Ein Mittelständler führt ein neues Kundenbewertungssystem ein, das Kaufverhalten, Standortdaten und demografische Profile systematisch verknüpft. Die Datenschutzbeauftragte meldet sich mit einem knappen Hinweis: „Wir brauchen eine DSFA." Was folgt, ist für viele Geschäftsführer terra incognita – obwohl die rechtliche Pflicht seit Jahren besteht und die Aufsichtsbehörden zunehmend nachfragen.
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist ein gesetzlich vorgeschriebenes Verfahren, das Verantwortliche durchführen müssen, bevor sie Verarbeitungsvorgänge mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen starten. Die Pflicht trifft Unternehmen branchenunabhängig und unmittelbar den Geschäftsführer als Verantwortlichen. Werden Art und Schwere möglicher Datenpannen nicht vorab systematisch bewertet, drohen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.
Dieser Leitfaden führt Sie Schritt für Schritt durch das DSFA-Verfahren: von der Screening-Entscheidung über die Risikobewertung bis zur behördlichen Konsultation – mit konkreten Handlungsanweisungen für den Mittelstand.
Was ist eine Datenschutz-Folgenabschätzung, und wann ist sie Pflicht?
Die DSFA ist kein freiwilliges Qualitätsmerkmal, sondern eine gesetzliche Voraussetzung für bestimmte Verarbeitungstätigkeiten. Art. 35 Abs. 1 DSGVO verpflichtet den Verantwortlichen, vor Beginn der Verarbeitung eine strukturierte Analyse der Risiken anzufertigen, sobald eine Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen begründet. Die Norm benennt drei Regelbeispiele unmittelbar: systematische und umfassende Bewertung persönlicher Aspekte durch automatisierte Verarbeitung einschließlich Profiling, umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 DSGVO sowie systematische großräumige Überwachung öffentlich zugänglicher Bereiche.
Ergänzend hat jede nationale Aufsichtsbehörde gemäß Art. 35 Abs. 4 DSGVO eine Positivliste (sog. „Muss-Liste") zu veröffentlichen, die Verarbeitungsvorgänge aufzählt, für die eine DSFA zwingend erforderlich ist. Die deutschen Datenschutzbehörden (DSK) haben eine gemeinsame Liste beschlossen. In der Mandatspraxis sehen wir, dass viele mittelständische Unternehmen diese Listen nicht kennen und daher Pflichten übersehen – etwa beim Einsatz von Videoüberwachung am Arbeitsplatz, beim Einsatz von HR-Analytics-Systemen oder bei der Einführung umfangreicher Bonusprogramme mit Verhaltensprofilen.
Wann genau liegt ein „hohes Risiko" vor? Die Aufsichtsbehörden orientieren sich an neun Kriterien, die die Artikel-29-Datenschutzgruppe (Vorläufer des EDSA) entwickelt hat: Bewertung oder Scoring von Personen, automatisierte Entscheidungsfindung mit rechtlicher Wirkung, systematische Überwachung, sensible Daten, umfangreiche Verarbeitung, Zusammenführung von Datensätzen, Daten schutzbedürftiger Personen, innovative Technologien sowie Übermittlung in Drittländer. Treffen zwei oder mehr dieser Kriterien zu, ist eine DSFA in der Regel durchzuführen.
Schritt 1: Screening – Besteht überhaupt eine DSFA-Pflicht?
Vor jeder Neuentwicklung oder wesentlichen Änderung einer Verarbeitungstätigkeit steht die Screening-Entscheidung. Sie ist keine formelle Pflicht, aber in der Praxis unverzichtbar – denn sie dokumentiert, warum eine DSFA durchgeführt wurde oder warum die Kanzlei sie für entbehrlich hält. Im Streitfall mit der Aufsichtsbehörde ist diese Dokumentation Ihr wichtigstes Entlastungsargument.
Gehen Sie in drei Teilschritten vor. Prüfen Sie zunächst, ob die geplante Verarbeitungstätigkeit auf der Positivliste der zuständigen Aufsichtsbehörde steht. Ist das der Fall, entfällt jede weitere Prüfung: Die DSFA ist Pflicht. Fehlt ein Listeneintrag, prüfen Sie die Regelbeispiele des Art. 35 Abs. 3 DSGVO. Danach wenden Sie die neun Kriterien des EDSA an und dokumentieren das Ergebnis. Halten Sie das Ergebnis in einem kurzen Screening-Memo fest – ein bis zwei Seiten genügen –, das Sie im Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO hinterlegen.
Nach unserer Erfahrung überschätzen manche Unternehmen die Hürde und führen überflüssige DSFAs durch, die Ressourcen binden. Andere unterschätzen sie und riskieren Bußgelder. Die Screening-Entscheidung ist daher keine bürokratische Pflichtübung, sondern eine strategische Weichenstellung.
Schritt 2: Systematische Beschreibung der Verarbeitungstätigkeit
Art. 35 Abs. 7 lit. a DSGVO verlangt als Mindestinhalt der DSFA eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Verarbeitungszwecke, einschließlich des berechtigten Interesses des Verantwortlichen. Diese Beschreibung ist mehr als eine technische Dokumentation – sie ist die Grundlage für alle folgenden Risikoschritte.
Erfassen Sie zunächst die Datenkategorien (was wird verarbeitet?), die betroffenen Personen (wen betrifft es?), die Verarbeitungsoperationen (wie wird verarbeitet?), die eingesetzten Systeme und Dienstleister (womit und mit wem?) sowie die Rechtsgrundlage nach Art. 6 DSGVO. Für besondere Kategorien nach Art. 9 DSGVO – etwa Gesundheitsdaten, biometrische Daten oder Gewerkschaftszugehörigkeit – ist zusätzlich eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO nachzuweisen.
Binden Sie bei diesem Schritt sowohl die IT-Abteilung als auch die Fachabteilung ein, die den Prozess verantwortet. In der Mandatspraxis erleben wir regelmäßig, dass Datenschutzbeauftragte die DSFA isoliert erstellen, ohne die Prozessverantwortlichen zu befragen – die daraus entstehenden Beschreibungslücken führen später zu Nachfragen der Aufsichtsbehörden.
Welche Risiken müssen bewertet werden, und wie geht das methodisch?
Art. 35 Abs. 7 lit. b DSGVO verlangt eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge sowie nach lit. c eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen. Die Risikoanalyse ist damit das Herzstück der DSFA.
Methodisch empfiehlt sich eine zweidimensionale Bewertungsmatrix: Auf der einen Achse steht die Eintrittswahrscheinlichkeit eines Schadensereignisses (gering / mittel / hoch), auf der anderen die Schwere des möglichen Schadens für die Betroffenen (gering / erheblich / schwerwiegend). Typische Schadensereignisse sind: unbefugter Zugriff auf personenbezogene Daten, Datenverlust, Diskriminierung durch fehlerhafte automatisierte Entscheidungen, Identitätsdiebstahl oder Rufschädigung. Aus der Kombination ergibt sich ein Risikowert, der bestimmt, welche Maßnahmen erforderlich sind.
Bewerten Sie anschließend die technisch-organisatorischen Maßnahmen (TOM), die Sie bereits einsetzen oder planen. Werden Risiken durch Pseudonymisierung, Zugriffskontrollen, Verschlüsselung oder Löschkonzepte hinreichend reduziert? Ein Restrisiko ist unvermeidbar und nicht per se rechtswidrig – entscheidend ist, ob es nach dem Stand der Technik vertretbar ist. Bleibt nach Umsetzung aller Maßnahmen ein hohes Risiko bestehen, ist die Aufsichtsbehörde vor Beginn der Verarbeitung zu konsultieren (Art. 36 DSGVO).
Wir beraten regelmäßig Unternehmen, die bei der Risikoanalyse ausschließlich technische Risiken betrachten und soziale oder wirtschaftliche Schäden für Betroffene – etwa drohende Diskriminierung im Kreditbereich oder im Beschäftigungsverhältnis – außer Acht lassen. Das genügt den Anforderungen der DSGVO nicht und erzeugt im Prüfverfahren Nachbesserungsbedarf.
Schritt 3: Maßnahmen festlegen und Verhältnismäßigkeit prüfen
Auf die Risikoanalyse folgt die Gestaltungsphase. Art. 35 Abs. 7 lit. d DSGVO verlangt die Beschreibung der Maßnahmen, mit denen den identifizierten Risiken begegnet wird, einschließlich der Garantien, Sicherheitsvorkehrungen und Verfahren. Dabei gilt: Privacy by Design (Art. 25 Abs. 1 DSGVO) und Privacy by Default (Art. 25 Abs. 2 DSGVO) sind keine Kür, sondern gesetzliche Anforderungen, die Sie in diesem Schritt umsetzen.
Prüfen Sie in diesem Schritt auch die Notwendigkeit und Verhältnismäßigkeit des gesamten Verarbeitungsvorhabens. Wird der angestrebte Zweck durch eine weniger eingriffsintensive Alternative erreichbar? Könnte etwa eine aggregierte Auswertung ohne Einzelidentifizierung genügen? Lässt sich der Datenbestand durch Anonymisierung oder kürzere Speicherfristen reduzieren? Diese Fragen sind nicht nur datenschutzrechtlich relevant, sondern schützen Sie auch vor Haftungsrisiken, die im Bereich der Geschäftsführerhaftung relevant werden können.
Dokumentieren Sie die Maßnahmen mit Verantwortlichkeiten und Umsetzungsfristen. Eine Maßnahme, die nicht implementiert wird, ist keine Maßnahme – und im Prüfverfahren ein Haftungsrisiko für den Geschäftsführer persönlich.
Schritt 4: Konsultation des Datenschutzbeauftragten und ggf. der Aufsichtsbehörde
Sofern ein Datenschutzbeauftragter (DSB) bestellt ist, ist dieser gemäß Art. 35 Abs. 2 DSGVO bei der Durchführung der DSFA hinzuzuziehen. Seine Einschätzung ist zu dokumentieren, auch wenn der Verantwortliche von ihr abweicht. In der Praxis empfiehlt sich eine frühzeitige Einbindung bereits beim Screening, nicht erst nach Fertigstellung des Entwurfs.
Bleibt nach Abschluss der DSFA ein hohes Risiko bestehen, ist vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde zu konsultieren (Art. 36 Abs. 1 DSGVO). Die Behörde hat dann eine Bearbeitungsfrist von acht Wochen, die sich um weitere sechs Wochen verlängern kann. In besonders komplexen Fällen empfehlen wir, die Konsultation anwaltlich vorzubereiten, um Nachfragen der Behörde strukturiert beantworten zu können und den Prozess nicht unnötig zu verzögern.
Wo kein DSB bestellt ist – was in vielen kleineren Mittelständlern der Fall ist –, tritt der Verantwortliche selbst in diese Koordinierungsrolle. Das erhöht das persönliche Haftungsrisiko des Geschäftsführers erheblich, denn Fehler in der DSFA werden ihm direkt zugerechnet.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen, das ein KI-gestütztes Empfehlungssystem zur personalisierten Kundenansprache einführen wollte. Das System verknüpfte Kaufhistorie, Standortdaten aus der App und demografische Merkmale zu individuellen Profilen. Ausgangslage: Das Unternehmen hatte eine interne Einschätzung vorgenommen, die zum Ergebnis kam, keine DSFA sei erforderlich – da es sich um „normale" Marketingautomatisierung handele. Vorgehen: Die Kanzlei prüfte die Einschätzung anhand der EDSA-Kriterien und stellte fest, dass die Kombination aus systematischem Profiling, umfangreicher Verarbeitung und innovativer KI-Technologie mindestens zwei der Schwellenwertkriterien erfüllte. Es wurde eine vollständige DSFA nach Art. 35 DSGVO durchgeführt, einschließlich Risikoanalyse und Maßnahmenkatalog. Ergebnis: Das System konnte nach Anpassung der Datenminimierungsmaßnahmen und Einführung einer Opt-in-Einwilligung für das Standort-Tracking datenschutzkonform in Betrieb genommen werden – ohne behördliche Konsultation, da das Restrisiko nach Implementierung der Maßnahmen auf ein vertretbares Niveau gesenkt wurde.
Schritt 5: Dokumentation, Überprüfung und laufende Pflege
Die abgeschlossene DSFA ist schriftlich zu dokumentieren und auf Verlangen der Aufsichtsbehörde bereitzustellen. Art. 35 Abs. 7 DSGVO legt die Mindestinhalte fest: Beschreibung der Verarbeitungsvorgänge und Zwecke, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Risikobewertung sowie die geplanten Abhilfemaßnahmen. Diese Vorgaben sind als Mindeststandard zu verstehen, nicht als abschließende Liste.
Entscheidend und oft vernachlässigt: Die DSFA ist kein einmaliges Dokument, sondern ein lebendiges Instrument. Art. 35 Abs. 11 DSGVO schreibt eine Überprüfungspflicht vor, wenn sich die mit der Verarbeitungstätigkeit verbundenen Risiken ändern. Das ist etwa der Fall bei einer Erweiterung des Verarbeitungsumfangs, einem Systemwechsel, einer Änderung der Rechtsgrundlage oder einer neuen Gefährdungslage. In der Praxis empfiehlt sich eine mindestens jährliche Review-Runde im Datenschutz-Governance-Prozess. Eine nicht aktualisierte DSFA kann bei einer Prüfung durch die Aufsichtsbehörde denselben Mangel begründen wie eine fehlende DSFA.
Verknüpfen Sie die DSFA außerdem mit Ihrem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO und dem Datenpannen-Management. Kommt es zu einem Sicherheitsvorfall, ist die DSFA das zentrale Dokument, um zu beurteilen, ob das eingetretene Risiko dem bewerteten Restrisiko entspricht oder ob eine Meldepflicht binnen 72 Stunden nach Art. 33 DSGVO ausgelöst wird.
Welche Haftungsrisiken tragen Geschäftsführer persönlich?
Für Geschäftsführer hat das Unterlassen einer gebotenen DSFA zwei Haftungsdimensionen. Die erste ist die Außenhaftung gegenüber der Aufsichtsbehörde: Nach Art. 83 Abs. 4 DSGVO können Verstöße gegen die Pflicht zur Durchführung einer DSFA nach Art. 35 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes geahndet werden. Verstöße gegen grundlegende Verarbeitungsgrundsätze, die im Zusammenhang mit einer unterlassenen DSFA stehen, können sogar den höheren Rahmen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes auslösen.
Die zweite Dimension ist die Innenhaftung: Ein Geschäftsführer, der trotz erkennbarer DSFA-Pflicht keine Prüfung initiiert und dem Unternehmen dadurch ein Bußgeld oder Schadenersatzansprüche Betroffener nach Art. 82 DSGVO verursacht, kann nach § 43 GmbHG persönlich in Regress genommen werden. Die Frage, ob der Geschäftsführer die notwendige Sorgfalt angewandt hat, beantwortet sich nach dem Stand der Technik und der behördlichen Praxis – nicht nach dem, was im Unternehmen bisher üblich war.
Wie geht man damit um? Die Antwort liegt nicht in der Delegation an den DSB allein. Der Verantwortliche bleibt auch bei Bestellung eines DSB der Haftungsadressat. Etablieren Sie stattdessen einen strukturierten Prozess, in dem DSFA-Pflichten bei jedem neuen Verarbeitungsvorhaben systematisch geprüft werden – idealerweise als Teil eines Datenschutzmanagementsystems (DSMS), das mit dem Projektmanagement verzahnt ist.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Verarbeitungstätigkeiten, der eingesetzten Systeme und der aktuellen Behördenpraxis in Ihrer Jurisdiktion. Für eine erste Durchsicht Ihrer DSFA-Dokumentation oder Ihrer Verarbeitungstätigkeiten erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur Datenschutz-Folgenabschätzung
Was ist der Unterschied zwischen einer DSFA und dem Verzeichnis der Verarbeitungstätigkeiten (VVT)?
Das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentiert alle Verarbeitungsvorgänge im Unternehmen – es ist eine fortlaufende Inventarliste. Die DSFA nach Art. 35 DSGVO ist eine vertiefte, risikoorientierte Analyse, die nur für Verarbeitungstätigkeiten mit voraussichtlich hohem Risiko durchgeführt werden muss. Beide Dokumente ergänzen sich: Das VVT benennt die Verarbeitungstätigkeit, die DSFA bewertet ihre Risikolage. Eine DSFA ersetzt das VVT nicht, sondern wird in der Regel dort referenziert.
Muss ich eine DSFA durchführen, wenn ich bereits einen Auftragsverarbeiter einsetze?
Ja, die Einschaltung eines Auftragsverarbeiters entbindet Sie nicht von der DSFA-Pflicht. Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO bleiben Sie als auftraggebendes Unternehmen. Der Auftragsverarbeiter kann bei der technischen Beschreibung und der Risikoanalyse unterstützen – er muss Ihnen die erforderlichen Informationen nach Art. 28 Abs. 3 lit. f DSGVO bereitstellen –, die Verantwortung für die DSFA liegt jedoch beim Verantwortlichen. Fehler des Auftragsverarbeiters, die Sie bei sorgfältiger Prüfung hätten erkennen können, gehen zu Ihren Lasten.
Welche Folgen hat es, wenn eine DSFA unterlassen wurde und die Verarbeitung bereits läuft?
Das Unterlassen einer gebotenen DSFA ist ein bußgeldbewehrter Verstoß nach Art. 83 Abs. 4 DSGVO. Wird der Verstoß durch eine Behördenprüfung oder einen Datenschutzvorfall aufgedeckt, kann die Aufsichtsbehörde neben dem Bußgeld die Aussetzung oder das Verbot der Verarbeitungstätigkeit anordnen. Erstattet werden kann die unterlassene DSFA nachträglich, was die Situation – wenn es gelingt, ein vertretbares Restrisiko zu belegen – zumindest für die Fortführung der Verarbeitung verbessert. Die anwaltliche Begleitung dieser Nachholung ist dringend zu empfehlen, da eine fehlerhafte nachträgliche DSFA die behördliche Situation weiter verschlechtern kann.
Wann muss die Aufsichtsbehörde vor Beginn der Verarbeitung konsultiert werden?
Die vorherige Konsultation nach Art. 36 DSGVO ist dann erforderlich, wenn die DSFA ergibt, dass das verbleibende Restrisiko trotz aller geplanten Maßnahmen noch als hoch einzustufen ist und der Verantwortliche keine Möglichkeit sieht, dieses Risiko auf ein vertretbares Maß zu reduzieren. Die Aufsichtsbehörde hat dann eine Bearbeitungsfrist von acht Wochen, die in komplexen Fällen verlängerbar ist. Ohne behördliche Freigabe darf die Verarbeitung in diesem Fall nicht aufgenommen werden. In der Praxis sollte die Schwelle zur Konsultationspflicht sorgfältig bewertet werden – wer zu früh konsultiert, erzeugt behördliche Aufmerksamkeit; wer zu spät oder gar nicht konsultiert, trägt das volle Bußgeldrisiko.
Gilt die DSFA-Pflicht auch für bestehende Verarbeitungstätigkeiten?
Grundsätzlich wurden Verarbeitungstätigkeiten, die vor dem Geltungsbeginn der DSGVO am 25. Mai 2018 bereits liefen, von den Aufsichtsbehörden als übergangsweise nicht DSFA-pflichtig eingestuft, sofern keine wesentliche Änderung vorgenommen wurde. Sobald jedoch eine wesentliche Änderung – etwa eine neue Zweckbestimmung, der Einsatz neuer Technologien oder eine erhebliche Ausweitung des Verarbeitungsumfangs – stattfindet, entsteht die DSFA-Pflicht neu. In der Praxis empfiehlt sich eine proaktive Überprüfung aller Hochrisiko-Verarbeitungstätigkeiten, auch wenn sie vor 2018 begonnen haben, da die Behörden im Prüffall keine Bestandsschutzlogik anwenden.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der geplanten Verarbeitungsvorgänge und der aktuellen Behördenpraxis. Für eine erste Durchsicht Ihrer DSFA-Dokumentation oder Ihrer Verarbeitungstätigkeiten wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.