Datenschutz-Folgenabschätzung (DSFA/DPIA): Pflicht, Ablauf und Beispiele

Was ist eine Datenschutz-Folgenabschätzung?

Eine Datenschutz-Folgenabschätzung ist eine Risikoprüfung für personenbezogene Daten. Sie findet statt, bevor eine neue Verarbeitung startet, etwa eine neue Software, eine Kamera-Anlage oder ein KI-System.

Im Mittelpunkt stehen nicht die Risiken für das Unternehmen, sondern die Risiken für die betroffenen Menschen. Die Frage lautet: Was kann für Kunden, Mitarbeitende oder Patienten schiefgehen, und wie verhindern wir das?

Im Deutschen ist die Abkürzung DSFA üblich. In englischen Texten heißt das Verfahren Data Protection Impact Assessment, kurz DPIA. Gemeint ist dasselbe.

Rechtsgrundlage: Art. 35 DSGVO

Die DSFA ist in Art. 35 der Datenschutz-Grundverordnung (DSGVO) geregelt. Eine DSFA ist Pflicht, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ zur Folge hat. Das gilt besonders bei neuen Technologien.

Art. 35 Abs. 3 nennt drei Fälle, in denen eine DSFA immer nötig ist:

• Bewertung von Personen: systematische und umfassende Bewertung, etwa durch Profiling, die zu Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung führt.
• Besondere Daten: umfangreiche Verarbeitung besonderer Kategorien, etwa Gesundheitsdaten, oder von Daten über Straftaten.
• Überwachung: systematische, umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Wer gegen die Pflicht verstößt, riskiert ein Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

Wann ist eine DSFA nötig?

Neben dem Gesetz helfen zwei Hilfsmittel bei der Entscheidung:

• Muss-Listen: Die deutschen Datenschutzbehörden haben eine Liste von Verarbeitungen veröffentlicht, für die eine DSFA immer Pflicht ist. Beispiele sind das Zusammenführen großer Datenbestände aus verschiedenen Quellen und Scoring-Verfahren.
• Neun Kriterien: Die europäischen Datenschutzbehörden nennen neun Merkmale, darunter sensible Daten, große Datenmengen, schutzbedürftige Personen und neue Technik. Treffen zwei oder mehr zu, ist in der Regel eine DSFA nötig.

Typische Beispiele aus der Praxis:

• Videoüberwachung in Verkaufsräumen oder auf Parkplätzen
• Systeme zur Leistungs- oder Verhaltenskontrolle von Mitarbeitenden
• Gesundheits-Apps und Telemedizin
• Bonitätsprüfung und Scoring
• KI-Systeme, die über Menschen entscheiden. Siehe DSFA für KI.

Ist keine DSFA nötig, sollten Sie das kurz begründen und dokumentieren. So können Sie Ihre Entscheidung später nachweisen.

Was eine DSFA mindestens enthält

Art. 35 Abs. 7 DSGVO legt den Mindestinhalt fest:

1. eine systematische Beschreibung der Verarbeitung und ihrer Zwecke
2. eine Bewertung, ob die Verarbeitung notwendig und verhältnismäßig ist
3. eine Bewertung der Risiken für die betroffenen Personen
4. die geplanten Maßnahmen, um diese Risiken zu bewältigen

Ablauf in sieben Schritten

1. Prüfen, ob eine DSFA nötig ist: mit Muss-Liste und den neun Kriterien.
2. Team zusammenstellen: Fachabteilung, IT, Informationssicherheit und der Datenschutzbeauftragte. Seine Beratung ist Pflicht.
3. Verarbeitung beschreiben: Welche Daten, von wem, zu welchem Zweck, mit welchen Systemen, an wen weitergegeben, wie lange gespeichert?
4. Notwendigkeit prüfen: Geht es auch mit weniger Daten? Gibt es eine Rechtsgrundlage?
5. Risiken bewerten: Welche Schäden drohen den Betroffenen, etwa Diskriminierung, Identitätsdiebstahl oder Bloßstellung? Wie wahrscheinlich und wie schwer sind sie?
6. Maßnahmen festlegen: technische und organisatorische Maßnahmen wie Verschlüsselung, Pseudonymisierung, Zugriffsrechte, Löschfristen oder Schulungen.
7. Ergebnis dokumentieren und überprüfen: Bleibt ein hohes Restrisiko, ist die Aufsichtsbehörde zu konsultieren. Ändert sich die Verarbeitung, wird die DSFA aktualisiert.

Als Methode bietet sich das Standard-Datenschutzmodell (SDM) der deutschen Datenschutzkonferenz an. Es ordnet Maßnahmen den Gewährleistungszielen des Datenschutzes zu. International gibt es zudem die Norm ISO/IEC 29134.

Ein Beispiel aus der Praxis

Ein Logistikunternehmen will die Fahrzeuge seiner Fahrer per GPS orten, um Touren besser zu planen. Die Ortung ist umfangreich, betrifft Beschäftigte und erlaubt Rückschlüsse auf ihr Verhalten. Damit ist eine DSFA nötig.

Die DSFA zeigt: Eine dauerhafte Ortung in Echtzeit wäre unverhältnismäßig. Das Unternehmen entscheidet sich für Maßnahmen: Ortung nur während der Arbeitszeit, Speicherung für wenige Wochen, Zugriff nur für die Disposition und keine Auswertung einzelner Personen zur Leistungskontrolle. Der Betriebsrat wird beteiligt. Das Restrisiko ist damit tragbar.

DSFA und Informationssicherheit

Die DSFA und das Risikomanagement der Informationssicherheit greifen ineinander. Viele Schutzmaßnahmen sind dieselben, etwa Verschlüsselung, Zugriffskontrolle und Protokollierung. Wer ein ISMS betreibt, kann dessen Risikoanalyse und Maßnahmenkatalog für die DSFA nutzen.

Wichtig ist der Blickwinkel. Das ISMS fragt nach Risiken für das Unternehmen, die DSFA nach Risiken für die Menschen. Ein guter Ansatz verbindet beides. Hilfreich sind dabei die Grundsätze Privacy by Design und Privacy by Default.

Häufige Fehler

• Zu spät: Die DSFA muss vor dem Start erfolgen, nicht nach der Einführung.
• Nur Formular: Eine ausgefüllte Vorlage ohne echte Risikoprüfung schützt niemanden.
• Falscher Blickwinkel: Es geht um die Betroffenen, nicht um das Unternehmen.
• Einmalig: Eine DSFA ist kein Projekt mit Enddatum. Bei Änderungen wird sie überprüft.
• Datenschutzbeauftragter nicht eingebunden: Seine Beratung ist gesetzlich vorgeschrieben.

Software-Unterstützung

Eine DSFA hängt eng mit anderen Datenschutz-Unterlagen zusammen. Das Datenschutz-Modul von SecTepe.Core umfasst das Verzeichnis der Verarbeitungstätigkeiten (VVT), technische und organisatorische Maßnahmen (TOM), die Datenschutz-Folgenabschätzung (DSFA), Betroffenenrechte, Datenpannen und Auftragsverarbeiter.

Fazit

Die Datenschutz-Folgenabschätzung prüft vor dem Start, ob eine Verarbeitung die Menschen gefährdet, deren Daten verarbeitet werden. Sie ist bei hohem Risiko Pflicht und folgt einem klaren Ablauf. Wer früh beginnt, den Datenschutzbeauftragten einbindet und die DSFA bei Änderungen aktualisiert, schützt die Betroffenen und sich selbst.