Kurzdefinition: Die Datenschutz-Folgenabschätzung — kurz DSFA — ist die vorab durchzuführende Risikobewertung einer geplanten Verarbeitung. Nach Art. 35 DSGVO ist sie erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. [N-DSGVO-35]
Der Normwortlaut
Art. 35 Abs. 1 DSGVO lautet: „Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“ [N-DSGVO-35]
Wann braucht man eine Datenschutz-Folgenabschätzung?
Immer dann, wenn ein hohes Risiko voraussichtlich zu erwarten ist — das ist der Grundmaßstab des Absatzes 1. Art. 35 Abs. 3 DSGVO nennt zusätzlich Fälle, in denen eine DSFA insbesondere erforderlich ist: bei systematischer und umfassender Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung, bei umfangreicher Verarbeitung besonderer Kategorien von Daten und bei systematischer weiträumiger Überwachung öffentlich zugänglicher Bereiche. Die Aufsichtsbehörden führen zudem nach Art. 35 Abs. 4 DSGVO Positivlisten der Verarbeitungen, für die eine DSFA verpflichtend ist. [N-DSGVO-35]
Was gehört in eine DSFA?
Eine systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die betroffenen Personen und die zur Bewältigung geplanten Abhilfemaßnahmen. Sie ist damit keine Formalie, sondern die dokumentierte Risikoentscheidung vor dem Start der Verarbeitung. [N-DSGVO-35]
Was, wenn das hohe Risiko bestehen bleibt?
Dann ist die DSFA nicht als reine interne Freigabe zu behandeln. Ergibt die Abschätzung, dass ein hohes Risiko trotz geplanter Maßnahmen bestehen bleibt, muss die weitere datenschutzrechtliche Freigabe- und Konsultationsspur gesondert geprüft werden. Die DSFA ist also nicht nur eine interne Übung — sie kann weiteren externen Prüfbedarf auslösen. [N-DSGVO-35]
Wer führt die Datenschutz-Folgenabschätzung durch und wann?
Der Verantwortliche, vorab. Nach Art. 35 Abs. 1 DSGVO führt der Verantwortliche die Abschätzung vorab — also vor Beginn der Verarbeitung — durch, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. [N-DSGVO-35]
Welche Rolle spielen neue Technologien?
Sie sind ein ausdrücklicher Anhaltspunkt. Art. 35 Abs. 1 DSGVO nennt gerade die Verwendung neuer Technologien als typischen Fall, in dem ein hohes Risiko und damit eine Datenschutz-Folgenabschätzung in Betracht kommt. [N-DSGVO-35]
Häufige Fehlannahmen
- „Jede Verarbeitung braucht eine DSFA.“ Nein. Sie ist erforderlich, wenn voraussichtlich ein hohes Risiko besteht — nicht bei jeder Verarbeitung. [N-DSGVO-35]
- „Die DSFA wird nach dem Start gemacht.“ Nein. Art. 35 Abs. 1 DSGVO verlangt sie vorab. [N-DSGVO-35]
- „Die DSFA ist eine reine Formsache.“ Nein. Sie muss Notwendigkeit, Verhältnismäßigkeit und Risiken bewerten und kann eine vorherige Konsultation der Aufsichtsbehörde auslösen. [N-DSGVO-35]
- „Ob eine DSFA nötig ist, muss man einfach schätzen.“ Nein. Vorgeschaltet ist eine Schwellwertanalyse; zudem nennt Art. 35 Abs. 3 DSGVO Regelbeispiele, etwa Profiling mit Rechtswirkung, die umfangreiche Verarbeitung besonderer Kategorien und die systematische Überwachung öffentlich zugänglicher Bereiche. [N-DSGVO-35]
- „Es gibt keine verbindlichen Vorgaben, was zu prüfen ist.“ Nein. Die Aufsichtsbehörden veröffentlichen Positivlisten von Verarbeitungen, die zwingend eine DSFA erfordern. [N-DSGVO-35]
Was die Geschäftsleitung tun sollte
- Risiko einschätzen. Vor neuen Verarbeitungen prüfen, ob ein hohes Risiko voraussichtlich besteht.
- Pflichtfälle kennen. Profiling mit Rechtswirkung, besondere Kategorien, weiträumige Überwachung und die Positivlisten der Aufsicht.
- Vorab durchführen. Die DSFA gehört vor den Start der Verarbeitung.
- Datenschutzfunktion einbinden. Soweit ein Datenschutzbeauftragter benannt ist oder interne Datenschutzrollen bestehen, deren Einschätzung früh in die DSFA-Organisation einbeziehen; die konkrete Einbindung ist gesondert zu prüfen.
Für die Geschäftsleitung
Die DSFA ist die vorgezogene Risikoentscheidung: Wer eine Verarbeitung mit voraussichtlich hohem Risiko plant, muss die Folgen abschätzen, bevor er beginnt. Sie ist kein Papier für die Akte, sondern der Nachweis, dass Notwendigkeit, Verhältnismäßigkeit und Risiken bewertet wurden — und sie kann weiteren Freigabe- oder Konsultationsbedarf auslösen, wenn das hohe Risiko bleibt.
Quellen
- [N-DSGVO-35] Art. 35 DSGVO (Datenschutz-Folgenabschätzung), Abs. 1, 3 und 4. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
