Die Datenschutz-Folgenabschätzung (DSFA) gehört zu den zentralen Instrumenten der DSGVO, wenn es um die Verarbeitung besonders sensibler oder risikoreicher personenbezogener Daten geht. Ziel der DSFA ist es, Risiken für die Rechte und Freiheiten der betroffenen Personen frühzeitig zu erkennen, zu bewerten und geeignete Schutzmaßnahmen zu ergreifen.
Da die Anforderungen an Inhalt und Durchführung der DSFA komplex sind, empfiehlt sich häufig die Unterstützung durch externe Datenschutzexperten. In diesem Artikel zeigen wir Schritt für Schritt, wie eine professionelle Datenschutzfolgeabschätzung abläuft und worauf Unternehmen achten sollten.
Was ist eine Datenschutzfolgeabschätzung?
Die Datenschutzfolgeabschätzung ist ein Verfahren gemäß Artikel 35 DSGVO. Sie ist verpflichtend, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Beispiele:
- Überwachung öffentlicher Räume mittels Video
- Profiling mit automatisierter Entscheidungsfindung
- Verarbeitung von Gesundheits- oder Standortdaten in großem Umfang
- Scoring- oder Bonitätsprüfungen
Die DSFA soll Risiken identifizieren, dokumentieren und Maßnahmen zu deren Minderung festlegen.
Schritt-für-Schritt-Anleitung zur Datenschutzfolgeabschätzung
1. Prüfen, ob eine DSFA notwendig ist
Bevor eine DSFA durchgeführt wird, muss geprüft werden, ob die geplante Datenverarbeitung überhaupt unter die Pflicht fällt. Das kann anhand folgender Kriterien geschehen:
- Umfang und Sensibilität der verarbeiteten Daten
- Automatisierte Verarbeitung oder Profiling
- Beobachtung oder Überwachung von Personen
- Verarbeitung von besonders schutzwürdigen Gruppen (z. B. Kinder)
Hinweis: Die Datenschutzkonferenz (DSK) stellt eine Positivliste bereit, aus der hervorgeht, in welchen Fällen eine DSFA erforderlich ist. Um Bußgelder zu vermeiden, sollten Sie Ihre Datenschutzfolgeabschätzung erstellen lassen.
2. Beschreibung der geplanten Datenverarbeitung
Zunächst wird die betroffene Verarbeitung vollständig dokumentiert:
- Zweck der Verarbeitung
- Kategorien betroffener Personen und Daten
- Ablauf und technische Umsetzung
- Verantwortlicher und ggf. Auftragsverarbeiter
- Übermittlungen ins Ausland oder an Dritte
Eine klare und nachvollziehbare Beschreibung bildet die Grundlage für die Risikobewertung.
3. Bewertung der Notwendigkeit und Verhältnismäßigkeit
Im nächsten Schritt erfolgt die Beurteilung, ob die Verarbeitung im Hinblick auf den Zweck notwendig und verhältnismäßig ist. Dabei wird geprüft:
- Gibt es mildere Alternativen?
- Entspricht die Verarbeitung dem Grundsatz der Datenminimierung?
- Wurden die Rechte der Betroffenen berücksichtigt?
Diese Bewertung hilft dabei, das Datenschutzniveau zu rechtfertigen und dokumentieren.
4. Analyse der Risiken für die Betroffenen
Nun wird ermittelt, welche Risiken die Datenverarbeitung für die Betroffenen mit sich bringen kann. Mögliche Risiken:
- Verlust der Kontrolle über persönliche Daten
- Diskriminierung durch Profiling
- Identitätsdiebstahl oder Rufschädigung
- Überwachung oder Einschränkung der Privatsphäre
Diese Risiken werden anschließend in Bezug auf Eintrittswahrscheinlichkeit und Schweregrad bewertet.
5. Festlegung von Abhilfemaßnahmen
Zur Minimierung der erkannten Risiken werden technische und organisatorische Maßnahmen (TOM) geplant:
- Verschlüsselung, Pseudonymisierung
- Zugriffskontrollen und Löschkonzepte
- Datenschutz durch Technikgestaltung (Privacy by Design)
- Einwilligungen, Informationspflichten, Widerspruchsmöglichkeiten
Ziel ist es, ein dem Risiko angemessenes Schutzniveau zu schaffen.
6. Einbeziehung des Datenschutzbeauftragten
Der Datenschutzbeauftragte muss in die DSFA eingebunden werden. Er prüft die geplante Verarbeitung und gibt Empfehlungen:
- Ist die DSFA vollständig und korrekt?
- Sind die Maßnahmen ausreichend?
- Müssen Änderungen am Konzept vorgenommen werden?
Der DSB dokumentiert seine Stellungnahme schriftlich.
7. Ggf. Konsultation der Aufsichtsbehörde
Wenn trotz aller Maßnahmen ein hohes Risiko für die Betroffenen bestehen bleibt, muss vor Beginn der Verarbeitung die zuständige Datenschutzaufsichtsbehörde konsultiert werden (Art. 36 DSGVO). Diese kann weitere Anforderungen stellen oder die Verarbeitung untersagen.
8. Dokumentation und Aktualisierung
Die DSFA ist zu dokumentieren und regelmäßig zu überprüfen, insbesondere bei:
- Änderungen der Verarbeitung
- Einführung neuer Technologien
- Erhöhten Risiken oder neuen rechtlichen Vorgaben
Die Dokumentation dient zugleich als Nachweis gegenüber Behörden und Geschäftspartnern.
Vorteile professioneller Unterstützung bei der DSFA
Die Durchführung einer Datenschutzfolgeabschätzung ist anspruchsvoll. Externe Berater oder Datenschutzbeauftragte bieten:
- Erfahrung mit vergleichbaren Projekten
- Strukturierte Vorlagen und Methoden
- Juristisch abgesicherte Bewertung
- Haftungssicherheit
- Effizienzgewinn durch Expertise
Dadurch sinkt nicht nur das Risiko fehlerhafter Einschätzungen, sondern auch der interne Aufwand.
Die Datenschutzfolgeabschätzung ist ein zentrales Instrument zur Risikovorsorge bei datenschutzrechtlich sensiblen Vorhaben. Wer sie gewissenhaft und professionell durchführt, schützt nicht nur die Rechte der Betroffenen, sondern sichert auch das eigene Unternehmen rechtlich ab. Mit externer Hilfe gelingt die DSFA effizient, strukturiert und vollständig – Schritt für Schritt und DSGVO-konform.
Wenn du möchtest, kann ich dir eine DSFA-Vorlage oder eine Risikobewertungsmatrix zur Verfügung stellen.
