Datenschutz-Folgenabschätzung
Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO eine verpflichtende Risikoprüfung, bevor eine Verarbeitung mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen begonnen wird. Sie zwingt den Verantwortlichen, Risiken systematisch zu bewerten, statt sie erst nach einem Vorfall zu erkennen.
Wann ist eine DSFA Pflicht?
| Fall | Beispiel |
|---|---|
| Systematisches Profiling | Bewertung von Kreditwürdigkeit, Verhaltensvorhersagen |
| Umfangreiche Verarbeitung besonderer Kategorien | Gesundheitsdaten in großem Umfang |
| Systematische Überwachung öffentlich zugänglicher Bereiche | Videoüberwachung eines großen Platzes |
| Neue Technologien mit hohem Risiko | Automatisierte Entscheidungsfindung ohne menschliche Kontrolle |
Was gehört in eine DSFA?
Mindestens eine systematische Beschreibung der geplanten Verarbeitung, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Risikoeinschätzung für Betroffene sowie die geplanten Abhilfemaßnahmen. Ergibt die Prüfung ein hohes Restrisiko, das sich nicht ausreichend mindern lässt, ist vorab eine Konsultation der zuständigen Aufsichtsbehörde nach Art. 36 DSGVO erforderlich.
Wer prüft, ob eine DSFA nötig ist?
Die Aufsichtsbehörden veröffentlichen sogenannte Muss-Listen mit Verarbeitungen, die immer eine DSFA erfordern. Fehlt ein konkreter Fall auf dieser Liste, hilft eine kurze Vorabeinschätzung: Wie viele Personen sind betroffen, wie sensibel sind die Daten, und wie automatisiert ist die Entscheidung? Je höher das Risiko in diesen drei Punkten, desto eher ist eine DSFA angezeigt.
Praxisbeispiel
Ein Anbieter von Lernsoftware wollte ein neues Feature einführen, das den Lernfortschritt von Schülerinnen und Schülern automatisiert auswertet und Empfehlungen ausspricht. Weil es sich um eine systematische, automatisierte Bewertung von teils minderjährigen Personen handelte, führte das Unternehmen vor dem Start eine Datenschutz-Folgenabschätzung durch, dokumentierte die identifizierten Risiken und ergänzte eine manuelle Kontrollmöglichkeit für Lehrkräfte, bevor das Feature veröffentlicht wurde.
DSFA und Datenschutzbeauftragter
Ist ein Datenschutzbeauftragter bestellt, muss dieser bei der Durchführung einer DSFA eingebunden werden, und seine Stellungnahme sollte dokumentiert werden. Fehlt ein DSB, trägt der Verantwortliche selbst die volle Verantwortung für eine sorgfältige, nachvollziehbare Prüfung.
Setze das korrekt in deiner Datenschutzerklärung um
Unser Generator erstellt solche Klauseln automatisch, rechtssicher in 3 Minuten.
Häufige Fragen zu datenschutz-folgenabschätzung
Konkrete Antworten auf die Fragen, die uns dazu am häufigsten gestellt werden.