Was ist eine Datenschutz-Folgenab­schät­zung (DSFA)?

DSFA: Definition und Pflicht

Die DSFA ist ein strukturiertes Verfahren, mit dem Unternehmen vor Beginn einer Verarbeitung prüfen, welche Risiken für die betroffenen Personen entstehen und wie sie sich begrenzen lassen. Sie ist keine Pflicht für jede Verarbeitung, sondern nur bei voraussichtlich hohem Risiko, vor allem beim Einsatz neuer Technologien.

Art. 35 Abs. 3 DSGVO nennt Regelbeispiele: systematische und umfassende Bewertung persönlicher Aspekte mit erheblichen Folgen (Profiling), umfangreiche Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten sowie systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die Datenschutzaufsichten haben zusätzlich Listen von Verarbeitungen veröffentlicht, für die eine DSFA stets erforderlich ist.

So läuft eine DSFA ab

Zuerst klärt eine Vorabprüfung (Schwellenwertanalyse), ob eine DSFA nötig ist. Wenn ja, durchläuft das Unternehmen die Schritte, die Art. 35 Abs. 7 DSGVO als Mindestinhalt nennt. Ein benannter Datenschutzbeauftragter ist einzubeziehen; die Ergebnisse werden dokumentiert und bei Änderungen der Verarbeitung aktualisiert.

• Systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke
• Bewertung von Notwendigkeit und Verhältnismäßigkeit
• Bewertung der Risiken für Rechte und Freiheiten der Betroffenen
• Festlegung von Abhilfemaßnahmen, Garantien und Sicherheitsmaßnahmen
• Dokumentation, Freigabe und regelmäßige Überprüfung

Praxis­bei­spiel: GPS-Ortung in der Fahr­zeug­flotte

Ein Logistikunternehmen will seine Lieferfahrzeuge mit GPS-Ortung ausstatten und auswerten lassen, wann Fahrer wo anhalten. Für die Tourenplanung ist das sinnvoll, zugleich lässt sich damit das Verhalten einzelner Beschäftigter überwachen. Die Vorabprüfung ergibt ein erhöhtes Risiko, also wird eine DSFA durchgeführt.

Das Ergebnis: Ortung nur während der Arbeitszeit, keine Auswertung einzelner Fahrer ohne Anlass, kurze Speicherfristen, Zugriff nur für die Disposition, Information der Beschäftigten und Beteiligung des Betriebsrats, soweit vorhanden. Mit diesen Maßnahmen sinkt das Risiko auf ein vertretbares Maß, und die Verarbeitung kann starten.

Konsultation, Fehler und Grenzen

Bleibt trotz Gegenmaßnahmen ein hohes Restrisiko, muss der Verantwortliche vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren (Art. 36 DSGVO). Fehlt eine erforderliche DSFA, kann das als eigener Verstoß mit Bußgeld geahndet werden. Sie ist keine einmalige Formalität: Ändern sich Zwecke, Technik oder Datenarten, muss die Bewertung erneuert werden.

• DSFA erst nach dem Start des Systems durchführen
• Nur Vorlagen ausfüllen, ohne echte Risikobetrachtung
• Risiken aus Sicht des Unternehmens statt der Betroffenen bewerten
• Keine Aktualisierung bei Funktionserweiterungen oder KI-Einsatz

Worauf Unternehmen achten sollten

Planen Sie die Vorabprüfung bei jedem neuen System mit Personenbezug ein, besonders bei KI, Videoüberwachung, Ortung oder Gesundheitsdaten. Beziehen Sie Fachabteilung, IT und Datenschutz früh ein, denn die DSFA muss vor dem Start vorliegen. Nano Concepts liefert technische Beschreibungen, Datenflüsse und Schutzmaßnahmen, auf deren Basis Ihre Datenschutzberatung die Bewertung vornehmen kann. Dieser Beitrag ersetzt keine Rechtsberatung.