Was ist eine Datenschutz-Folgenabschätzung?
Die Datenschutz-Folgenabschätzung – kurz DSFA, englisch DPIA – ist ein in Art. 35 DSGVO verankertes Instrument der Risikovorsorge. Immer wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, muss der Verantwortliche die Folgen vorab systematisch bewerten – bevor die Verarbeitung beginnt.
Die DSFA ist damit kein bürokratischer Selbstzweck, sondern eine strukturierte Denkübung: Was kann schiefgehen, wie wahrscheinlich ist es, wie schwer wären die Folgen für die Betroffenen – und welche Maßnahmen senken das Risiko? Sie ist das Bindeglied zwischen dem Prinzip Privacy by Design und den konkreten technischen und organisatorischen Maßnahmen.
Wann ist eine DSFA Pflicht?
Eine DSFA ist nicht für jede Verarbeitung nötig, aber zwingend bei voraussichtlich hohem Risiko. Art. 35 Abs. 3 nennt drei Regelbeispiele, in denen sie praktisch immer erforderlich ist:
- systematische und umfassende Bewertung persönlicher Aspekte, einschließlich Profiling, auf der automatisierte Entscheidungen beruhen;
- umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten – etwa Gesundheits- oder biometrischer Daten;
- systematische weiträumige Überwachung öffentlich zugänglicher Bereiche, zum Beispiel umfangreiche Videoüberwachung.
Zusätzlich veröffentlichen die Aufsichtsbehörden Muss-Listen mit weiteren Fallgruppen, etwa beim Einsatz neuer Technologien oder bei der Verknüpfung großer Datenbestände. Auch viele KI-Anwendungen fallen darunter – ein Grund, warum ich die DSFA häufig im Rahmen der KI-Datenschutz-Beratung begleite.
So läuft eine DSFA ab
Eine DSFA folgt einem nachvollziehbaren Ablauf. Zuerst wird die geplante Verarbeitung systematisch beschrieben: Zwecke, Datenkategorien, Empfänger, Aufbewahrung. Dann werden Notwendigkeit und Verhältnismäßigkeit geprüft – greift die Verarbeitung wirklich nur so weit, wie es der Zweck verlangt? Anschließend werden die Risiken für die Betroffenen bewertet und Abhilfemaßnahmen festgelegt, bis ein vertretbares Restrisiko bleibt.
Der Datenschutzbeauftragte ist nach Art. 35 Abs. 2 verpflichtend einzubinden und berät während des gesamten Prozesses. Lässt sich ein hohes Risiko trotz aller Maßnahmen nicht ausreichend senken, ist vorab die Aufsichtsbehörde zu konsultieren. Eine sauber dokumentierte DSFA ist zugleich ein starker Nachweis für Ihre Rechenschaftspflicht. Wie das konkret aussieht, zeige ich im Ratgeber zur DSFA.