Viele Betriebe stehen vor derselben Frage. Nämlich: Brauchen wir für dieses Projekt eine Datenschutz-Folgenabschätzung? Die DSFA nach Artikel 35 DSGVO ist ein Werkzeug. Sie prüft, ob eine Verarbeitung ein hohes Risiko birgt. Deshalb steht sie am Anfang jedes heiklen Projekts. Denn wer sie vergisst, riskiert später Ärger mit der Behörde.
Dieser Beitrag zeigt den Weg von der Pflichtfrage bis zum Bericht. Zunächst klären wir, wann eine DSFA zwingend ist. Danach folgt der Ablauf in vier Schritten. Zum Schluss geht es um zwei Punkte. Also um die Rolle des Datenschutzbeauftragten und die Konsultation der Behörde. Das Ziel ist Klarheit statt Aufschieberei. Somit erhalten Sie eine Antwort, mit der Sie planen können.
Was eine Datenschutz-Folgenabschätzung ist
Die Datenschutz-Folgenabschätzung ist eine strukturierte Risikoprüfung. Sie bewertet vorab die Gefahren einer geplanten Verarbeitung. Im Blick sind die Rechte und Freiheiten der Betroffenen. Dabei steht die Abkürzung DSFA für genau diesen Vorgang. Zudem verankert Artikel 35 DSGVO die Pflicht dazu. Somit ist die DSFA kein freiwilliges Extra. Vielmehr ist sie ein fester Teil des Datenschutzrechts.
Der Gedanke dahinter ist einfach. Wer ein Projekt startet, soll die Risiken vorher kennen. Deshalb schaut die DSFA nach vorne. Sie fragt: Was kann schiefgehen? Und wie schützen wir die Betroffenen? Genau darin liegt der Unterschied. Ein reines Audit prüft erst im Nachhinein. Den Gesetzestext finden Sie in der Datenschutz-Grundverordnung auf EUR-Lex.
Nicht jede Verarbeitung braucht eine DSFA
Eine DSFA ist nicht immer nötig. Sie greift erst, wenn ein hohes Risiko im Raum steht. Für die normale Kundenverwaltung brauchen Sie in der Regel keine. Auch die Lohnabrechnung fällt nicht darunter. Denn diese Vorgänge sind lange erprobt. Zudem sind sie gut abgesichert. Deshalb steht am Anfang immer eine Vorprüfung. Diese Schwellenwertanalyse klärt, ob eine DSFA fällig wird.
Das spart Aufwand. Denn eine volle DSFA für jeden Vorgang wäre nicht sinnvoll. Vielmehr prüft das Gesetz nur die heiklen Fälle. Also jene Vorgänge, die für Betroffene gefährlich werden können. Wie Sie Ihre Vorgänge sauber erfassen, zeigt unser Beitrag zum Verarbeitungsverzeichnis nach DSGVO. Denn ohne diesen Überblick fehlt die Basis. Somit ist das Verzeichnis der erste Schritt.
DSFA und Rechenschaftspflicht
Die DSFA erfüllt auch die Rechenschaftspflicht. Artikel 5 DSGVO verlangt einen Beleg für Ihre Entscheidungen. Ein DSFA-Bericht ist genau so ein Beleg. Er zeigt der Behörde, dass Sie das Risiko geprüft haben. Zudem hält er die gewählten Maßnahmen fest. Somit schützt die DSFA die Betroffenen. Ebenso schützt sie Ihr Unternehmen. Wir ordnen solche Pflichten in unserer Datenschutz-Beratung ein. Denn oft ist der erste Schritt der schwerste.
Wann eine DSFA verpflichtend ist
Eine Datenschutz-Folgenabschätzung ist bei hohem Risiko Pflicht. Der Auslöser ist ein Risiko für die Rechte der Betroffenen. So steht es in Artikel 35 Absatz 1. Doch das klingt zunächst vage. Deshalb nennt das Gesetz drei klare Fälle. Zudem ergänzt eine Liste der Behörde weitere Vorgänge. Somit haben Sie zwei Anker für die Entscheidung.
Die drei Pflichtfälle aus dem Gesetz
Artikel 35 Absatz 3 zählt drei Fälle ausdrücklich auf. In diesen Fällen ist eine DSFA fast immer nötig.
- Systematische Bewertung mit Rechtswirkung: Ein Scoring oder Profiling, das über Menschen entscheidet. Etwa eine automatische Bonitätsprüfung oder eine Bewerber-Auswahl per Algorithmus.
- Umfangreiche besondere Datenkategorien: Die Verarbeitung großer Mengen sensibler Daten nach Artikel 9. Dazu zählen Gesundheitsdaten, Herkunft, Religion oder Gewerkschaftszugehörigkeit.
- Systematische Überwachung öffentlicher Bereiche: Eine großflächige Videoüberwachung von Plätzen, Geschäften oder Passagen.
Trifft einer dieser Fälle zu, ist die Sache meist klar. Dann führen Sie eine Datenschutz-Folgenabschätzung durch. Ein Grenzfall bleibt dennoch möglich. Deshalb hilft im Zweifel eine kurze Einschätzung.
Die neun Kriterien als Faustregel
Für unklare Fälle gibt es eine Faustregel. Die europäischen Aufsichtsbehörden nennen neun Kriterien für ein hohes Risiko. Dazu zählen etwa Scoring und automatische Entscheidungen. Ebenso systematische Überwachung und sensible Daten. Zudem große Datenmengen und die Verknüpfung von Datensätzen. Auch schutzbedürftige Betroffene und neue Technologien gehören dazu. Ebenso die Hinderung an der Ausübung von Rechten. Treffen zwei dieser Kriterien zu, ist eine DSFA fällig. Die Leitlinien dazu stellt die österreichische Datenschutzbehörde bereit.
Gerade neue Technologien treiben die DSFA-Pflicht. Ein KI-System zur Bewertung von Kunden ist ein gutes Beispiel. Es nutzt eine neue Technologie. Zudem trifft es Entscheidungen über Menschen. Somit sind gleich zwei Kriterien erfüllt. Wie Sie KI sicher einsetzen, zeigt unsere KI-Security-Beratung. Den Rechtsrahmen für KI erklärt der Beitrag zu den EU-AI-Act-Risikoklassen. Denn DSGVO und AI Act greifen hier ineinander.
Die Positivliste der Datenschutzbehörde
Die österreichische Datenschutzbehörde führt eine eigene Liste. Diese Positivliste nennt Vorgänge, für die eine DSFA zwingend ist. Dabei ergänzt sie die drei Pflichtfälle aus dem Gesetz. Somit prüfen Sie neben Artikel 35 auch diese Liste. Denn was hier steht, lässt keinen Spielraum. Für diese Vorgänge ist die DSFA immer fällig.
Muss-Liste und Ausnahmen
Die Behörde hat zwei Verordnungen erlassen. Die eine ist die DSFA-V. Sie listet Vorgänge, die eine DSFA erfordern. Die andere ist die DSFA-AV. Sie nennt Ausnahmen ohne DSFA-Pflicht. Diese Ausnahmenliste heißt auch White-List. Darunter fallen alltägliche Vorgänge. Also Kundenverwaltung, Buchhaltung, Logistik und Rechnungswesen.
Beide Listen zusammen geben Ihnen Orientierung. Steht Ihr Vorhaben auf der Muss-Liste, führen Sie eine DSFA durch. Steht es auf der White-List, sparen Sie sich den Aufwand. Doch Vorsicht bleibt geboten. Denn keine der beiden Listen ist vollständig. Zudem kann ein Vorgang außerhalb der Muss-Liste trotzdem eine DSFA verlangen. Deshalb ersetzt die Liste nie die eigene Prüfung.
Was oft auf der Muss-Liste steht
Einige Vorgänge tauchen typischerweise auf solchen Listen auf. Dazu zählt die umfangreiche Videoüberwachung. Ebenso die Auswertung von Standortdaten. Auch das Tracking von Beschäftigten gehört dazu. Zudem sind große Scoring-Systeme oft genannt. Ebenso die Verarbeitung vieler Gesundheitsdaten. Genau diese Fälle betreffen auch KMU. Etwa einen Betrieb mit Zutrittskontrolle per Fingerabdruck. Solche Sonderfälle erkennen wir früh in einem IT-Security-Audit.
| Situation | DSFA nötig? | Grund |
|---|---|---|
| Normale Kundenverwaltung und Buchhaltung | Nein | Steht auf der White-List (Ausnahmen) |
| Automatisches Scoring mit Rechtswirkung | Ja | Pflichtfall nach Art. 35 Abs. 3 |
| Umfangreiche Videoüberwachung öffentlicher Bereiche | Ja | Pflichtfall plus meist Positivliste |
| Große Mengen an Gesundheitsdaten | Ja | Besondere Kategorien nach Art. 9 |
| Neue KI zur Bewertung von Personen | Ja | Neue Technologie plus Bewertung |
| Standardversand eines Newsletters | Nein | Kein hohes Risiko erkennbar |
Die Tabelle ersetzt keine Einzelfallprüfung. Doch sie zeigt das Muster. Sobald ein hohes Risiko im Spiel ist, wird die DSFA zur Pflicht. Bei Routinevorgängen bleibt sie außen vor. Halten Sie Ihr Ergebnis schriftlich fest. Notieren Sie den Vorgang, die Liste und das Datum. Somit haben Sie einen Nachweis, falls die Behörde nachfragt.
So läuft die DSFA in vier Schritten ab
Eine Datenschutz-Folgenabschätzung folgt einem klaren Ablauf. Artikel 35 Absatz 7 gibt die Struktur vor. Somit erfinden Sie das Rad nicht neu. Zudem gliedert sich der Prozess in vier Schritte. Danach liegt ein Bericht vor. Und dieser überzeugt die Behörde.
Schritt eins: die Verarbeitung beschreiben
Zunächst beschreiben Sie den Vorgang genau. Welche Daten verarbeiten Sie? Zu welchem Zweck? Wer hat Zugriff? Und wie lange speichern Sie? Auch die Rechtsgrundlage gehört hierher. Denn ohne saubere Beschreibung bleibt die Bewertung vage. Somit liefert ein gepflegtes Verarbeitungsverzeichnis die halbe Vorarbeit.
Schritt zwei: Notwendigkeit und Verhältnismäßigkeit prüfen
Danach prüfen Sie die Verhältnismäßigkeit. Ist die Verarbeitung für den Zweck nötig? Gibt es ein milderes Mittel? Erheben Sie nur so viele Daten wie erforderlich? Dieser Schritt greift den Grundsatz der Datenminimierung auf. Deshalb fällt hier oft die erste Entscheidung. Zudem zeigt sich manchmal, dass ein Teil der Daten überflüssig ist.
Schritt drei: die Risiken bewerten
Im dritten Schritt bewerten Sie die Risiken für die Betroffenen. Was droht bei einem Datenleck? Welche Folgen hat ein Missbrauch? Bewerten Sie jedes Risiko nach Wahrscheinlichkeit und Schadenshöhe. Somit entsteht eine klare Rangfolge. Genau hier hilft eine Methode aus der Risikoanalyse. Wer bereits ein ISMS nach ISO 27001 betreibt, nutzt dessen Risikomethodik. Denn die Logik ist dieselbe.
Schritt vier: Abhilfemaßnahmen festlegen
Zuletzt legen Sie Maßnahmen gegen die Risiken fest. Typisch sind Verschlüsselung und Zugriffskontrolle. Ebenso Pseudonymisierung oder kürzere Löschfristen. Danach bewerten Sie das Restrisiko erneut. Sinkt es auf ein vertretbares Maß, ist die DSFA fertig. Passende Maßnahmen finden Sie im Beitrag zu TOMs nach DSGVO. Bleibt das Risiko hoch, folgt der Gang zur Behörde. Diesen Sonderfall klären wir gleich.
Ein Beispiel macht den Ablauf greifbar. Ein Handelsbetrieb plant eine Videoüberwachung im Verkaufsraum. Zunächst beschreibt er Kameras, Zweck und Speicherdauer. Danach prüft er, ob der ganze Raum erfasst sein muss. Anschließend bewertet er das Risiko für Kunden und Personal. Zum Schluss reduziert er die Speicherdauer auf 72 Stunden. Zudem blendet er heikle Bereiche aus. Somit sinkt das Restrisiko deutlich. Die DSFA dokumentiert diesen ganzen Weg.
Die Rolle des Datenschutzbeauftragten
Der Datenschutzbeauftragte spielt bei der DSFA eine zentrale Rolle. Artikel 35 Absatz 2 verlangt, dass Sie seinen Rat einholen. Denn er kennt die Rechtslage und die Praxis. Somit ist er der erste Ansprechpartner für jede DSFA. Zudem überwacht er den weiteren Ablauf. Deshalb binden Sie ihn von Anfang an ein.
Beraten, aber nicht durchführen
Wichtig ist die Abgrenzung der Aufgaben. Der Datenschutzbeauftragte berät und begleitet. Doch die Verantwortung für die DSFA bleibt beim Verantwortlichen. Also bei der Geschäftsführung oder der zuständigen Fachabteilung. Denn sie entscheidet über den Zweck der Verarbeitung. Deshalb kann sie die Verantwortung nicht abgeben. Der Datenschutzbeauftragte liefert das Wissen. Die Entscheidung trifft das Unternehmen.
Diese Trennung schützt die Unabhängigkeit. Erstellt der Datenschutzbeauftragte die DSFA selbst, prüft er am Ende seine eigene Arbeit. Das wäre ein Interessenkonflikt. Deshalb rät die Behörde zu einer klaren Rollentrennung. Genau hier hilft ein externer Blick. Denn ein externer Datenschutzbeauftragter berät ohne diesen Konflikt. Wie das für KMU aussieht, zeigt unser Angebot als virtueller CISO und Datenschutzbeauftragter.
Betroffene und Fachbereiche einbinden
Eine gute DSFA holt mehrere Perspektiven ein. Die IT kennt die technischen Risiken. Die Fachabteilung kennt den Prozess. Zudem sollten Sie in manchen Fällen die Betroffenen anhören. Somit wird die Bewertung realistischer. Denn ein Risiko sieht von außen oft anders aus. Ebenso stärkt die Einbindung das Ergebnis. Wer die Rechte der Betroffenen kennt, plant besser. Diese Rechte erklärt unser Beitrag zu den Betroffenenrechten und dem Auskunftsrecht.
Vorherige Konsultation der Behörde
Manchmal reichen die Maßnahmen nicht aus. Bleibt das Restrisiko trotz aller Schritte hoch, kommt Artikel 36 ins Spiel. Dann konsultieren Sie die Datenschutzbehörde vorab. Diese vorherige Konsultation ist der Ausnahmefall. Denn meist senken die Maßnahmen das Risiko genug. Nur andernfalls schalten Sie die Behörde ein.
Wann die Konsultation Pflicht wird
Die Schwelle liegt beim hohen Restrisiko. Sie führen die DSFA durch. Danach wählen Sie Maßnahmen und bewerten erneut. Bleibt das Risiko hoch, starten Sie nicht einfach. Vielmehr legen Sie den Fall der Behörde vor. Diese prüft und gibt eine Empfehlung. Erst danach entscheiden Sie über den weiteren Weg. Somit ist die Konsultation eine Bremse für heikle Vorhaben.
Das klingt nach Verzögerung, ist aber selten. Denn eine sorgfältige DSFA senkt das Risiko meist unter die kritische Marke. Nur bei außergewöhnlichen Vorgängen bleibt es hoch. Etwa bei einer weitreichenden Überwachung. Ebenso bei einer neuartigen Datennutzung. Genau dann schützt die Konsultation vor teuren Fehlern. Denn eine gestoppte Verarbeitung im Nachhinein kostet weit mehr.
Fristen und Ablauf der Konsultation
Die Behörde hat für die Antwort Zeit. In der Regel meldet sie sich binnen acht Wochen. Bei komplexen Fällen darf sie die Frist verlängern. Deshalb planen Sie den Zeitpuffer ein. Reichen Sie die Unterlagen vollständig ein. Also die Beschreibung, die Risiken und die Maßnahmen. Somit entscheidet die Behörde zügig. Reagieren Sie zudem rasch auf Rückfragen. Denn jede offene Frage verlängert das Verfahren.
Ein Blick auf die Datenpanne lohnt sich hier. Denn wer Risiken vorab bewertet, ist im Ernstfall schneller. Kommt es dennoch zu einem Vorfall, gilt eine enge Frist. Details dazu stehen im Beitrag zur Meldung einer Datenpanne binnen 72 Stunden. Zudem braucht der laufende Betrieb verlässliche Prozesse. Ein Auftragsverarbeitungsvertrag regelt etwa die Pflichten Ihrer Dienstleister. Bei Fragen zur Umsetzung hilft ein direktes Gespräch weiter.
Häufig gestellte Fragen
Wann ist eine Datenschutz-Folgenabschätzung Pflicht?
Eine Datenschutz-Folgenabschätzung ist bei hohem Risiko für die Betroffenen Pflicht. Zudem nennt Artikel 35 Absatz 3 drei klare Fälle: Scoring mit Rechtswirkung, umfangreiche sensible Daten und systematische Überwachung. Auch die Positivliste der Behörde kann eine DSFA verlangen.
Was ist eine Schwellenwertanalyse?
Die Schwellenwertanalyse ist die Vorprüfung. Sie klärt, ob überhaupt eine Datenschutz-Folgenabschätzung nötig ist. Dabei helfen die neun Kriterien der Aufsichtsbehörden. Treffen zwei davon zu, sollten Sie eine DSFA durchführen.
Wer führt die DSFA durch?
Die Verantwortung trägt der Verantwortliche, also die Geschäftsführung oder Fachabteilung. Der Datenschutzbeauftragte berät und begleitet, führt die DSFA aber nicht selbst durch. Diese Rollentrennung schützt seine Unabhängigkeit.
Wie läuft eine Datenschutz-Folgenabschätzung ab?
Die DSFA folgt vier Schritten. Zunächst beschreiben Sie die Verarbeitung. Danach prüfen Sie Notwendigkeit und Verhältnismäßigkeit. Anschließend bewerten Sie die Risiken. Zuletzt legen Sie Abhilfemaßnahmen fest und bewerten das Restrisiko erneut.
Was passiert, wenn das Restrisiko hoch bleibt?
Bleibt das Risiko trotz aller Maßnahmen hoch, greift Artikel 36. Dann müssen Sie die Datenschutzbehörde vorab konsultieren. Diese antwortet in der Regel binnen acht Wochen und gibt eine Empfehlung ab.
Braucht ein KMU überhaupt eine DSFA?
Ja, sofern eine Verarbeitung ein hohes Risiko birgt. Die Größe des Unternehmens spielt keine Rolle. Ein KMU mit Videoüberwachung oder biometrischer Zutrittskontrolle muss ebenso eine Datenschutz-Folgenabschätzung durchführen wie ein Konzern.
Gilt eine DSFA auch für KI-Systeme?
Oft ja. Eine KI zur Bewertung von Personen erfüllt gleich mehrere Kriterien: neue Technologie und automatische Bewertung. Deshalb ist hier meist eine Datenschutz-Folgenabschätzung nötig. Zudem greifen die Regeln des EU AI Act zusätzlich.
Fazit: Struktur schlägt Bauchgefühl
Die Datenschutz-Folgenabschätzung wirkt anfangs sperrig. Doch sie folgt einer klaren Logik. Zunächst klären Sie die Pflicht über die drei Fälle und die Positivliste. Danach arbeiten Sie den Ablauf in vier Schritten ab. Zuletzt binden Sie den Datenschutzbeauftragten ein. Zudem prüfen Sie das Restrisiko. Wer diesem Muster folgt, hat am Ende einen belastbaren Bericht. Und damit einen Nachweis gegenüber der Behörde.
Der beste Zeitpunkt für die Prüfung ist der Projektstart. Denn eine DSFA im Nachhinein kostet mehr Nerven und Geld. Zudem schützt sie die Betroffenen und Ihr Unternehmen zugleich. Wo die Einordnung unklar bleibt, hilft ein kurzer Blick von außen. Genau dafür stehen wir bereit.
SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren