Die Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Risikoanalyse nach Art. 35 DSGVO, die vor Datenverarbeitungen mit voraussichtlich hohem Risiko für die Rechte und Freiheiten von Personen durchgeführt werden muss. Sie beschreibt die geplante Verarbeitung, bewertet Notwendigkeit und Risiken und legt Abhilfemaßnahmen fest. Typische Anlässe sind umfangreiches Profiling, Videoüberwachung oder die Verarbeitung sensibler Daten in großem Umfang.
Wie funktioniert eine Datenschutz-Folgenabschätzung?
Eine DSFA läuft in mehreren Schritten ab: Zuerst wird die geplante Verarbeitung systematisch beschrieben — Zwecke, Datenarten, Datenflüsse, beteiligte Systeme und Dienstleister. Dann wird geprüft, ob die Verarbeitung notwendig und verhältnismäßig ist. Anschließend werden die Risiken für die betroffenen Personen bewertet: Was könnte bei Missbrauch, Verlust oder unbefugtem Zugriff passieren, wie wahrscheinlich und wie schwerwiegend wäre das?
Auf dieser Basis werden Abhilfemaßnahmen festgelegt — etwa Pseudonymisierung, Zugriffsbeschränkungen oder kürzere Speicherfristen. Der Datenschutzbeauftragte ist beratend einzubinden. Bleibt trotz Maßnahmen ein hohes Restrisiko, muss vor dem Start die Aufsichtsbehörde konsultiert werden.
Wann ist eine DSFA erforderlich?
Die DSGVO nennt Regelbeispiele: systematische und umfassende Bewertung persönlicher Aspekte (Profiling) mit erheblichen Auswirkungen, umfangreiche Verarbeitung sensibler Daten und systematische umfangreiche Überwachung öffentlicher Bereiche. Die deutschen Aufsichtsbehörden veröffentlichen zudem sogenannte Muss-Listen mit Verarbeitungen, für die eine DSFA verpflichtend ist.
Im Marketing-Umfeld kann eine DSFA etwa relevant werden bei umfangreichem Tracking und Profilbildung über viele Quellen hinweg, beim Einsatz von KI-Systemen zur Bewertung von Personen oder beim Zusammenführen großer Kundendatenbestände. Für gängige Website-Setups mit Standard-Tracking ist sie dagegen meist nicht erforderlich — die Abgrenzung sollte dokumentiert werden.
DSFA in der Praxis
Praktisch beginnt jede DSFA mit einer Vorprüfung (Schwellwertanalyse): Liegt überhaupt ein voraussichtlich hohes Risiko vor? Dieses Ergebnis sollte schriftlich festgehalten werden — auch wenn es lautet, dass keine DSFA nötig ist. So lässt sich die Entscheidung gegenüber der Aufsichtsbehörde belegen.
Für die Durchführung existieren etablierte Methoden und Vorlagen der Aufsichtsbehörden. Sinnvoll ist, die DSFA als Teamaufgabe anzulegen: Fachabteilung, IT und Datenschutzbeauftragter gemeinsam. Die DSFA ist zudem kein einmaliges Dokument — ändert sich die Verarbeitung wesentlich, etwa durch neue Tools oder KI-Funktionen, muss sie überprüft und aktualisiert werden.