Datenschutz-Folgenabschätzung

Ausführliche Erklärung

Eine Datenschutz-Folgenabschätzung, kurz DSFA, ist ein zentrales Instrument des risikobasierten Datenschutzes in der EU. Sie verpflichtet Verantwortliche, vor Beginn bestimmter Datenverarbeitungen systematisch zu prüfen, welche Risiken für betroffene Personen entstehen können und mit welchen technisch-organisatorischen Maßnahmen diese Risiken minimiert werden. Die Durchführung liegt in der Verantwortung des Unternehmens, nicht beim Datenschutzbeauftragten – dieser muss jedoch zwingend einbezogen werden, wenn ein DSB bestellt ist.

Die Pflicht zur DSFA besteht immer dann, wenn die Verarbeitung ein hohes Risiko mit sich bringt. Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele: systematisches Profiling mit erheblichen Auswirkungen, umfangreiche Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten oder Daten über strafrechtliche Verurteilungen, sowie systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Zusätzlich veröffentlichen die Datenschutzbehörden sogenannte Muss-Listen mit konkreten Verarbeitungsvorgängen, für die in jedem Fall eine DSFA zu erstellen ist. Die Datenschutzkonferenz empfiehlt: Erfüllt eine Verarbeitung mindestens zwei von neun definierten Kriterien, ist eine DSFA in der Regel erforderlich.

Der Mindestinhalt einer DSFA ist in Art. 35 Abs. 7 DSGVO festgelegt: Sie muss eine systematische Beschreibung der Verarbeitungsvorgänge und deren Zwecke enthalten, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung für die betroffenen Personen sowie die geplanten Abhilfemaßnahmen inklusive technischer und organisatorischer Schutzmaßnahmen. Die Ergebnisse sind zu dokumentieren und bei wesentlichen Änderungen der Verarbeitung zu aktualisieren.

Für KMU bedeutet die DSFA oft mehr Aufwand als zunächst angenommen: Auch kleinere Betriebe, die etwa Videoüberwachung einsetzen, umfangreiche Gesundheitsdaten verarbeiten oder KI-gestützte Systeme zur Personalauswahl nutzen, können DSFA-pflichtig sein. Die Nichtdurchführung kann mit Bußgeldern nach Art. 83 Abs. 4 DSGVO geahndet werden. Eine sorgfältig durchgeführte DSFA dient jedoch nicht nur der Compliance, sondern auch als Nachweis bei Datenpannen und als Grundlage für fundierte Entscheidungen über Sicherheitsmaßnahmen.