Datenschutz-Folgenabschätzung durchführen – Checkliste

Ein Pharmaunternehmen führt ein neues System zur biometrischen Zugangskontrolle ein. Ein Logistikdienstleister implementiert GPS-Ortung für die gesamte Fahrbereitschaft. Ein Mittelständler aus dem Handel wechselt auf eine KI-gestützte Bonitätsprüfung. Was diese drei Szenarien verbinden: In jedem Fall besteht nach Art. 35 DSGVO die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, kurz: DPIA), bevor die Verarbeitung beginnt.

Die Datenschutz-Folgenabschätzung (DPIA) ist ein verbindliches Vorabprüfverfahren nach Art. 35 DSGVO. Verantwortliche müssen es durchführen, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen erzeugt. Für Geschäftsführer im Mittelstand bedeutet das: Wer die Prüfung unterlässt oder lückenhaft dokumentiert, riskiert Bußgelder der Datenschutzbehörde von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO) – und in bestimmten Konstellationen auch persönliche Haftung.

Dieser Leitfaden führt Sie in acht Schritten durch die DPIA-Pflicht, zeigt häufige Fehler und erklärt, wann die Hinzuziehung eines Anwalts den Unterschied zwischen einer genehmigungsfähigen und einer bußgeldbewehrten Verarbeitungspraxis ausmacht.

Was ist eine Datenschutz-Folgenabschätzung – und wer ist betroffen?

Die Datenschutz-Folgenabschätzung ist ein strukturiertes Risikoanalyseverfahren, das Art. 35 DSGVO dem Verantwortlichen auferlegt. Sie dient nicht der nachträglichen Dokumentation, sondern der vorgelagerten Entscheidungsgrundlage: Kann die Verarbeitung in der geplanten Form stattfinden? Unter welchen Bedingungen? Welche Schutzmaßnahmen sind verhältnismäßig?

Betroffen sind grundsätzlich alle Unternehmen, die als Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO auftreten – also selbst über Zweck und Mittel der Verarbeitung entscheiden. Auftragsverarbeiter führen die DPIA nicht eigenständig durch, haben aber nach Art. 28 Abs. 3 lit. f DSGVO Unterstützungspflichten. In der Mandatspraxis sehen wir, dass gerade im industriellen Mittelstand diese Abgrenzung regelmäßig unklar ist: Wer intern eine SaaS-Plattform einführt, agiert als Verantwortlicher – der Anbieter hingegen als Auftragsverarbeiter.

Ob eine DPIA erforderlich ist, richtet sich zunächst nach dem Katalog der Aufsichtsbehörden (Art. 35 Abs. 4 DSGVO sog. „Muss-Liste") und den drei Hauptkriterien der Datenschutzkonferenz (DSK): systematische umfangreiche Verarbeitung besonderer Kategorien, automatisierte Entscheidungen mit erheblicher Wirkung, großangelegte Überwachung öffentlicher Bereiche. Treffen zwei oder mehr der neun Risikokriterien der Artikel-29-Gruppe zu, ist eine DPIA in der Regel obligatorisch.

Schritt 1: Prüfen Sie die DPIA-Pflicht anhand der gesetzlichen Auslösetatbestände

Bevor die eigentliche Folgenabschätzung beginnt, steht die Schwellenprüfung. Sie entscheidet, ob eine DPIA zwingend oder fakultativ ist. Dieser Schritt ist dokumentationspflichtig – auch dann, wenn das Ergebnis lautet: keine DPIA erforderlich.

• Art. 35 Abs. 3 DSGVO – gesetzliche Regelbeispiele prüfen: Systematische und umfassende Bewertung persönlicher Aspekte (Profiling), umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO, systematische Überwachung öffentlich zugänglicher Bereiche.
• DSK-Negativliste / Positivliste heranziehen: Die deutschen Aufsichtsbehörden haben Muss-Listen veröffentlicht; diese listen Verarbeitungsarten auf, für die stets eine DPIA erforderlich ist (z. B. Scoring-Systeme, biometrische Identifikation).
• Neun Risikokriterien der Artikel-29-Gruppe: Bewerten, Profiling, automatisierte Entscheidungen, Überwachung, sensitive Daten, Verknüpfung, innovative Technologie, Weitergabe, Behinderung der Betroffenenrechte. Zwei oder mehr Kriterien treffen zu → DPIA obligatorisch.
• Ergebnis dokumentieren: Positiv- wie Negativentscheidung schriftlich festhalten, inklusive Datum und verantwortlicher Person.

Nach unserer Erfahrung wird dieser erste Schritt häufig übersprungen. Unternehmen wähnen sich außerhalb des Anwendungsbereichs, weil sie das Wort „umfangreich" zu eng auslegen. Die Aufsichtsbehörden – insbesondere in Bayern und Berlin – legen diesen Begriff im Zweifel weit aus.

Schritt 2: Beschreiben Sie die geplante Verarbeitung systematisch

Art. 35 Abs. 7 lit. a DSGVO verlangt eine systematische Beschreibung der beabsichtigten Verarbeitungsvorgänge und der Verarbeitungszwecke. Diese Beschreibung ist nicht verhandelbar; sie bildet das Fundament aller nachfolgenden Analyseschritte.

• Zweck und Rechtsgrundlage: Welchen Zweck verfolgt die Verarbeitung? Welche Rechtsgrundlage (Art. 6 Abs. 1 DSGVO, ggf. Art. 9 Abs. 2 DSGVO für besondere Kategorien) wird herangezogen?
• Datenkategorien und Umfang: Welche personenbezogenen Daten werden verarbeitet? Wie viele Betroffene sind betroffen – ungefähre Größenordnung?
• Empfänger und Weiterleitungen: An wen werden Daten übermittelt? Erfolgen Drittlandübermittlungen (Art. 44 ff. DSGVO)?
• Speicherfristen: Wann werden die Daten gelöscht oder anonymisiert?
• Technische und organisatorische Maßnahmen (TOM): Welche Sicherheitsmaßnahmen sind bereits vorgesehen oder vorhanden (Art. 32 DSGVO)?
• Auftragsverarbeitung: Werden Auftragsverarbeiter eingesetzt? Ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vorhanden?

Wichtig: Die Beschreibung muss so präzise sein, dass ein sachkundiger Dritter – etwa ein Prüfer der Datenschutzaufsicht – den Verarbeitungsvorgang vollständig nachvollziehen kann. Eine PowerPoint-Folie mit Stichworten genügt nicht.

Schritt 3: Notwendigkeit und Verhältnismäßigkeit beurteilen

Art. 35 Abs. 7 lit. b DSGVO fordert eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge. Dieser Schritt verlangt eine juristische Abwägung, die in inhabergeführten Unternehmen ohne Rechtsabteilung besonders anspruchsvoll ist.

• Zweckbindung: Ist der Verarbeitungszweck klar definiert und legitimiert? Wäre ein milderes Mittel gleich geeignet (Datensparsamkeit, Art. 5 Abs. 1 lit. c DSGVO)?
• Erforderlichkeit: Werden tatsächlich nur die Daten erhoben, die für den Zweck unbedingt notwendig sind? Prüfen Sie jede Datenkategorie einzeln.
• Interessenabwägung (bei Art. 6 Abs. 1 lit. f DSGVO): Überwiegen die berechtigten Interessen die Rechte und Freiheiten der Betroffenen? Gibt es Einwände, die vorab erkennbar sind (z. B. Beschäftigtendaten)?
• Transparenzpflichten: Sind die Betroffenen über die Verarbeitung informiert (Art. 13/14 DSGVO)? Sind Datenschutzhinweise aktuell?
• Löschkonzept: Ist ein Lösch- und Sperrkonzept dokumentiert, das die Speicherfristen operationalisiert?

Welche Frage stellen sich Geschäftsführer in diesem Schritt am häufigsten? Ob das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO tatsächlich trägt. Die Antwort ist regelmäßig komplex und hängt von den konkreten Umständen des Einzelfalls ab.

Schritt 4: Risiken für die Betroffenen identifizieren und bewerten

Das Herzstück der DPIA ist die Risikoabschätzung nach Art. 35 Abs. 7 lit. c DSGVO. Zu bewerten sind die Risiken für die Rechte und Freiheiten der natürlichen Personen – nicht primär für das Unternehmen selbst.

• Bedrohungsszenarien identifizieren: Unbefugter Zugriff, Datenverlust, Zweckentfremdung, Diskriminierung durch automatisierte Entscheidungen, Profilbildung ohne Einwilligung, Datenweitergabe an Drittländer ohne angemessenes Schutzniveau.
• Eintrittswahrscheinlichkeit bewerten: Auf einer mindestens dreistufigen Skala (niedrig – mittel – hoch) bewerten. Methodisch empfiehlt sich die BSI-Grundschutzmethodik oder die ENISA-Leitlinien.
• Schwere des Schadens bewerten: Physischer, materieller oder immaterieller Schaden für Betroffene. Besondere Aufmerksamkeit bei vulnerablen Gruppen (Kinder, Beschäftigte, Patienten).
• Risikomatrix erstellen: Wahrscheinlichkeit × Schwere = Risikoniveau (niedrig, mittel, hoch, sehr hoch). Verarbeitungen mit hohem oder sehr hohem Restrisiko erfordern zusätzliche Maßnahmen oder die Konsultation der Aufsichtsbehörde.
• Bestehende TOM berücksichtigen: Das Restrisiko nach Anwendung vorhandener Schutzmaßnahmen ist ausschlaggebend.

In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Fertigungsunternehmen aus der Maschinenbaubranche. Ausgangslage: Das Unternehmen plante die Einführung eines KI-gestützten Qualitätskontrollsystems, das Videoaufnahmen von Mitarbeitern am Fließband auswertete. Vorgehen: Im Rahmen der DPIA wurde ein hohes Restrisiko bei der automatisierten Verhaltensüberwachung identifiziert; zusätzlich wurden Mitbestimmungsrechte des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG) eingebunden. Ergebnis: Das System wurde mit eingeschränktem Verarbeitungsumfang (anonymisierte Produktauswertung statt Personenidentifikation) eingeführt; eine vorherige Konsultation der Aufsichtsbehörde war nach dieser Anpassung nicht mehr erforderlich.

Schritt 5: Abhilfemaßnahmen festlegen und dokumentieren

Auf Basis der Risikobewertung werden konkrete Abhilfemaßnahmen entwickelt. Art. 35 Abs. 7 lit. d DSGVO verlangt die Dokumentation der geplanten Abhilfemaßnahmen einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren.

• Technische Maßnahmen: Verschlüsselung, Pseudonymisierung, Zugriffskontrolle, Protokollierung, Datentrennung (Art. 25 DSGVO – Privacy by Design/Default).
• Organisatorische Maßnahmen: Berechtigungskonzept, Schulungen, Vertraulichkeitsverpflichtungen, Vier-Augen-Prinzip bei besonders sensiblen Zugriffen.
• Verfahrensbezogene Maßnahmen: Löschpläne, Datenschutzfolgenabschätzung bei Änderungen wiederholen (Versionierung!), regelmäßige Überprüfung der Wirksamkeit.
• Restrisiko bewerten: Bleiben nach allen Maßnahmen noch hohe Risiken? → vorherige Konsultation der Datenschutzbehörde nach Art. 36 DSGVO erforderlich.
• Verantwortlichkeiten benennen: Wer setzt welche Maßnahme bis wann um? Namentlich zugeordnet, nicht nur abteilungsbezogen.

Wann ist die Grenze zur vorherigen Konsultation der Aufsichtsbehörde erreicht? Nach Art. 36 Abs. 1 DSGVO immer dann, wenn der Verantwortliche nicht in der Lage ist, das hohe Restrisiko durch eigene Maßnahmen ausreichend zu mindern. Die Behörde hat dann bis zu acht Wochen (mit möglicher Verlängerung um weitere acht Wochen) Reaktionszeit – ein Zeitfenster, das Unternehmen in ihrer Projektplanung regelmäßig unterschätzen.

Schritt 6: Datenschutzbeauftragten einbinden – Pflichten und Ablauf

Art. 35 Abs. 2 DSGVO schreibt vor, dass der Datenschutzbeauftragte (DSB) – sofern benannt – bei der Durchführung der DPIA zwingend hinzugezogen werden muss. Die Hinzuziehung ist zu dokumentieren; sein Rat und die getroffene Entscheidung sind festzuhalten.

• DSB frühzeitig einbinden: Nicht erst bei der Abnahme, sondern von Beginn an – idealerweise bereits bei der Schwellenprüfung in Schritt 1.
• Stellungnahme des DSB dokumentieren: Auch wenn seiner Empfehlung nicht gefolgt wird, muss der Grund aktenkundig gemacht werden (Rechenschaftspflicht Art. 5 Abs. 2 DSGVO).
• Kein DSB benannt? Dann ist die DPIA intern durch eine datenschutzrechtlich sachkundige Person durchzuführen. Die Pflicht zur DPIA entfällt nicht.
• Externer DSB: Unternehmen, die einen externen DSB bestellt haben, sollten klären, ob dessen Auftrag die DPIA-Beratung umfasst – andernfalls sind zusätzliche Kosten zu erwarten.
• Betroffene konsultieren (Art. 35 Abs. 9 DSGVO): Wenn ohne Beeinträchtigung legitimer Interessen möglich, sollte die Ansicht der Betroffenen eingeholt werden. Bei Beschäftigtendaten ist der Betriebsrat einzubeziehen.

Schritt 7: DPIA-Bericht erstellen, prüfen und freigeben

Das Ergebnis der Datenschutz-Folgenabschätzung ist ein schriftlicher Bericht. Er ist Bestandteil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und muss der Datenschutzbehörde auf Anfrage vorgelegt werden können. Ein guter DPIA-Bericht ist kein Formular – er ist ein belastbares Rechtsdokument.

• Pflichtinhalt nach Art. 35 Abs. 7 DSGVO: Systematische Beschreibung der Verarbeitung (Schritt 2), Bewertung der Notwendigkeit und Verhältnismäßigkeit (Schritt 3), Risikobewertung (Schritt 4), geplante Abhilfemaßnahmen (Schritt 5).
• Versionierung und Datumsangabe: DPIA-Berichte müssen bei wesentlichen Änderungen der Verarbeitung überarbeitet und erneut freigegeben werden.
• Freigabe durch Geschäftsführung: Die letztverantwortliche Entscheidung liegt beim Verantwortlichen – in der Regel der Geschäftsführer. Die Freigabe ist zu unterschreiben und zu datieren.
• Aufbewahrung: DPIA-Berichte sind aufzubewahren und auf Anfrage der Aufsichtsbehörde vorzulegen (Art. 35 Abs. 7 i. V. m. Art. 5 Abs. 2 DSGVO). Eine Mindestaufbewahrungsfrist ist gesetzlich nicht explizit geregelt; nach der einschlägigen Datenschutzpraxis empfiehlt sich die Aufbewahrung für die Dauer der Verarbeitung zuzüglich der allgemeinen Verjährungsfrist von 3 Jahren.
• Integration ins Verarbeitungsverzeichnis: Die DPIA ist mit dem entsprechenden Eintrag im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) zu verknüpfen.

Schritt 8: Laufende Überprüfung und Aktualisierung der DPIA

Eine DPIA ist kein einmaliger Akt. Art. 35 Abs. 11 DSGVO verpflichtet den Verantwortlichen zur Überprüfung, ob die Verarbeitung gemäß der Datenschutz-Folgenabschätzung durchgeführt wird, und zwar zumindest dann, wenn sich das Risiko der Verarbeitungsvorgänge ändert.

• Anlassbezogene Überprüfung: Wesentliche Änderungen an der Verarbeitung (neue Datenkategorien, neue Empfänger, neue technische Systeme, Änderung des Verarbeitungszwecks) lösen eine Pflicht zur Überarbeitung der DPIA aus.
• Regelmäßige Überprüfung: Empfehlenswert ist ein turnus­mäßiger Überprüfungszyklus (in der Praxis: jährlich oder alle zwei Jahre) unabhängig von konkreten Änderungen.
• Änderungen der Rechtslage: Neue Leitlinien der Datenschutzbehörden, neue Rechtsprechung oder Gesetzesänderungen können dazu führen, dass eine bislang ausreichende DPIA aktualisiert werden muss.
• Versionskontrolle: Jede Überarbeitung wird mit Datum, Änderungsgrund und Freigabe dokumentiert.
• Aufgaben und Zuständigkeiten im Überprüfungskalender: Wer prüft wann? Integration in das interne Datenschutz-Management-System.

Nach unserer Erfahrung in der Mandatspraxis scheitern Datenschutz-Folgenabschätzungen nicht an der Ersterstellung, sondern an der fehlenden Aktualisierung. Unternehmen, die ein neues Tool in eine bereits abgeschlossene DPIA integrieren, ohne die Auswirkungen auf das Risikoniveau zu überprüfen, befinden sich regelmäßig in der Grauzone zur Aufsichtsbehörde – ein vermeidbares Risiko.

Häufige Fehler und wie Sie sie vermeiden

In der Beratungspraxis begegnen uns bestimmte Fehlerquellen immer wieder. Ihre frühzeitige Kenntnis schützt vor Bußgeldern und behördlichen Untersuchungen.

• DPIA zu spät begonnen: Die DPIA muss vor Beginn der Verarbeitung abgeschlossen sein. Eine nachträgliche Dokumentation bestehender Systeme erfüllt zwar die formale Pflicht, hebt aber das Bußgeldrisiko nicht rückwirkend auf.
• Risikoanalyse auf die Betroffenenperspektive vergessen: Viele Unternehmen analysieren nur technische Risiken, nicht die Auswirkungen auf die Rechte und Freiheiten der betroffenen Personen.
• Verhältnismäßigkeit nicht geprüft: Die Frage, ob der gleiche Zweck mit weniger invasiven Mitteln erreicht werden kann, bleibt häufig ungestellt.
• Restrisiko nicht bewertet: Die Abhilfemaßnahmen werden aufgezählt, aber nicht überprüft, ob das Restrisiko danach tatsächlich auf ein akzeptables Niveau gesunken ist.
• DSB nicht oder zu spät eingebunden: Dies stellt einen eigenständigen Verstoß gegen Art. 35 Abs. 2 DSGVO dar, unabhängig von der Qualität der DPIA im Übrigen.
• Keine Überarbeitung bei Systemwechseln: Ein neues Subprozessor-Tool, eine Datenbankmigrierung oder ein Auftragsverarbeiterwechsel erfordert die Aktualisierung der bestehenden DPIA.

Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer DPIA-Unterlagen oder Ihrer geplanten Verarbeitungstätigkeit erreichen Sie uns unter info@brandtfalk.com.

Jetzt DPIA-Unterlagen prüfen lassen: Wenn Sie eine Datenschutz-Folgenabschätzung für ein bevorstehendes Projekt benötigen oder eine bestehende DPIA auf Vollständigkeit und Rechtskonformität überprüfen lassen möchten, stehen wir Ihnen für eine vertrauliche Ersteinschätzung zur Verfügung. Schreiben Sie an info@brandtfalk.com.

Verwandte Leistungen

• Auftragsverarbeitungsvertrag (AVV) gestalten – Rechtslage und Vertragsgestaltung für den Mittelstand
• Datenpanne und Meldepflicht binnen 72 Stunden – Überblick über die gesetzlichen Anforderungen
• Datenpanne und Meldepflicht – rechtliche Würdigung – Vertiefte Analyse der Meldepflichten nach DSGVO

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.

Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.