Wann muss eine Datenschutz-Folgenabschätzung erfolgen?

Was ist eine Datenschutz-Folgenabschätzung?

Die Datenschutz-Folgenabschätzung – oft auch kurz DSFA genannt – ist ein zentrales Instrument der DSGVO. Sie dient dazu, vor Beginn einer risikoreichen Verarbeitung personenbezogener Daten die möglichen Folgen für betroffene Personen zu bewerten. Ziel ist es, Risiken frühzeitig zu erkennen und geeignete Maßnahmen zu deren Minderung zu entwickeln.

Sie ist damit eine Art „Vorabprüfung“: Bevor Sie also mit einer neuen Verarbeitung starten, stellt sich die Frage, ob diese möglicherweise ein hohes Risiko birgt. Die Grundlage für die Beurteilung ist stets Ihr Verarbeitungsverzeichnis nach DSGVO, in dem sämtliche Verarbeitungstätigkeiten dokumentiert sind.

Wann muss eine DSFA durchgeführt werden?

Eine DSFA ist gesetzlich vorgeschrieben, wenn bestimmte Verarbeitungstätigkeiten ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen erwarten lassen. Typische Beispiele sind:

• Verarbeitungen besonders sensibler Daten (z. B. Gesundheitsdaten)
• automatisierte Entscheidungs­findung, etwa Scoring- oder Profiling­verfahren
• Einsatz von Künstlicher Intelligenz zur Bewertung oder Steuerung menschlichen Verhaltens
• großflächige Überwachung oder Verhaltensanalyse

Auch wenn die einzelnen Daten zunächst harmlos erscheinen – etwa Name oder Kaufhistorie – kann durch die Kombination vieler Informationen ein hohes Risikoprofil entstehen. Typisches Beispiel: Wenn KI-Systeme Bewerbungen vorsortieren oder Bonitätsprüfungen automatisiert erfolgen, sind die potenziellen Auswirkungen auf die Betroffenen erheblich. In solchen Fällen schreibt die DSGVO zwingend eine DSFA vor.

Wie läuft die Datenschutz-Folgenabschätzung ab?

Die DSFA erfolgt in mehreren Schritten:

1. Beschreibung der geplanten Verarbeitung: Welche Daten werden verarbeitet, zu welchem Zweck und mit welchen Mitteln?
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit: Ist die Verarbeitung inhaltlich gerechtfertigt und auf das erforderliche Maß beschränkt?
3. Risikobewertung: Welche potenziellen Auswirkungen könnte die Verarbeitung auf die betroffenen Personen haben?
4. Maßnahmen zur Risikominderung: Welche technischen und organisatorischen Schutzmaßnahmen werden ergriffen, um das Risiko zu senken?

Beispiele für sinnvolle Maßnahmen sind etwa eine Datenverschlüsselung, ein striktes Rechte- und Rollenkonzept oder das Vier-Augen-Prinzip bei sensiblen Abläufen. So kann etwa im HR-Bereich ein menschlicher Review-Prozess sicherstellen, dass KI-Entscheidungen überprüft werden – und genau das reduziert das Risiko signifikant.

Warum die DSFA mehr Chance als Pflicht ist

Viele Unternehmen empfinden die DSFA zunächst als bürokratische Hürde. In der Praxis ist sie jedoch ein wertvolles Instrument, um innovative und datenintensive Prozesse rechtssicher umsetzen zu können. Wer dokumentiert, dass Risiken erkannt und angemessen adressiert wurden, schafft Rechtssicherheit – auch gegenüber Kunden, Geschäftspartnern und Aufsichtsbehörden.

Hinzu kommt: Gerade im B2B-Bereich verlangen viele Partner den Nachweis einer durchgeführten DSFA, bevor sie eine Zusammenarbeit eingehen. Es lohnt sich also, das Thema proaktiv anzugehen.

Praktischer Tipp zum Ablauf im Unternehmen

Beim Einführen neuer Verarbeitungstätigkeiten sollte stets geprüft werden, ob eine DSFA erforderlich ist. Zeigt sich, dass ein hohes Risiko besteht, erfolgt die eigentliche Abschätzung, bevor die Datenverarbeitung gestartet wird. Erst wenn das Risiko durch geeignete Maßnahmen vertretbar reduziert wurde, kann die Verarbeitung im Verarbeitungsverzeichnis eingetragen und rechtmäßig durchgeführt werden.

Unterstützung erhalten Unternehmen dabei häufig durch einen internen oder externen Datenschutzbeauftragten. Falls Sie prüfen, welche Variante für Ihr Unternehmen sinnvoll ist, finden Sie hierzu hilfreiche Hinweise im Beitrag Datenschutzbeauftragter extern oder intern – was ist sinnvoller für Ihr Unternehmen?.

Fazit

Eine Datenschutz-Folgenabschätzung ist immer dann erforderlich, wenn neue oder geänderte Verarbeitungstätigkeiten ein hohes Risiko für betroffene Personen mit sich bringen können. Sie schützt nicht nur die Rechte der Betroffenen, sondern auch Ihr Unternehmen vor regulatorischen Risiken und stärkt zugleich Ihre Position gegenüber Geschäftspartnern. Mit professioneller Unterstützung – etwa durch einen externen Datenschutzbeauftragten – lässt sich die DSFA effizient vorbereiten, um innovative Datenverarbeitungen sicher und rechtlich fundiert umzusetzen.