DSFA: Die Datenschutz-Folgenabschätzung in 9 Schritten

Die Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO ist verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. In diesem Leitfaden erklären wir, wann Sie eine DSFA durchführen müssen und wie Sie dabei vorgehen.

Wann ist eine DSFA Pflicht?

Die drei Kriterien des Artikels 35

Eine DSFA ist insbesondere erforderlich bei:

1. Systematische, umfassende Bewertung persönlicher Aspekte mittels automatisierter Verarbeitung einschließlich Profiling (z.B. Scoring, automatisierte Kreditentscheidungen)

2. Umfangreiche Verarbeitung besonderer Kategorien (Art. 9 DSGVO: Gesundheit, Biometrie, Religion, Gewerkschaftszugehörigkeit) oder strafrechtlicher Daten

3. Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (z.B. Videoüberwachung)

Blacklist der Datenschutzkonferenz (DSK)

Deutsche Datenschutzaufsichtsbehörden haben Listen von Verarbeitungsvorgängen mit DSFA-Pflicht veröffentlicht. Die folgenden Beispiele sind Risikohinweise, keine vollständige Wiedergabe einer für jeden Fall verbindlichen Liste:

Neun Kriterien zur Risikoprüfung

Die DSGVO-Leitlinien der Art.-29-Gruppe nennen 9 Kriterien. Bei zwei Kriterien ist eine DSFA in der Regel erforderlich; auch ein Kriterium kann genügen, und die einschlägigen behördlichen Listen sind zu prüfen:

1. Bewertung oder Scoring
2. Automatisierte Entscheidungsfindung mit Rechtswirkung
3. Systematische Überwachung
4. Vertrauliche Daten oder Daten höchst persönlicher Natur
5. Datenverarbeitung im großen Umfang
6. Abgleich oder Zusammenführung von Datensätzen
7. Daten schutzbedürftiger Personen (Arbeitnehmer, Kinder, Patienten)
8. Innovative Nutzung oder Anwendung neuer Technologien
9. Verarbeitung, die Betroffene an der Ausübung ihrer Rechte hindert

Die 9 Schritte der DSFA

Schritt 1: Schwellwertanalyse

Prüfen Sie zunächst, ob eine DSFA tatsächlich erforderlich ist. Dokumentieren Sie das Ergebnis — auch ein negativer Bescheid sollte aktenkundig sein.

Schritt 2: Beschreibung der Verarbeitung

Dokumentieren Sie systematisch:

• Zweck der Verarbeitung
• Rechtsgrundlage (Art. 6, ggf. Art. 9 DSGVO)
• Art der Daten und betroffene Personen
• Datenflüsse — woher kommen die Daten, wohin gehen sie?
• Beteiligte Systeme und Dienstleister
• Speicherdauer und Löschkonzept

Schritt 3: Notwendigkeit und Verhältnismäßigkeit

Prüfen Sie:

• Ist die Verarbeitung erforderlich für den Zweck?
• Gibt es mildere Mittel (Datenminimierung)?
• Sind die Löschfristen angemessen?
• Sind die Betroffenen informiert (Art. 13/14)?
• Können Betroffene ihre Rechte ausüben?

Schritt 4: Risikoidentifikation

Identifizieren Sie potenzielle Risiken für die Betroffenen:

Schritt 5: Risikobewertung

Bewerten Sie jedes Risiko nach Eintrittswahrscheinlichkeit und Schwere der Auswirkung:

Schritt 6: Abhilfemaßnahmen definieren

Für jedes Risiko ab „Mittel" definieren Sie konkrete Maßnahmen:

Schritt 7: Stellungnahme des DSB

Wenn ein Datenschutzbeauftragter benannt ist, muss dessen Stellungnahme eingeholt und dokumentiert werden (Art. 35 Abs. 2).

Schritt 8: Konsultation der Aufsichtsbehörde (bei Bedarf)

Wenn nach Umsetzung aller Maßnahmen das Restrisiko weiterhin hoch bleibt, müssen Sie die zuständige Datenschutzaufsichtsbehörde vorab konsultieren (Art. 36 DSGVO).

Schritt 9: Dokumentation und Review

• Dokumentation aller Ergebnisse — die DSFA selbst ist Ihr Nachweis der Compliance
• Review-Zyklus dem Risiko anpassen und bei wesentlichen Änderungen überprüfen; Art. 35 nennt keinen Jahresrhythmus
• Versionierung — Änderungen nachvollziehbar dokumentieren

Praxisbeispiel: Online-Shop mit Kundenprofiling

Ausgangslage

Ein Online-Shop möchte personalisierte Produktempfehlungen auf Basis des Kaufverhaltens implementieren.

Schwellwertanalyse

• Scoring/Profiling: Ja (Kriterium 1)
• Umfangreiche Datenverarbeitung: Ja (Kriterium 5)
• Ob eine DSFA erforderlich ist, hängt von Umfang, Auswirkungen und der geltenden Liste ab; diese knappe Skizze allein entscheidet es nicht

Risiken und Maßnahmen

Ergebnis

Restrisiko erst nach tatsächlicher Umsetzung prüfen; dieses hypothetische Beispiel erlaubt keine Freigabe der Verarbeitung. Bleibt es hoch, ist die Aufsichtsbehörde vorab zu konsultieren.

Vereinfachte Vorlage

DATENSCHUTZ-FOLGENABSCHÄTZUNG

1. Allgemeines
   Datum: ___________
   Verantwortlicher: ___________
   Verarbeitung: ___________
   DSB-Stellungnahme: ___________

2. Beschreibung
   Zweck: ___________
   Rechtsgrundlage: Art. 6 Abs. 1 lit. ___
   Datenarten: ___________
   Betroffene: ___________
   Empfänger: ___________
   Speicherdauer: ___________

3. Notwendigkeit und Verhältnismäßigkeit
   Erforderlichkeit: □ Ja □ Nein
   Milderes Mittel: □ Nicht vorhanden □ Vorhanden: ___
   Löschkonzept: □ Dokumentiert □ Fehlt
   Information der Betroffenen: □ Ja □ Nein

4. Risiken (pro Risiko eine Zeile)
   Risiko | Schwere | Wahrsch. | Maßnahme | Restrisiko

5. Ergebnis
   □ Restrisiko bewertet → zusätzlich Rechtsgrundlage und übrige Pflichten prüfen
   □ Restrisiko hoch → Konsultation Aufsichtsbehörde
   □ Verarbeitung sollte nicht durchgeführt werden

6. Review
   Nächste Überprüfung: ___________
   Trigger für Neuprüfung: ___________

Fazit

Die DSFA ist kein Formalismus, sondern ein strukturiertes Risikomanagement-Werkzeug. Sie zwingt dazu, Datenverarbeitungen durchzudenken, Risiken zu bewerten und Maßnahmen zu ergreifen — bevor etwas schiefgeht. Dokumentieren Sie gründlich, denn die DSFA ist Ihr wichtigster Nachweis im Fall einer Prüfung.

WarDek liefert technische Befunde für eine URL, bestimmt aber weder das Risiko für Betroffene noch die DSFA-Pflicht.

Amtliche Quellen

• DSGVO — Artikel 35 und 36 (EUR-Lex).
• Datenschutzkonferenz — Leitlinien WP248 und DSFA-Muss-Liste.