Die Datenschutz-Folgenabschätzung (DSFA) ist ein zentrales Element der Datenschutz-Grundverordnung (DSGVO) und ein wichtiges Instrument zur Analyse und Minimierung von Risiken für die Rechte und Freiheiten natürlicher Personen. Doch viele Unternehmen sind unsicher, wann sie zur Durchführung einer DSFA verpflichtet sind. Dieser Artikel gibt einen klaren Überblick über die gesetzlichen Anforderungen, typische Anwendungsszenarien und die Kriterien, bei deren Vorliegen eine DSFA zwingend notwendig ist.
Rechtliche Grundlage
Die gesetzliche Grundlage für die Datenschutz-Folgenabschätzung findet sich in Artikel 35 der DSGVO. Dort heißt es sinngemäß:
Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine Form der Verarbeitung insbesondere bei Verwendung neuer Technologien voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Doch was bedeutet das konkret? Um diese Frage zu beantworten, hilft ein Blick auf die Kriterien, die ein solches Risiko begründen können.
Wann ist eine DSFA erforderlich? – Die wichtigsten Fälle im Überblick
1. Systematische und umfassende Bewertung persönlicher Aspekte
Wenn Datenverarbeitung zur systematischen und umfassenden Bewertung persönlicher Merkmale genutzt wird – etwa durch Profiling oder Scoring –, ist eine DSFA verpflichtend. Das betrifft z. B.:
- Kreditwürdigkeitsprüfungen durch Scoring-Verfahren
- Automatisierte Entscheidungen mit rechtlichen Folgen
- Personalisierte Werbung mit umfangreicher Datenanalyse
2. Verarbeitung besonderer Kategorien personenbezogener Daten
Wer besonders sensible Daten verarbeitet, muss mit einem erhöhten Risiko rechnen. Laut Artikel 9 DSGVO zählen hierzu u. a.:
- Gesundheitsdaten
- Daten zur sexuellen Orientierung
- Biometrische und genetische Daten
- Gewerkschaftszugehörigkeit
- Ethnische Herkunft oder religiöse Überzeugungen
Beispiel: Ein Unternehmen führt eine Gesundheits-App ein, die Vitaldaten auswertet – hier ist eine DSFA in der Regel erforderlich. Bei sensiblen Datenverarbeitungen empfiehlt es sich, die Datenschutzfolgeabschätzung extern erstellen zu lassen.
3. Überwachung öffentlich zugänglicher Bereiche
Die Videoüberwachung von öffentlichen Räumen stellt ein erhebliches Risiko für die Privatsphäre dar. Deshalb ist in diesen Fällen fast immer eine DSFA notwendig – auch, wenn dies zu Sicherheitszwecken geschieht.
Beispiele:
- Videoüberwachung auf dem Firmengelände
- Kameras in Verkaufsräumen
- Kennzeichenerfassung auf Parkplätzen
4. Verarbeitung großer Datenmengen
Wenn Daten systematisch in großem Umfang verarbeitet werden, kann dies ein hohes Risiko begründen. Dabei sind folgende Kriterien relevant:
- Anzahl betroffener Personen
- Umfang und Art der verarbeiteten Daten
- Dauer und geografische Ausdehnung der Verarbeitung
- Daten aus verschiedenen Quellen (z. B. Online-Verhalten, Standortdaten)
Beispiel: Eine Plattform speichert und analysiert Bewegungsdaten von Millionen Nutzern zur Optimierung von Logistikrouten.
5. Verwendung neuer Technologien
Der Einsatz innovativer oder wenig erprobter Technologien erhöht oft die Unsicherheit über mögliche Auswirkungen auf den Datenschutz. Eine DSFA ist hier besonders wichtig.
Beispiele:
- Künstliche Intelligenz zur Datenanalyse
- Gesichtserkennung
- Blockchain-basierte Datenverarbeitung
- Smart-Home-Systeme oder vernetzte Fahrzeuge
6. Zusammenführung von Datensätzen
Wenn Informationen aus verschiedenen Quellen zusammengeführt werden, um Profile oder Analysen zu erstellen, besteht ein erhöhtes Risiko für die betroffenen Personen.
Beispiel: Ein Unternehmen kombiniert interne Kundendaten mit öffentlich zugänglichen Daten aus sozialen Netzwerken.
7. Bewertung durch nationale Aufsichtsbehörden
Viele Datenschutzaufsichtsbehörden veröffentlichen Positivlisten, in denen Datenverarbeitungsvorgänge aufgeführt sind, bei denen eine DSFA zwingend erforderlich ist. Unternehmen sollten regelmäßig prüfen, ob ihre Verarbeitungsvorhaben auf einer solchen Liste stehen.
Wann ist keine Datenschutzfolgeabschätzung erforderlich?
Eine DSFA ist nicht erforderlich, wenn:
- keine hohe Risiken für die Rechte und Freiheiten der Betroffenen bestehen,
- ein ähnliches Verfahren bereits erfolgreich mit einer DSFA geprüft wurde und keine relevanten Änderungen vorliegen,
- die Verarbeitung auf einer Rechtsvorschrift basiert, bei der bereits eine DSFA durchgeführt wurde.
Beispiel: Ein Unternehmen führt eine Standard-Lohnbuchhaltung mit etablierten Systemen durch – dies gilt nicht als risikoreich.
Praxisbeispiele zur Orientierung
| Szenario | DSFA erforderlich? |
| Online-Shop mit Standardkundenverwaltung | Nein |
| Videoüberwachung im Eingangsbereich | Ja |
| Gesundheits-App mit Vitaldatenanalyse | Ja |
| Bewerbungssystem mit automatisierter Vorauswahl | Ja |
| Newsletter-Versand an eigene Kunden | Nein |
| KI-gestützte Auswertung von Kundendaten | Ja |
Zusammenfassung: Die wichtigsten Punkte auf einen Blick
- Eine Datenschutz-Folgenabschätzung ist gesetzlich vorgeschrieben, wenn ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zu erwarten ist.
- Typische Auslöser sind Profiling, Verarbeitung sensibler Daten, neue Technologien, Überwachung öffentlicher Bereiche und große Datenmengen.
- Unternehmen sollten anhand konkreter Kriterien und behördlicher Positivlisten prüfen, ob eine DSFA notwendig ist.
- Fehlt eine erforderliche DSFA, drohen hohe Bußgelder und rechtliche Konsequenzen.
- Im Zweifelsfall ist die Einbindung eines externen Datenschutzbeauftragten oder spezialisierten Beraters empfehlenswert.
Wenn du möchtest, kann ich diesen Artikel als SEO-optimierte Landingpage oder mit weiterführenden Downloads (z. B. Checkliste zur DSFA-Pflicht) erweitern.
