Ein neues KI-gestütztes Bewerbermanagementsystem, eine cloudbasierte Patientenakte, ein konzernweites Bonitäts-Scoring für Geschäftspartner: Viele Digitalisierungsvorhaben, die mittelständische Unternehmen heute umsetzen, verarbeiten personenbezogene Daten auf eine Weise, die erhebliche Risiken für die betroffenen Personen begründen kann. Bevor Sie eine solche Verarbeitung in Betrieb nehmen, verlangt die Datenschutz-Grundverordnung eine formale Risikoprüfung.
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist eine strukturierte, vor dem Verarbeitungsbeginn durchzuführende Risikoanalyse. Sie ist verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Unterbleibt die DSFA, droht ein Bußgeld von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Geschäftsführer haften persönlich für Organisationspflichtverletzungen im Unternehmen.
Dieser Leitfaden führt Sie Schritt für Schritt durch den gesamten DSFA-Prozess – von der Pflichtprüfung bis zur behördlichen Konsultation – und zeigt, wo in der Praxis typische Fehler entstehen.
Warum die DSFA im Mittelstand so häufig unterschätzt wird
Die Datenschutz-Folgenabschätzung gilt in vielen inhabergeführten Unternehmen als Thema für Konzerne. Diese Wahrnehmung ist falsch. Art. 35 DSGVO knüpft die Pflicht nicht an Unternehmensgröße oder Umsatz, sondern ausschließlich an die Art der Datenverarbeitung. Wer systematisch Verhaltensprofile von Mitarbeitern oder Kunden erstellt, wer besondere Kategorien von Daten im Sinne von Art. 9 DSGVO verarbeitet oder wer neue Technologien in großem Maßstab einsetzt, fällt in den Anwendungsbereich – unabhängig davon, ob er 15 oder 5.000 Mitarbeitende beschäftigt.
In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Geschäftsführer die DSFA erst dann auf die Agenda setzen, wenn die Datenschutzbehörde bereits Nachfragen stellt oder ein Datenschutzvorfall eingetreten ist. Zu diesem Zeitpunkt fehlt das dokumentierte Fundament. Die Aufsichtsbehörden bewerten das Fehlen einer DSFA nicht als bloßes Formalproblem, sondern als Ausdruck eines strukturell unzureichenden Datenschutzmanagements – mit entsprechenden Konsequenzen für die Bußgeldbemessung.
Hinzu kommt ein wirtschaftlicher Aspekt: Investoren, Käufer im Rahmen von M&A-Transaktionen und Großkunden verlangen im Rahmen ihrer Due-Diligence-Prüfungen zunehmend den Nachweis, dass risikoträchtige Verarbeitungstätigkeiten formal dokumentiert wurden. Eine fehlende DSFA kann Transaktionen verzögern oder Bewertungsabschläge begründen.
Schritt 1: Wann ist die DSFA verpflichtend? Die Vorabprüfung nach Art. 35 DSGVO
Die erste Frage im DSFA-Prozess lautet immer: Besteht überhaupt eine Pflicht? Art. 35 Abs. 1 DSGVO begründet die Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für natürliche Personen mit sich bringt. Art. 35 Abs. 3 DSGVO nennt drei Fallgruppen, bei denen eine DSFA in jedem Fall erforderlich ist: systematische und umfassende Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung einschließlich Profiling; umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 und 10 DSGVO; systematische, weiträumige Überwachung öffentlich zugänglicher Bereiche.
Darüber hinaus veröffentlichen die nationalen Datenschutzbehörden sogenannte Muss-Listen nach Art. 35 Abs. 4 DSGVO, in denen konkrete Verarbeitungstätigkeiten aufgeführt sind, für die zwingend eine DSFA durchzuführen ist. Die deutschen Datenschutzbehörden haben eine solche Liste veröffentlicht; sie umfasst unter anderem bestimmte Verarbeitungen im Beschäftigungsverhältnis, biometrische Verfahren und Kreditscoring-Systeme.
Für die Vorabprüfung empfiehlt sich eine schriftlich dokumentierte Checkliste: Werden besondere Kategorien von Daten in großem Umfang verarbeitet? Findet eine systematische Auswertung von Verhaltens- oder Standortdaten statt? Werden neue Technologien oder neuartige Verfahren eingesetzt? Werden Daten von schutzbedürftigen Personengruppen – Kinder, Mitarbeitende in abhängiger Beschäftigung – verarbeitet? Besteht ein erhebliches Risiko einer physischen, materiellen oder immateriellen Schädigung? Treffen mehrere der genannten Kriterien zu, ist die DSFA-Pflicht mit hoher Wahrscheinlichkeit gegeben. Die Entscheidung und ihre Begründung sind schriftlich festzuhalten, auch wenn das Ergebnis lautet: „keine DSFA erforderlich".
Schritt 2: Verarbeitungstätigkeit systematisch beschreiben
Steht fest, dass eine DSFA durchzuführen ist, beginnt der formale Prozess mit einer strukturierten Beschreibung der geplanten Verarbeitungstätigkeit. Art. 35 Abs. 7 lit. a DSGVO verlangt eine systematische Beschreibung der vorgesehenen Verarbeitungsvorgänge und der Verarbeitungszwecke, einschließlich des berechtigten Interesses, das gegebenenfalls von dem Verantwortlichen verfolgt wird.
In der Praxis bedeutet das: Dokumentieren Sie zunächst, welche Kategorien personenbezogener Daten erhoben werden. Beschreiben Sie dann den Datenfluss – Erhebung, Speicherung, Übermittlung, Löschung. Benennen Sie die Rechtsgrundlage der Verarbeitung nach Art. 6 DSGVO sowie gegebenenfalls Art. 9 DSGVO. Erfassen Sie alle beteiligten Auftragsverarbeiter und deren Standort, insbesondere bei Drittlandübermittlungen. Legen Sie Speicherfristen und Löschkonzept fest.
Nach unserer Erfahrung scheitert die Beschreibungsphase in mittelständischen Unternehmen häufig daran, dass die tatsächlichen Datenflüsse von den formal dokumentierten abweichen. Cloudanbieter wurden ohne Auftragsverarbeitungsvertrag (AVV) eingesetzt, Schnittstellen zu Drittanwendungen sind nicht dokumentiert, tatsächliche Löschfristen entsprechen nicht den Verzeichniseinträgen. Eine DSFA, die auf einer unvollständigen Ist-Aufnahme basiert, ist rechtlich wertlos. Investieren Sie daher ausreichend Zeit in die Prozesserhebung, bevor Sie mit der eigentlichen Risikoanalyse beginnen.
Schritt 3: Risiken bewerten – Notwendigkeit und Verhältnismäßigkeit
Art. 35 Abs. 7 lit. b DSGVO verlangt eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck. Dieser Schritt ist mehr als eine formale Hürde: Er zwingt den Verantwortlichen zu prüfen, ob die geplante Verarbeitung überhaupt erforderlich ist und ob der angestrebte Zweck nicht mit geringeren Eingriffen in die Rechte der Betroffenen erreicht werden kann.
Zur Verhältnismäßigkeitsprüfung gehören: Ist die Verarbeitung auf das notwendige Minimum beschränkt (Grundsatz der Datensparsamkeit, Art. 5 Abs. 1 lit. c DSGVO)? Gibt es mildere Alternativen – Anonymisierung, Pseudonymisierung, aggregierte Auswertungen statt personenbezogener Profile? Steht der Verarbeitungszweck in einem angemessenen Verhältnis zu den Risiken für die Betroffenen? Sind die Betroffenen in der Lage, ihr Verarbeitungsverhältnis zu steuern, oder befinden sie sich in einer Situation struktureller Abhängigkeit?
Besondere Aufmerksamkeit verdient der letzte Punkt im Beschäftigungskontext. Mitarbeitende können einer Verarbeitung im Arbeitsverhältnis häufig nicht frei zustimmen; die Freiwilligkeit einer Einwilligung ist nach der Rechtsprechung der deutschen Datenschutzbehörden in diesem Verhältnis regelmäßig fraglich. Wer Mitarbeiterdaten für Bewertungssysteme, Zeiterfassung oder Produktivitätsmonitoring nutzt, muss die Verhältnismäßigkeit mit besonderer Sorgfalt belegen.
Schritt 4: Risiken für Rechte und Freiheiten identifizieren und gewichten
Die eigentliche Risikoanalyse nach Art. 35 Abs. 7 lit. c DSGVO bewertet die Risiken für die Rechte und Freiheiten der betroffenen Personen. Maßgeblich sind dabei zwei Dimensionen: die Eintrittswahrscheinlichkeit und die Schwere des möglichen Schadens. Hohe Schwere bei gleichzeitig realistischer Wahrscheinlichkeit begründet ein hohes Risiko; entsprechend ist das Restrisiko nach Implementierung der Schutzmaßnahmen zu bewerten.
Zu den relevanten Schadenskategorien zählen: Identitätsdiebstahl oder -betrug; finanzielle Verluste; Diskriminierung; Rufschädigung; Verlust der Vertraulichkeit bei besonderer Schutzbedürftigkeit; gesellschaftliche Nachteile; wirtschaftliche Benachteiligung. Das Risikomodell muss konkret und auf die spezifische Verarbeitungstätigkeit bezogen sein. Generische Formulierungen wie „es könnte zu Datenmissbrauch kommen" genügen nicht; die Datenschutzbehörden erwarten eine plausible Darstellung der Bedrohungsszenarien.
Methodisch bieten sich anerkannte Rahmenwerke an – etwa die CNIL-Methodik oder das BSI-Grundschutz-Kompendium. Wichtig ist, dass die Methodik nachvollziehbar dokumentiert und konsistent angewendet wird. Für die Risikogewichtung empfiehlt sich eine Matrix, die Schadenskategorie, Eintrittswahrscheinlichkeit und betroffene Personenanzahl verknüpft.
Schritt 5: Technische und organisatorische Maßnahmen festlegen
Auf die Risikoidentifikation folgt die Konzeption der Gegenmaßnahmen. Art. 35 Abs. 7 lit. d DSGVO verlangt die Bewertung der Maßnahmen, Garantien und Verfahren zur Bewältigung der Risiken, einschließlich des Nachweises, dass sie geeignet sind, die Risiken auf ein akzeptables Niveau zu senken. Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO) sind das zentrale Instrument.
Zu den typischen TOM-Kategorien zählen: Pseudonymisierung und Verschlüsselung personenbezogener Daten; Sicherstellung der dauerhaften Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme; Zugangs- und Zugriffskontrolle; Protokollierungskonzepte; Schulungen der verarbeitenden Personen; Datenschutzfreundliche Voreinstellungen (Privacy by Default, Art. 25 DSGVO); Einbeziehung von Datenschutzaspekten bereits im Systemdesign (Privacy by Design, Art. 25 Abs. 1 DSGVO).
Entscheidend ist, dass die Maßnahmen nicht abstrakt beschrieben, sondern konkret und überprüfbar definiert werden. „Wir verwenden Verschlüsselung" reicht nicht. Dokumentieren Sie: Welches Verschlüsselungsprotokoll? Für welche Daten? Wer verwaltet die Schlüssel? Wird die Umsetzung regelmäßig geprüft? Erst wenn die Maßnahmen das identifizierte Risiko auf ein akzeptables Restrisiko reduzieren, ist die DSFA inhaltlich abgeschlossen.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Logistikunternehmen, das ein GPS-basiertes Echtzeit-Tracking-System für seine Fahrzeugflotte und die darin tätigen Fahrer einführen wollte. Ausgangslage: Das Unternehmen hatte das System bereits beschafft und wollte es binnen vier Wochen in Betrieb nehmen; eine DSFA war nicht geplant. Vorgehen: Zunächst prüften wir die Notwendigkeit einer DSFA – das Vorhaben erfüllte mehrere Risikokritierien (Verhaltensüberwachung von Mitarbeitenden, kontinuierliche Standorterfassung). Wir führten die DSFA gemeinsam mit dem internen Datenschutzbeauftragten durch, hoben die Verhältnismäßigkeitsproblematik hervor und empfahlen eine Kombination aus technischen Einschränkungen (keine Erfassung außerhalb der Arbeitszeit), vertraglichen Regelungen und einer Betriebsvereinbarung. Ergebnis: Das Unternehmen konnte das System auf einer rechtskonformen Grundlage einführen; die zuständige Datenschutzbehörde wurde informationshalber eingebunden und äußerte keine Beanstandungen.
Schritt 6: Datenschutzbeauftragten einbinden und Konsultationspflicht prüfen
Art. 35 Abs. 2 DSGVO schreibt vor, dass der Verantwortliche bei der Durchführung einer DSFA den Rat des Datenschutzbeauftragten (DSB) einzuholen hat, sofern ein solcher benannt wurde. Die Einbindung des DSB ist kein bloßes Formalerfordernis: Sie soll sicherstellen, dass die DSFA inhaltlich von der Person begleitet wird, die im Unternehmen mit dem einschlägigen Fachwissen ausgestattet ist. Der DSB ist nach Art. 38 Abs. 4 DSGVO weisungsfrei; seine Stellungnahme ist zu dokumentieren, auch wenn der Verantwortliche ihr nicht folgt.
Ergibt die DSFA, dass das Restrisiko trotz aller Maßnahmen noch hoch ist – d. h. der Verantwortliche die Risiken nicht durch eigene Maßnahmen auf ein akzeptables Maß reduzieren kann –, ist er nach Art. 36 DSGVO verpflichtet, vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde zu konsultieren. Die Behörde hat dann in der Regel acht Wochen Zeit für ihre Antwort; diese Frist kann um weitere sechs Wochen verlängert werden. Für die Projektplanung bedeutet das: Bei einem absehbar hohen Restrisiko ist die Konsultationszeit einzuplanen, bevor das System in Betrieb geht.
Die vorherige Konsultation nach Art. 36 DSGVO ist in der Praxis selten, aber bedeutsam. Wir beraten regelmäßig Unternehmen, die vor der Einführung großangelegter Überwachungs- oder Analyseinfrastrukturen stehen und rechtzeitig prüfen lassen wollen, ob die Konsultationsschwelle erreicht ist. Ein frühzeitiger Dialog mit der Behörde ist in diesen Fällen strategisch sinnvoll – er schafft Rechtssicherheit und reduziert das Bußgeldrisiko erheblich.
Schritt 7: Dokumentation, Fortschreibung und Monitoring der DSFA
Eine DSFA ist kein einmaliges Dokument. Art. 35 Abs. 11 DSGVO verpflichtet den Verantwortlichen, zu überprüfen, ob die Verarbeitung gemäß der DSFA durchgeführt wird; dies gilt zumindest dann, wenn sich das mit der Verarbeitung verbundene Risiko verändert. In der Praxis bedeutet das: Die DSFA muss bei wesentlichen Änderungen der Verarbeitungstätigkeit, der eingesetzten Technologien, des Risikoprofils oder der regulatorischen Rahmenbedingungen aktualisiert werden.
Das Ergebnis der DSFA – einschließlich aller Anpassungen – ist zu dokumentieren und aufzubewahren. Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) verlangt, dass der Verantwortliche die Einhaltung der DSGVO-Grundsätze nachweisen kann. Die DSFA-Dokumentation ist damit ein zentrales Element des gesamten Nachweissystems. Bei einer behördlichen Prüfung ist sie regelmäßig das erste Dokument, das die Aufsichtsbehörde anfordert.
Prüfen Sie daher, ob in Ihrem Unternehmen ein strukturierter Überprüfungsrhythmus für bestehende DSFAs etabliert ist. Eine jährliche Sichtung aller DSFA-Dokumente – verbunden mit einer kurzen Prüfung, ob die Rahmenbedingungen unverändert geblieben sind – ist ein pragmatischer Mindeststandard. Komplexere oder technologisch volatile Verarbeitungen erfordern kürzere Intervalle.
Verwandte Leistungen
Häufige Fragen zur Datenschutz-Folgenabschätzung
Was ist eine Datenschutz-Folgenabschätzung und wer muss sie durchführen?
Die Datenschutz-Folgenabschätzung (DSFA) ist eine nach Art. 35 DSGVO vorgeschriebene systematische Risikoanalyse, die vor dem Beginn bestimmter Datenverarbeitungen durchgeführt werden muss. Pflicht besteht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für natürliche Personen begründet. Die Pflicht trifft den Verantwortlichen – also in der Regel das Unternehmen selbst. Unternehmensgröße ist kein Abgrenzungsmerkmal; maßgeblich ist allein das Risikopotenzial der Verarbeitungstätigkeit.
Welche Verarbeitungen lösen die DSFA-Pflicht aus?
Art. 35 Abs. 3 DSGVO nennt drei gesetzliche Regelbeispiele: umfassendes Profiling mit automatisierter Entscheidungsfindung, großangelegte Verarbeitung besonderer Datenkategorien (z. B. Gesundheits- oder biometrische Daten) sowie systematische Überwachung öffentlicher Bereiche. Darüber hinaus publizieren nationale Aufsichtsbehörden Positiv- und Negativlisten. Im Zweifel sollte die Notwendigkeit einer DSFA schriftlich begründet dokumentiert werden – auch wenn das Ergebnis eine Verneinung der Pflicht ist.
Was passiert, wenn die DSFA nicht oder nicht rechtzeitig durchgeführt wird?
Das Unterlassen einer erforderlichen DSFA ist ein eigenständiger Verstoß gegen die DSGVO und kann gemäß Art. 83 Abs. 4 DSGVO mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Bei schwerwiegenderen Verstößen – etwa wenn die Verarbeitung selbst gegen die DSGVO verstößt – kann nach Art. 83 Abs. 5 DSGVO ein Bußgeld von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängt werden. Zudem kann die Aufsichtsbehörde die Verarbeitung untersagen.
Muss der Datenschutzbeauftragte in die DSFA eingebunden werden?
Ja. Art. 35 Abs. 2 DSGVO verpflichtet den Verantwortlichen ausdrücklich, den Rat des Datenschutzbeauftragten einzuholen, sofern ein solcher benannt wurde. Die Einbindung ist zu dokumentieren. Gibt es keinen benannten DSB, entfällt diese Pflicht; gleichwohl empfiehlt es sich in diesem Fall, externe datenschutzrechtliche Expertise hinzuzuziehen.
Wann muss die Aufsichtsbehörde konsultiert werden?
Die vorherige Konsultation der Datenschutzbehörde nach Art. 36 DSGVO ist verpflichtend, wenn die DSFA ergibt, dass das Restrisiko auch nach Implementierung aller Schutzmaßnahmen noch hoch ist und der Verantwortliche es nicht eigenständig auf ein akzeptables Maß senken kann. Die Behörde hat dann grundsätzlich acht Wochen Zeit für eine Stellungnahme; diese Frist kann um weitere sechs Wochen verlängert werden. Die Konsultationszeit muss in der Projektplanung berücksichtigt werden.
Wie oft muss die DSFA überprüft werden?
Art. 35 Abs. 11 DSGVO schreibt eine Überprüfung vor, wenn sich das Risiko der Verarbeitung verändert. Als Mindeststandard empfiehlt sich eine jährliche Sichtung bestehender DSFA-Dokumente sowie eine anlassbezogene Aktualisierung bei wesentlichen Änderungen der Verarbeitungstätigkeit, der eingesetzten Technologie oder des regulatorischen Umfelds. Die Überprüfung und ihr Ergebnis sind zu dokumentieren.
Kann eine DSFA intern ohne anwaltliche Begleitung durchgeführt werden?
Formal ist eine anwaltliche Begleitung nicht zwingend vorgeschrieben. In der Praxis empfiehlt sie sich jedoch bei komplexen Verarbeitungsszenarien, bei Unsicherheit über die Pflicht zur vorherigen Konsultation und überall dort, wo die Dokumentation im Falle einer behördlichen Prüfung belastbar sein muss. Eine rechtlich fehlerhafte oder unvollständige DSFA bietet keinen Schutz vor Bußgeldern und kann das Bußgeldrisiko sogar erhöhen.
Die vorstehende Darstellung betrifft die Regelfälle der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Ihr konkretes Vorhaben erfordert die Prüfung der spezifischen Verarbeitungstätigkeit, der eingesetzten Technologien und des aktuellen behördlichen Prüfrahmens. Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung, ob eine DSFA für Ihr Vorhaben erforderlich ist, erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.