Die Datenschutz-Folgenabschätzung (DSFA) ist eines der zentralen Instrumente der Datenschutz-Grundverordnung (DSGVO), um Risiken frühzeitig zu erkennen und zu minimieren. Besonders relevant ist sie bei neuen Technologien und dort, wo personenbezogene Daten in einer Weise verarbeitet werden, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben könnte.
Aber: Wann ist eine DSFA konkret erforderlich? Welche Kriterien gelten? Und wie kann man typische Anwendungsfälle wie z. B. Profiling oder Videoüberwachung datenschutzkonform gestalten?
Was ist eine DSFA und wozu dient sie?
Die Datenschutz-Folgenabschätzung ist ein strukturiertes Verfahren nach Art. 35 DSGVO. Sie umfasst zwingend eine systematische Beschreibung der geplanten Verarbeitungsvorgänge, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge, eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die geplanten Abhilfemaßnahmen – insbesondere Garantien, Sicherheitsvorkehrungen und Verfahren, die den Schutz personenbezogener Daten gewährleisten und die Einhaltung der DSGVO nachweisen.
Sie bewertet systematisch die Risiken einer geplanten Verarbeitung personenbezogener Daten – etwa im Rahmen einer neuen Softwarelösung, eines HR-Tools oder bei der Verarbeitung sensibler Daten.
Ziel der DSFA ist es, technische und organisatorische Maßnahmen zur Risikominimierung festzulegen. Unternehmen erfüllen damit nicht nur eine gesetzliche Pflicht, sondern zeigen aktives Privacy-by-Design und stärken ihre Compliance.
Wann ist eine Datenschutz-Folgenabschätzung vorgeschrieben?
Eine DSFA muss durchgeführt werden, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko mit sich bringt. Die DSGVO enthält keine abschließende Aufzählung, nennt aber zentrale Risikoszenarien:
- Systematische und umfassende Bewertung persönlicher Merkmale, z. B. durch automatisierte Entscheidungsfindung oder Scoring-Verfahren
- Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheits- oder biometrische Daten)
- Überwachung öffentlich zugänglicher Räume, z. B. Videoüberwachung
- Einsatz von neuen Technologien, bei denen die Auswirkungen auf die Betroffenen schwer abschätzbar sind
Zudem veröffentlichen Aufsichtsbehörden nationale Positivlisten, wie z. B. die Liste der Verarbeitungstätigkeiten der Datenschutzkonferenz (DSK). Darin werden Datenverarbeitungen benannt, bei denen die DSFA-Pflicht unzweifelhaft besteht.
DSFA-Kriterien: Wann liegt ein „hohes Risiko“ vor?
Die ehemalige Artikel-29-Datenschutzgruppe hat neun Kriterien benannt, die bei der Risikobewertung helfen. Wenn zwei oder mehr dieser Merkmale erfüllt sind, sollte eine DSFA durchgeführt werden:
- Bewertung oder Einstufung (z. B. Kreditwürdigkeitsprüfung)
- Automatisierte Entscheidungen mit rechtlicher Wirkung
- Systematische Überwachung
- Verarbeitung sensibler Daten (Gesundheit, Ethnie, politische Meinung etc.)
- Verarbeitung in großem Umfang
- Zusammenführung von Datensätzen aus verschiedenen Quellen
- Verarbeitung von Daten gefährdeter Personen (z. B. Kinder, Beschäftigte)
- Nutzung innovativer Technologien
- Einschränkung der Betroffenenrechte durch die Verarbeitung
Diese Kriterien sind nicht abschließend und entbinden nicht von der Pflicht, im Einzelfall eine individuelle Risikobewertung vorzunehmen – auch dann, wenn nur eines der Kriterien erfüllt ist, geben aber klare Orientierung, wann eine DSFA erforderlich ist.
Praxisbeispiele: In diesen Fällen ist eine DSFA meist Pflicht
In der Praxis gibt es zahlreiche Szenarien, in denen eine Datenschutz-Folgenabschätzung nicht nur empfehlenswert, sondern gesetzlich vorgeschrieben ist. Dies betrifft insbesondere Verarbeitungstätigkeiten, bei denen sensible Daten erhoben, umfangreich ausgewertet oder automatisierte Entscheidungen getroffen werden. Im Folgenden sind typische Fallkonstellationen aufgeführt, in denen regelmäßig eine DSFA durchzuführen ist:
Ein Beispiel ist die Einführung eines neuen Personalmanagementsystems, das algorithmische Bewertungen von Mitarbeitenden oder Bewerbern vornimmt. Sobald hier eine automatisierte Entscheidungsfindung mit möglichen Auswirkungen auf die betroffene Person stattfindet, ist eine DSFA zwingend durchzuführen.
Ein weiteres Beispiel ist der Einsatz von künstlicher Intelligenz (KI) bei der Bewerberauswahl. Wenn Systeme beispielsweise aus Lebensläufen und Verhaltensdaten Vorhersagen über die Eignung treffen, entsteht ein hohes Risiko im Sinne der DSGVO, insbesondere im Hinblick auf Transparenz und Diskriminierungsfreiheit.
Auch bei der Standortverfolgung von Außendienstmitarbeitern über GPS-basierte Systeme greift häufig die DSFA-Pflicht, da hier eine umfassende Überwachung in Echtzeit erfolgt und ein Eingriff in die Privatsphäre vorliegt.
Ein weiteres prominentes Anwendungsfeld ist das Online-Tracking, insbesondere beim Einsatz von Tracking-Cookies, Fingerprinting-Techniken oder ähnlichen Technologien zur Nutzerprofilbildung. Hier besteht ein erhöhtes Risiko hinsichtlich der Nachvollziehbarkeit, der Einwilligung und der informationellen Selbstbestimmung der Nutzer.
Nicht zuletzt ist auch die Videoüberwachung öffentlich oder nicht öffentlich zugänglicher Räume ein klassisches Beispiel, bei dem regelmäßig eine DSFA erforderlich ist – insbesondere dann, wenn systematisch aufgezeichnet, ausgewertet oder mit anderen Datenquellen verknüpft wird.
Diese Praxisbeispiele machen deutlich: Die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung betrifft viele moderne Geschäftsprozesse, unabhängig von der Unternehmensgröße. Insbesondere mittelständische Unternehmen sollten frühzeitig prüfen, ob ihre geplanten Verarbeitungstätigkeiten unter die DSFA-Pflicht fallen, um Haftungsrisiken zu vermeiden und die Rechte der Betroffenen konsequent zu schützen.
Wie läuft eine Datenschutz-Folgenabschätzung ab?
Die Durchführung einer Datenschutz-Folgenabschätzung ist ein strukturierter, mehrstufiger Prozess, der aus mehreren Phasen besteht. Ziel ist es, die möglichen Auswirkungen einer geplanten Verarbeitung personenbezogener Daten systematisch zu bewerten und geeignete Maßnahmen zu ihrer Eindämmung zu ergreifen.
Der erste Schritt ist die detaillierte Beschreibung der Verarbeitungsvorgänge. Dabei werden Zweck, Art, Umfang, Kontext und eingesetzte Technologien der Verarbeitung dokumentiert. Dazu gehört auch die Identifizierung der betroffenen Personengruppen sowie der Datenkategorien, die verarbeitet werden sollen.
Anschließend wird die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung geprüft. Dabei wird analysiert, ob die geplante Verarbeitung auf einer gesetzlichen Grundlage beruht und ob es weniger einschneidende Alternativen gibt, um den gleichen Zweck zu erreichen. Dieser Schritt ist entscheidend für die Einhaltung der Grundsätze der Datensparsamkeit und der Zweckbindung.
Der dritte Schritt ist die Risikoanalyse: Welche Risiken bestehen für die Rechte und Freiheiten der betroffenen Personen? Hier werden mögliche Schäden wie Diskriminierung, Identitätsdiebstahl, wirtschaftlicher Schaden oder Verlust der Kontrolle über personenbezogene Daten bewertet. Es ist zu prüfen, wie wahrscheinlich der Eintritt dieser Risiken ist und welche Auswirkungen sie im Ernstfall hätten.
Im vierten Schritt werden geeignete Maßnahmen zur Risikominderung abgeleitet. Dazu gehören sowohl technische (z. B. Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen) als auch organisatorische Maßnahmen (z. B. Schulungen, Datenschutzrichtlinien, Kontrollmechanismen). Ziel ist es, das Risiko auf ein akzeptables Maß zu reduzieren.
Der nächste Schritt ist die Dokumentation der Ergebnisse. Diese ist für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO unerlässlich. Die DSFA muss so aufbereitet werden, dass sie bei einer Prüfung durch die Aufsichtsbehörde nachvollziehbar ist.
Schließlich ist zu prüfen, ob trotz aller getroffenen Maßnahmen ein hohes Risiko für die Betroffenen verbleibt. Ist dies der Fall, sieht die DSGVO eine Konsultation der Datenschutzaufsichtsbehörde nach Art. 36 DSGVO vor. Erst wenn diese Konsultation durchgeführt und bewertet wurde, darf mit der Verarbeitung begonnen werden.
Was passiert bei Nichtdurchführung?
Die Unterlassung einer gesetzlich vorgeschriebenen Datenschutz-Folgenabschätzung (DSFA) kann für Unternehmen erhebliche rechtliche, finanzielle und reputative Konsequenzen haben. Die DSGVO sieht in Art. 83 Abs. 4 lit. a explizit vor, dass ein Verstoß gegen die Pflicht zur Durchführung einer DSFA mit einer Geldbuße von bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden kann, je nachdem, welcher Betrag höher ist.
Neben den abstrakten Bußgeldandrohungen gibt es inzwischen zahlreiche konkrete Praxisfälle: Die französische Datenschutzaufsichtsbehörde CNIL verhängte im Jahr 2020 gegen das Handelsunternehmen Carrefour ein Bußgeld in Höhe von 2,25 Millionen Euro, weil unter anderem die Risikobewertungen und die damit verbundenen Transparenzpflichten unzureichend waren. Auch in Deutschland haben Behörden wie der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württemberg bereits empfindliche Sanktionen gegen Unternehmen verhängt, die risikoreiche Verarbeitungsvorgänge ohne vorherige DSFA durchgeführt haben.
Neben dem finanziellen Risiko droht auch ein erheblicher Reputationsverlust: Datenschutzverstöße werden in vielen Fällen öffentlich kommuniziert – insbesondere bei hohen Bußgeldern oder stark betroffenen Personengruppen. Dies kann das Vertrauen von Kunden, Mitarbeitenden und Geschäftspartnern nachhaltig beeinträchtigen. Zudem erhöht eine fehlende DSFA die Wahrscheinlichkeit von Beschwerden Betroffener, von Prüfverfahren durch Aufsichtsbehörden und gegebenenfalls von zivilrechtlichen Klagen.
Mit Ailance DSFA eine Datenschutz-Folgenabschätzung rechtssicher durchführen
Um diesen Prozess effizient, standardisiert und revisionssicher zu gestalten, bietet 2B Advice mit Ailance DSFA eine digitale Lösung an, die den gesamten DSFA-Prozess gemäß Art. 35 DSGVO unterstützt. Die Software führt strukturiert durch alle notwendigen Schritte, bietet branchenspezifische Vorlagen, prüft automatisch auf Risikokriterien und dokumentiert die Ergebnisse vollständig und revisionssicher. Darüber hinaus ist Ailance DSFA modular erweiterbar, mehrsprachig einsetzbar und eignet sich sowohl für Einzelverantwortliche als auch für konzernweite Datenschutzorganisationen.
Mit Ailance DSFA behalten Sie jederzeit die Kontrolle über Ihre Datenschutz-Folgenabschätzungen – unabhängig davon, ob Sie einzelne Projekte, komplexe Systemlandschaften oder dezentrale Teams managen.
👉 Erfahren Sie jetzt mehr über Ailance DSFA oder vereinbaren Sie ein persönliches Beratungsgespräch mit unseren DSFA-Experten. Gemeinsam stärken wir Ihre Datenschutz-Compliance – effizient, skalierbar und rechtssicher.
German 
English 
Italian 
French