Was ist eine Datenschutz-Folgenabschätzung?
Eine Datenschutz-Folgenabschätzung ist die schriftliche Risikoprüfung, die die DSGVO vor dem Start einer Verarbeitung verlangt, wenn diese voraussichtlich ein hohes Risiko für die betroffenen Menschen mit sich bringt.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite3 Abschnitte
Einfach erklärt
Eine Datenschutz-Folgenabschätzung, kurz DSFA, ist eine Risikoprüfung vor dem Start. Bevor Sie eine Verarbeitung einführen, die für die Betroffenen voraussichtlich ein hohes Risiko bedeutet, prüfen Sie schriftlich: Was genau passiert mit den Daten, ist das nötig, was kann schiefgehen und was tun Sie dagegen? Das ähnelt der Gefährdungsbeurteilung im Arbeitsschutz, nur geht es um die Rechte der Menschen, deren Daten Sie verarbeiten.
Wann sie nötig ist
Für alltägliche Abläufe wie Kundenkartei oder Lohnabrechnung ist sie in der Regel nicht nötig. Typische Auslöser sind dagegen:
- umfangreiche Videoüberwachung öffentlich zugänglicher Bereiche
- umfangreiche Auswertung des Verhaltens von Beschäftigten, etwa zur Leistungsbewertung
- künstliche Intelligenz, die mit Kunden kommuniziert oder Personen bewertet
- Kundenkarten, mit denen Profile des Kaufverhaltens entstehen
- umfangreiche Verarbeitung von Gesundheitsdaten
Die Aufsichtsbehörden haben dazu eine Liste veröffentlicht. Sie ist ausdrücklich nicht abschließend.
Was Sie tun können
Fragen Sie vor jeder neuen Software, die Personen überwacht, bewertet oder viele sensible Daten verarbeitet, ob eine DSFA nötig ist. Halten Sie auch die Antwort „nicht nötig“ mit Begründung fest. Haben Sie einen Datenschutzbeauftragten, holen Sie seinen Rat ein. Bleibt nach allen Maßnahmen ein hohes Risiko, muss vor dem Start die Aufsichtsbehörde konsultiert werden.
Einordnung: Ob ein konkretes Vorhaben eine DSFA braucht, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt.
Auslöser nach Art. 35
Art. 35 Abs. 1 DSGVO: Pflicht, wenn eine Verarbeitung, insbesondere bei neuen Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Regelfälle nach Abs. 3:
- lit. a: systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung
- lit. b: umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 Abs. 1 oder von Daten nach Art. 10
- lit. c: systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche
Nach Abs. 4 veröffentlichen die Aufsichtsbehörden Listen der Fälle, in denen eine DSFA nötig ist. Die Liste der DSK für den nicht-öffentlichen Bereich (Version 1.1 vom 17. Oktober 2018) hat 17 Einträge und ist ausdrücklich nicht abschließend. Darunter: umfangreiche Verarbeitung von Verhaltensdaten Beschäftigter zur Bewertung (Nr. 8), Einsatz von KI zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte (Nr. 11), umfassende Profile über Bewegungs- und Kaufverhalten (Nr. 14). Ergänzend gibt es die vom EDPB bestätigten Leitlinien WP 248 rev.01 mit neun Kriterien. Sind zwei davon erfüllt, ist eine DSFA in den meisten Fällen nötig.
Mindestinhalt und Konsultation
Art. 35 Abs. 7
lit. a systematische Beschreibung der Vorgänge und Zwecke, ggf. berechtigte Interessen
lit. b Bewertung von Notwendigkeit und Verhältnismäßigkeit
lit. c Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen
lit. d Abhilfemaßnahmen, Garantien, Sicherheitsvorkehrungen, Nachweis der Einhaltung
Der Rat des Datenschutzbeauftragten wird eingeholt (Abs. 2). Bleibt ohne weitere Maßnahmen ein hohes Risiko, folgt die vorherige Konsultation der Aufsichtsbehörde (Art. 36 Abs. 1). Sie antwortet binnen acht Wochen, bei komplexen Verarbeitungen verlängerbar um sechs Wochen (Art. 36 Abs. 2). Methodisch hilft das Standard-Datenschutzmodell der DSK. Der EDPB hat im April 2026 eine einheitliche Vorlage zur Konsultation veröffentlicht, ihre Nutzung ist freiwillig.
Typische Fehler
- DSFA nach dem Start. Sie ist vor Beginn der Verarbeitung durchzuführen.
- Risiko für das Unternehmen statt für die Betroffenen. Bewertet werden die Rechte und Freiheiten der natürlichen Personen, nicht Ausfallkosten oder Reputation.
- Schwellwertprüfung nicht dokumentiert. Auch die Entscheidung gegen eine DSFA braucht eine nachvollziehbare Begründung.
- Einmal und nie wieder. Abs. 11 verlangt eine Überprüfung, zumindest wenn sich das Risiko ändert.
Prüfen
Schwellwertprüfung als Vorgehen: die geplante Verarbeitung gegen Art. 35 Abs. 3, die Liste der DSK und die neun Kriterien aus WP 248 halten. Ergebnis, Begründung und Datum gehören zur Tätigkeit ins Verzeichnis von Verarbeitungstätigkeiten. Die nötigen Schutzmaßnahmen beschreibt der Eintrag zu TOM.