicht zwingend vorgeschrieben. Mehr dazu auf der Seite Datenschutz in der Arztpraxis.

DSFA Muss-Liste der Datenschutzkonferenz

Nach Art. 35 Abs. 4 DSGVO veröffentlichen die Aufsichtsbehörden Listen der Verarbeitungen, für die eine DSFA durchzuführen ist. Für den nicht-öffentlichen Bereich in Deutschland gilt die gemeinsame Muss-Liste der Datenschutzkonferenz (DSK), Version 1.1 vom 17.10.2018. Sie beschreibt 17 Verarbeitungstätigkeiten. Beispiele daraus:

• biometrische Daten zur eindeutigen Identifizierung, etwa Fingerabdruck zur Zutrittskontrolle, wenn ein weiteres Kriterium hinzukommt (Nr. 1)
• umfangreiche Verarbeitung von Daten, die einem Sozial-, Berufs- oder besonderen Amtsgeheimnis unterliegen (Nr. 3)
• Scoring und Betrugsprävention mit zusammengeführten Daten (Nr. 5)
• umfangreiche Auswertung des Verhaltens von Beschäftigten, etwa mit Data-Loss-Prevention-Systemen oder Ortung (Nr. 8)
• Einsatz künstlicher Intelligenz zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte (Nr. 11)
• automatisierte Auswertung von Video- oder Audioaufnahmen zur Bewertung der Persönlichkeit (Nr. 13)
• Telemedizin mit Sensoren oder Apps, deren Daten zentral aufbereitet werden (Nr. 16)

Die Liste ist ausdrücklich nicht abschließend. Steht eine Verarbeitung nicht darauf, kann trotzdem eine DSFA nötig sein. Für öffentliche Stellen gibt es eigene Listen, etwa die Liste der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) für Bundesbehörden. Einige Länder haben Listen für ihre Behörden veröffentlicht.

Schwellwertanalyse: die DSFA-Vorprüfung

Ob eine DSFA nötig ist, klären Sie mit einer Schwellwertanalyse. Die DSK beschreibt sie in ihrem Kurzpapier Nr. 5 als Abschätzung der Risiken der Verarbeitungsvorgänge. Ergibt sie ein voraussichtlich hohes Risiko, folgt die DSFA. Die Entscheidung ist in jedem Fall mit den maßgeblichen Gründen schriftlich zu dokumentieren, auch wenn keine DSFA durchgeführt wird.

Diese Fragen beantworten wir in der Schwellwertanalyse:

• Fällt die Verarbeitung unter einen der Fälle des Art. 35 Abs. 3 DSGVO?
• Steht sie auf der DSK Muss-Liste?
• Wie viele der neun Kriterien aus WP 248 sind erfüllt?
• Greift eine Ausnahme, etwa nach Erwägungsgrund 91?
• Sind Ergebnis und Begründung dokumentiert und ist der Rat des Datenschutzbeauftragten festgehalten?

Pflichtinhalt nach Art. 35 Abs. 7 DSGVO

Die DSGVO schreibt keine bestimmte Methode vor, wohl aber den Mindestinhalt:

Gegebenenfalls holt der Verantwortliche den Standpunkt der Betroffenen oder ihrer Vertreter ein (Art. 35 Abs. 9 DSGVO). Genehmigte Verhaltensregeln sind bei der Bewertung zu berücksichtigen (Art. 35 Abs. 8 DSGVO).

Ablauf einer DSFA in sechs Schritten

1. Vorbereitung: Team aus Fachbereich, IT und Datenschutz zusammenstellen und den Umfang festlegen. Die DSK empfiehlt ein interdisziplinäres Team, der Datenschutzbeauftragte berät.
2. Beschreibung: Datenflüsse, Systeme, Rollen und Dienstleister erfassen.
3. Rechtliche Prüfung: Rechtsgrundlage, Zweckbindung und Erforderlichkeit klären.
4. Risikoanalyse: Risiken ermitteln und nach Eintrittswahrscheinlichkeit und Schwere bewerten.
5. Maßnahmen: technische und organisatorische Maßnahmen festlegen und das verbleibende Risiko bewerten.
6. Abschluss und Überprüfung: Entscheidung dokumentieren, Maßnahmen umsetzen und die DSFA bei Änderungen erneut prüfen (Art. 35 Abs. 11 DSGVO).

Wichtig ist der Zeitpunkt: Die DSFA erfolgt vor Beginn der Verarbeitung. Da sie nach dem Hinweis der DSK meist nicht in wenigen Tagen fertig ist, sollte sie früh in Projekte wie eine Softwareeinführung eingeplant werden.

Vorabkonsultation nach Art. 36 DSGVO

Zeigt die DSFA, dass die Verarbeitung ohne eindämmende Maßnahmen ein hohes Risiko hätte und lässt sich dieses Risiko nicht ausreichend senken, muss der Verantwortliche vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren (Art. 36 Abs. 1 DSGVO). Er übermittelt dabei unter anderem die DSFA, Zwecke und Mittel der Verarbeitung, die vorgesehenen Garantien und die Kontaktdaten des Datenschutzbeauftragten (Art. 36 Abs. 3 DSGVO).

Hält die Behörde die geplante Verarbeitung für nicht rechtskonform, gibt sie innerhalb von bis zu acht Wochen schriftliche Empfehlungen ab. Die Frist kann um sechs Wochen verlängert werden (Art. 36 Abs. 2 DSGVO). Wir bereiten die Unterlagen vor und begleiten Sie durch das Verfahren.

Folgen für Bußgeld und Datenschutzbeauftragten

Wer eine erforderliche DSFA unterlässt, verstößt gegen Art. 35 DSGVO. Art. 83 Abs. 4 lit. a DSGVO sieht dafür Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Außerdem gilt nach § 38 Abs. 1 Satz 2 BDSG: Wer Verarbeitungen vornimmt, die einer DSFA unterliegen, muss unabhängig von der Personenzahl einen Datenschutzbeauftragten benennen. Die Bundesregierung will bis Ende 2026 eine Aufhebung von § 38 Abs. 1 BDSG einbringen. Details auf der Seite Datenschutzbeauftragter Pflicht.

Häufige Fehler bei der Datenschutz-Folgenabschätzung

• Zu spät: Die DSFA entsteht erst, wenn das System schon läuft. Sie gehört vor den Start der Verarbeitung (Art. 35 Abs. 1 DSGVO).
• Falscher Blickwinkel: Die Bewertung betrachtet nur die IT-Sicherheit des Unternehmens, nicht die Folgen für die Betroffenen.
• Ohne DSB: Der Rat des Datenschutzbeauftragten wird nicht eingeholt oder nicht dokumentiert, obwohl Art. 35 Abs. 2 DSGVO ihn verlangt.
• Einmal und nie wieder: Die DSFA wird nicht überprüft, obwohl sich Zwecke, Daten oder Dienstleister geändert haben (Art. 35 Abs. 11 DSGVO).
• Doppelte Arbeit: Für ähnliche Verarbeitungen wird jedes Mal neu begonnen. Eine gemeinsame DSFA für mehrere ähnliche Vorgänge mit ähnlich hohen Risiken ist zulässig (Art. 35 Abs. 1 Satz 2 DSGVO).

Was droht, wenn die DSFA fehlt?

Eine unterlassene oder mangelhafte DSFA verstößt gegen Art. 35 DSGVO. Dafür sieht Art. 83 Abs. 4 lit. a DSGVO Geldbußen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Dasselbe gilt, wenn trotz hohem Restrisiko die Vorabkonsultation nach Art. 36 DSGVO unterbleibt.

In Deutschland kommt eine weitere Folge hinzu: Wer Verarbeitungen vornimmt, die einer DSFA unterliegen, muss unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten benennen (§ 38 Abs. 1 Satz 2 BDSG). Mehr dazu unter Datenschutzbeauftragter Pflicht.

Typische Auslöser und Beispiele

Videoüberwachung

Die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche ist ein Regelfall nach Art. 35 Abs. 3 lit. c DSGVO. Eine einzelne Kamera am Eingang eines kleinen Betriebs erreicht diese Schwelle in der Regel nicht. Auch dann sollten Sie die Prüfung dokumentieren. Hintergrund: Welche Pflichten gelten für die Videoüberwachung?

Bewerbermanagement mit KI

Sortiert oder bewertet eine Software Bewerbungen automatisch, etwa durch ein Ranking oder die Analyse von Videointerviews, sind Nr. 11 und je nach Gestaltung Nr. 13 der DSK Muss-Liste berührt. Hinzu kommt Art. 22 DSGVO zu automatisierten Einzelentscheidungen. Mehr im Artikel Was gilt bei der Nutzung von Bewerbermanagementsystemen?

Gesundheitsdaten

Die umfangreiche Verarbeitung von Gesundheitsdaten, etwa in Krankenhäusern oder bei Gesundheits-Apps mit vielen Nutzern, fällt unter Art. 35 Abs. 3 lit. b DSGVO. Telemedizin mit Sensoren nennt die Muss-Liste ausdrücklich (Nr. 16), ebenso zentral gespeicherte Daten aus Fitnessarmbändern, mit denen Anbieter die Leistungsfähigkeit bestimmen (Nr. 17). Grundlagen: Was sind besondere Kategorien personenbezogener Daten?

Ortung von Dienstfahrzeugen

Die GPS-Ortung im Außendienst verarbeitet Standortdaten von Beschäftigten und überwacht sie systematisch. Damit treffen zwei Kriterien der Schwellwertanalyse zu, eine DSFA ist daher in der Regel erforderlich.

Kundendatenbank eines Handwerksbetriebs

Übliche Kontaktdaten, kein Profiling, überschaubarer Umfang: Hier ist keine DSFA nötig. Halten Sie aber die kurze Schwellwertanalyse mit Ergebnis fest, das gehört zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Unsere Unterstützung bei der Datenschutz-Folgenabschätzung

Wir prüfen mit Ihnen, ob eine DSFA nötig ist, erstellen die vollständige Dokumentation nach Art. 35 Abs. 7 DSGVO, bewerten Risiken, schlagen Abhilfemaßnahmen vor und begleiten eine Vorabkonsultation. Wir arbeiten mit DEKRA-zertifizierter Fachkunde, für KMU ebenso wie für die öffentliche Hand. Welche Verarbeitungen überhaupt ein hohes Risiko bergen, zeigt oft erst ein Datenschutz-Audit.

Grundlage jeder DSFA sind ein aktuelles Verzeichnis von Verarbeitungstätigkeiten und beschriebene technische und organisatorische Maßnahmen. Sprechen Sie uns über die Kontaktseite an oder rufen Sie an: 089 / 2000 1420. Weitere Angebote finden Sie unter Leistungen.