Ein mittelständisches Unternehmen führt ein neues HR-System ein, das Leistungsdaten von mehreren Hundert Mitarbeitern automatisiert auswertet. Der Geschäftsführer fragt seinen IT-Leiter, ob eine Datenschutz-Folgenabschätzung erforderlich ist – und erhält ein Achselzucken. Wochen später meldet sich die zuständige Aufsichtsbehörde mit einem förmlichen Auskunftsverlangen. Die Situation ist nicht hypothetisch: In der Mandatspraxis begegnet uns dieses Muster regelmäßig.
Die Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO zwingend vorgeschrieben, sobald eine Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Fehlt die DSFA oder weist sie methodische Mängel auf, drohen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes sowie Anordnungen der Datenschutzbehörde, die den Betrieb der betroffenen Systeme faktisch zum Erliegen bringen können. Für Geschäftsführer im Mittelstand bedeutet das: Die DSFA ist kein bürokratischer Formalismus, sondern ein Haftungsthema.
Dieser Beitrag analysiert den Rechtsrahmen des Art. 35 DSGVO, erläutert die Auslösetatbestände, das methodisch gebotene Vorgehen und die konkreten Handlungsoptionen für mittelständische Unternehmen – einschließlich der Konsequenzen bei unterlassener oder fehlerhafter Durchführung.
Was ist eine Datenschutz-Folgenabschätzung, und was verlangt Art. 35 DSGVO?
Die DSFA ist ein strukturiertes Risikoanalyseverfahren: Bevor eine neue oder wesentlich veränderte Verarbeitungstätigkeit aufgenommen wird, muss der Verantwortliche prüfen, ob diese Tätigkeit voraussichtlich ein hohes Risiko für betroffene Personen erzeugt – und wenn ja, dieses Risiko systematisch beschreiben, bewerten und mitigieren. Art. 35 Abs. 1 DSGVO formuliert die Pflicht präzise: „Hat eine Form der Verarbeitung … voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch."
Der Begriff „hohes Risiko" ist nicht abschließend legaldefiniert. Art. 35 Abs. 3 DSGVO benennt drei Regelbeispiele: systematische und umfassende Bewertung persönlicher Aspekte mittels automatisierter Verarbeitung einschließlich Profiling; großangelegte Verarbeitung besonderer Kategorien nach Art. 9 DSGVO; systematische Überwachung öffentlich zugänglicher Bereiche. Darüber hinaus veröffentlichen die nationalen Aufsichtsbehörden sogenannte „Muss-Listen" nach Art. 35 Abs. 4 DSGVO, die konkrete Verarbeitungstypen aufführen, bei denen stets eine DSFA durchzuführen ist. Die deutsche Datenschutzkonferenz (DSK) hat eine entsprechende Liste erarbeitet; sie ist für in Deutschland tätige Verantwortliche maßgeblich.
Wichtig für Geschäftsführer: Die Pflicht trifft den Verantwortlichen selbst. Eine vollständige Delegation an den Datenschutzbeauftragten ist rechtlich nicht möglich – dieser ist nach Art. 35 Abs. 2 DSGVO lediglich zu konsultieren, trägt aber keine eigene DSFA-Verantwortung. Die Geschäftsführerhaftung bleibt unberührt.
Wann löst eine Verarbeitungstätigkeit die DSFA-Pflicht aus?
Die Auslösefrage ist in der Praxis die kritischste: Viele Unternehmen gehen zu Unrecht davon aus, dass nur spektakuläre Hochrisikoverarbeitungen betroffen seien. Nach unserer Erfahrung unterschätzt gerade der Mittelstand systematisch, wie schnell der Schwellenwert „hohes Risiko" erreicht ist.
Die Datenschutzaufsichtsbehörden und die Artikel-29-Arbeitsgruppe (heute Europäischer Datenschutzausschuss, EDSA) haben neun Risikokriteriengrupppen entwickelt. Liegen zwei oder mehr dieser Kriterien vor, ist regelmäßig von einem hohen Risiko auszugehen:
- Bewertung oder Einstufung von Personen (Scoring, Profiling)
- Automatisierte Entscheidungsfindung mit Rechtswirkung oder erheblicher Beeinträchtigung
- Systematische Überwachung von Personen
- Verarbeitung sensibler oder höchstpersönlicher Daten (Art. 9, Art. 10 DSGVO)
- Großangelegte Datenverarbeitung
- Abgleich oder Zusammenführung von Datensätzen
- Daten über schutzbedürftige Personen (Kinder, Patienten, Arbeitnehmer)
- Einsatz innovativer Technologien oder Lösungen
- Verarbeitung, die eine Ausübung von Rechten oder die Inanspruchnahme von Dienstleistungen verhindert
Konkretes Beispiel aus der Mandatspraxis: Ein Unternehmen mit ca. 200 Mitarbeitern führt ein KI-gestütztes Bewerbermanagementsystem ein, das Lebensläufe automatisiert rankt. Bereits zwei Kriterien greifen gleichzeitig – automatisierte Entscheidungsfindung mit erheblicher Beeinträchtigung und Verarbeitung von Daten über schutzbedürftige Personen (Bewerber als typisch schwächere Partei). Die DSFA-Pflicht entsteht zwingend, noch bevor das System produktiv geht.
Ebenso relevant: Bestehende Systeme, die wesentlich verändert werden. Wer sein CRM-System um Verhaltensanalyse-Module erweitert, muss prüfen, ob die Schwelle nunmehr überschritten wird – auch wenn das ursprüngliche System keine DSFA erforderte.
Welche methodischen Anforderungen stellt Art. 35 DSGVO an den Inhalt der DSFA?
Art. 35 Abs. 7 DSGVO definiert den Mindestinhalt einer DSFA abschließend – und wer diesen Katalog unterschreitet, riskiert eine Beanstandung durch die Aufsichtsbehörde, selbst wenn eine DSFA formal erstellt wurde. Die vier Pflichtelemente sind:
- Systematische Beschreibung der geplanten Verarbeitungsvorgänge und Verarbeitungszwecke, einschließlich des berechtigten Interesses des Verantwortlichen.
- Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck.
- Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen.
- Darstellung der geplanten Abhilfemaßnahmen einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren.
In der Praxis erweist sich die Risikobewertung als methodisch anspruchsvollstes Element. Zu bewerten sind Eintrittswahrscheinlichkeit und Schwere möglicher Schäden – Identitätsdiebstahl, Diskriminierung, finanzieller Verlust, Rufschädigung, physische Schäden oder gesellschaftliche Nachteile. Eine bloße Auflistung von Risiken ohne Bewertungsmaßstab genügt nicht. Empfehlenswert ist eine skalierte Risikomatrix, die Eintrittswahrscheinlichkeit und Schadensschwere qualitativ oder quantitativ kombiniert.
Darüber hinaus muss der Datenschutzbeauftragte gemäß Art. 35 Abs. 2 DSGVO konsultiert werden. Sofern vorhanden, sollte auch die Stellungnahme der betroffenen Personen oder ihrer Vertreter eingeholt werden (Art. 35 Abs. 9 DSGVO) – in der Praxis insbesondere bei Arbeitnehmerverarbeitungen über den Betriebsrat. Nach unserer Erfahrung wird dieser Schritt von mittelständischen Unternehmen am häufigsten übersprungen, obwohl Aufsichtsbehörden ihn zunehmend prüfen.
Was gilt, wenn die DSFA ergibt, dass das Restrisiko nicht beherrschbar ist?
Die DSFA führt nicht immer zu einem grünen Ampellicht. Ergibt die Abschätzung, dass die geplante Verarbeitung trotz aller Schutzmaßnahmen ein hohes Restrisiko aufweist, trifft den Verantwortlichen nach Art. 36 Abs. 1 DSGVO eine Konsultationspflicht gegenüber der zuständigen Aufsichtsbehörde – noch vor Beginn der Verarbeitung. Das ist der härteste Eingriff, den die DSGVO im Rahmen der DSFA vorsieht: Die Datenschutzbehörde kann im Rahmen der vorherigen Konsultation eine förmliche schriftliche Warnung ausgeben, Empfehlungen erteilen oder die Verarbeitung untersagen.
Die Frist für die Behörde beträgt nach Art. 36 Abs. 2 DSGVO acht Wochen, die um weitere sechs Wochen verlängert werden kann. In besonders komplexen Fällen ist diese Gesamtfrist von vierzehn Wochen für ein Unternehmen, das ein Projekt unter Termindruck umsetzt, wirtschaftlich erheblich. Geschäftsführer sollten daher die DSFA nicht als formales Abschluss-Dokument betrachten, sondern als Frühwarnsystem, das möglichst früh im Projektplanungsprozess aktiviert wird.
Kann das Risiko durch organisatorische oder technische Maßnahmen auf ein vertretbares Maß reduziert werden – etwa durch Pseudonymisierung, Datensparsamkeit, Zugriffskonzepte, Verschlüsselung – ist eine Konsultation nicht erforderlich. In diesem Fall dokumentiert die DSFA die ergriffenen Maßnahmen und deren Wirksamkeit. Die Dokumentation muss aktuell gehalten werden: Bei wesentlichen Änderungen der Verarbeitung ist eine Überprüfung der DSFA zwingend.
Aus der Mandatspraxis: Die Kanzlei beriet ein mittelständisches Logistikunternehmen aus dem Bereich Transport und Warenverteilung, das eine Echtzeit-Telematiklösung zur Fahrerüberwachung einführen wollte. Die Lösung erfasste Standortdaten, Bremsverhalten, Lenkmuster und Ruhezeiten mehrerer hundert Fahrer kontinuierlich. Ausgangslage: Der Verantwortliche hatte keine DSFA durchgeführt, da das System als „reine Fuhrparkoptimierung" eingestuft worden war. Vorgehen: Im Rahmen des Mandats wurde zunächst eine Risikobewertung nach den neun EDSA-Kriterien vorgenommen; es lagen vier Kriterien kumulativ vor – systematische Überwachung, Verarbeitung von Standortdaten als höchstpersönlichen Daten, Auswirkung auf Arbeitnehmer als schutzbedürftige Personengruppe sowie Einsatz einer innovativen Technologielösung. Die DSFA wurde nachgeholt und mit dem Betriebsrat abgestimmt; technische Maßnahmen (Anonymisierung außerhalb der Arbeitszeit, rollenbasierte Zugriffsrechte) reduzierten das Restrisiko auf ein vertretbares Maß. Eine vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO war damit nicht erforderlich. Ergebnis: Das System konnte in Betrieb genommen werden; die Aufsichtsbehörde bestätigte im Rahmen einer späteren Regelüberprüfung die Ordnungsmäßigkeit der Dokumentation.
Welche Bußgeldrisiken und behördlichen Befugnisse drohen bei Verstößen?
Fehlt eine erforderliche DSFA vollständig, ist ein Bußgeld nach Art. 83 Abs. 4 lit. a DSGVO möglich. Der Bußgeldrahmen beträgt bis zu 10 Mio. € oder bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Handelt es sich um einen Verstoß gegen grundlegende Verarbeitungspflichten oder liegt ein besonders schwerwiegender Verstoß vor, kann die Aufsichtsbehörde auch den schärferen Rahmen des Art. 83 Abs. 5 DSGVO anwenden: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.
Für den deutschen Mittelstand bedeutsamer als der abstrakte Bußgeldrahmen sind häufig die operativen Konsequenzen: Die Datenschutzbehörde kann nach Art. 58 Abs. 2 DSGVO eine vorübergehende oder dauerhafte Einschränkung der Verarbeitung oder sogar ein Verarbeitungsverbot verhängen. Für ein Unternehmen, dessen Kernprozesse – etwa die automatisierte Kreditvergabe, das Bewerbermanagement oder die Mitarbeiterüberwachung – auf dem betroffenen System basieren, bedeutet das einen unmittelbaren Betriebsausfall.
Hinzu kommt das Reputationsrisiko. Datenschutzbehörden sind nach Art. 83 Abs. 1 DSGVO verpflichtet, bei der Verhängung von Bußgeldern auf Effektivität, Verhältnismäßigkeit und Abschreckungswirkung zu achten. In der Praxis beobachten wir, dass Behörden bei kooperativen Unternehmen, die Verstöße eigeninitiativ melden und dokumentieren, deutlich moderater vorgehen als bei solchen, bei denen Mängel im Rahmen einer Prüfung aufgedeckt werden. Proaktives Handeln zahlt sich aus – rechtlich und wirtschaftlich.
Wie läuft eine DSFA methodisch in der Praxis ab? Ein strukturierter Fahrplan
Eine methodisch belastbare DSFA folgt einem klar definierten Ablauf. Der folgende Fahrplan orientiert sich an den Leitlinien des EDSA (WP248 rev. 01) und den Anforderungen der deutschen Aufsichtsbehörden.
Schritt 1: Screening und Auslöserprüfung. Vor jeder neuen Verarbeitungstätigkeit oder wesentlichen Änderung: Prüfung anhand der DSK-Muss-Liste und der neun EDSA-Kriterien. Ergibt sich mindestens ein Muss-Kriterium oder kumulieren zwei oder mehr Kann-Kriterien, ist die DSFA zwingend.
Schritt 2: Projektbeschreibung und Datenflussanalyse. Vollständige Beschreibung der Verarbeitungstätigkeit: Welche Daten, welche Kategorien, welche Mengen, welche Systeme, welche Empfänger, welche Speicherfristen? In dieser Phase empfiehlt sich die Erstellung eines Datenflussdiagramms.
Schritt 3: Notwendigkeits- und Verhältnismäßigkeitsprüfung. Ist die Verarbeitung für den verfolgten Zweck tatsächlich erforderlich? Gibt es mildere, datenschutzfreundlichere Alternativen? Diese Prüfung ist nicht nur formale Pflicht, sondern ein wirksames Instrument zur Reduktion des Verarbeitungsumfangs.
Schritt 4: Risikoidentifikation und -bewertung. Systematische Identifikation von Bedrohungsszenarien (unbefugter Zugriff, Datenverlust, Zweckentfremdung, Diskriminierung). Bewertung nach Eintrittswahrscheinlichkeit und Schadensschwere. Nutzung einer dokumentierten Risikomatrix.
Schritt 5: Maßnahmendefinition und Restrisikobewertung. Für jedes identifizierte Risiko: technische und organisatorische Maßnahmen (TOMs) bestimmen. Anschließend Restrisikobewertung. Liegt das Restrisiko noch im hohen Bereich: Konsultation nach Art. 36 DSGVO einleiten.
Schritt 6: Konsultation des Datenschutzbeauftragten gemäß Art. 35 Abs. 2 DSGVO; ggf. Einbeziehung des Betriebsrats nach § 87 BetrVG.
Schritt 7: Dokumentation, Freigabe und Überprüfungszyklus. Die DSFA wird dokumentiert, von der Geschäftsführung freigegeben und in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO eingebunden. Regelmäßige Überprüfung bei wesentlichen Änderungen.
Wie unterscheiden sich die Konstellationen je nach Unternehmensstruktur und Verarbeitungstyp?
Nicht jede DSFA ist gleich komplex. Die folgende Einschätzungsmatrix soll Geschäftsführern helfen, den erforderlichen Aufwand vorab abzuschätzen – ohne Anspruch auf Vollständigkeit im Einzelfall.
Konstellation A – Internes HR-System mit automatisiertem Scoring (Mittelstand, > 50 Mitarbeiter): Mehrere EDSA-Kriterien kumulieren. Aufwand: hoch. DSFA-Pflicht: zwingend. Besonderheit: Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG einzubeziehen; DSFA ohne Betriebsratseinbindung ist in dieser Konstellation unvollständig.
Konstellation B – Cloud-Verarbeitung von Kundendaten ohne Profiling (KMU, B2B-Dienstleister): Einzelnes EDSA-Kriterium möglicherweise erfüllt (großangelegte Verarbeitung je nach Volumen). Aufwand: mittel. DSFA-Pflicht: von Einzelumständen abhängig; sorgfältige Screeningdokumentation zwingend.
Konstellation C – Videoüberwachung im Einzelhandel (öffentlich zugänglicher Bereich): Art. 35 Abs. 3 lit. c DSGVO greift direkt – systematische Überwachung öffentlich zugänglicher Bereiche ist ein Regelbeispiel. DSFA-Pflicht: zwingend. Aufwand: in der Regel moderat, sofern kein Gesichtserkennen oder Verhaltensanalyse eingesetzt wird.
Konstellation D – Einführung eines KI-basierten Kundenbewertungssystems mit Kreditentscheidung: Automatisierte Entscheidungsfindung mit erheblicher Beeinträchtigung (Art. 35 Abs. 3 lit. a DSGVO). DSFA-Pflicht: zwingend. Aufwand: sehr hoch; ggf. Konsultation nach Art. 36 DSGVO erforderlich. Zusätzlich: Anforderungen der KI-Verordnung (AI Act) ab Geltung zu prüfen.
In allen Fällen gilt: Die Entscheidung, ob eine DSFA erforderlich ist, muss dokumentiert werden – auch wenn das Ergebnis lautet, dass keine DSFA notwendig ist. Ein nicht dokumentiertes Screening schützt nicht vor behördlichen Beanstandungen.
Welche besonderen Anforderungen gelten bei grenzüberschreitenden Verarbeitungen und Drittlandtransfers?
Mittelständische Unternehmen nutzen zunehmend Cloud-Dienste, die Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten – in den USA, in Asien oder anderswo. Für diese Konstellationen erhöht sich die DSFA-Komplexität erheblich: Zusätzlich zu den regulären Risikobewertungen ist zu prüfen, ob das Drittland ein angemessenes Datenschutzniveau bietet (Art. 45 DSGVO), und falls nicht, welche geeigneten Garantien nach Art. 46 DSGVO bestehen – Standardvertragsklauseln, verbindliche Unternehmensregeln oder Ausnahmen nach Art. 49 DSGVO.
Der Europäische Gerichtshof hat in seiner Rechtsprechung klargestellt, dass bei Drittlandtransfers in Länder ohne Angemessenheitsbeschluss eine Transfer Impact Assessment (TIA) – eine Übertragungsfolgenabschätzung – durchzuführen ist. Die TIA ist kein formell eigenständiges Instrument der DSGVO, wird aber vom EDSA als Bestandteil der DSFA oder als ergänzendes Dokument im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO gefordert. Für den Verantwortlichen bedeutet das eine weitere Dokumentationsanforderung, die organisatorisch vorzuplanen ist.
Bei grenzüberschreitenden Verarbeitungen mit Auswirkungen in mehreren EU-Mitgliedstaaten ist das One-Stop-Shop-Prinzip nach Art. 56 DSGVO zu beachten: Zuständige federführende Aufsichtsbehörde ist die Behörde des Mitgliedstaats, in dem der Verantwortliche seine Hauptniederlassung hat. In Deutschland wäre das in der Regel die Landesdatenschutzbehörde am Sitz des Unternehmens. Bei grenzüberschreitenden Sachverhalten arbeiten wir mit qualifizierten Berufsträgern in der jeweiligen Jurisdiktion zusammen.
Typische Fehler bei der DSFA und wie sie zu vermeiden sind
In der Beratungspraxis beobachten wir ein wiederkehrendes Muster an Fehlern, die mittelständischen Unternehmen bei der DSFA unterlaufen. Diese Fehler sind nicht nur formal problematisch – sie können im Behördenverfahren als Indiz für strukturelle Datenschutzmängel gewertet werden.
Fehler 1: DSFA nachträglich erstellt. Die DSFA ist als Vorab-Abschätzung konzipiert (Art. 35 Abs. 1 DSGVO: „vorab"). Eine DSFA, die erst nach Inbetriebnahme des Systems erstellt wird, ist formal nicht ordnungsgemäß. Aufsichtsbehörden haben in dieser Konstellation bereits Bußgelder verhängt.
Fehler 2: DSFA als einmaliger Akt verstanden. Die DSFA ist kein Einmaldokument, sondern muss aktuell gehalten und bei wesentlichen Änderungen überprüft werden. Wer ein System nach drei Jahren grundlegend modernisiert, ohne die DSFA anzupassen, riskiert eine Beanstandung.
Fehler 3: Unvollständige Beschreibung der Datenflüsse. Insbesondere bei Einsatz von Auftragsverarbeitern oder Sub-Dienstleistern werden Datenflüsse häufig nur unvollständig erfasst. Die DSFA muss alle an der Verarbeitung beteiligten Stellen und Systeme abbilden.
Fehler 4: Risikoanalyse ohne Maßnahmen. Eine DSFA, die Risiken benennt, aber keine konkreten Abhilfemaßnahmen dokumentiert, genügt den Anforderungen des Art. 35 Abs. 7 lit. d DSGVO nicht.
Fehler 5: Kein Datenschutzbeauftragter konsultiert. Besteht eine Pflicht zur Bestellung eines Datenschutzbeauftragten (Art. 37 DSGVO) und wurde dieser nicht konsultiert, ist die formale Anforderung des Art. 35 Abs. 2 DSGVO verletzt – unabhängig vom materiellen Inhalt der DSFA.
Ist die DSFA aufgrund eines dieser Fehler angreifbar, empfiehlt es sich, sie unverzüglich nachzubessern und die Überarbeitung zu dokumentieren. Aus Haftungssicht ist ein proaktiv korrigierter Fehler deutlich günstiger als ein Fehler, der erst im Rahmen eines behördlichen Verfahrens aufgedeckt wird.
Die vorstehende Darstellung betrifft die wesentlichen Regelkonstellationen. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der eingesetzten Systeme und der einschlägigen Behördenpraxis. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufig gestellte Fragen zur Datenschutz-Folgenabschätzung
Wann muss eine Datenschutz-Folgenabschätzung durchgeführt werden?
Eine DSFA ist nach Art. 35 Abs. 1 DSGVO durchzuführen, wenn eine Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Anhaltspunkte sind die drei Regelbeispiele des Art. 35 Abs. 3 DSGVO sowie die von der nationalen Aufsichtsbehörde veröffentlichten Muss-Listen. Kumulieren zwei oder mehr der neun EDSA-Risikokriterien, ist regelmäßig von einem hohen Risiko auszugehen. Die DSFA muss zwingend vor Beginn der Verarbeitung abgeschlossen sein.
Was passiert, wenn keine DSFA durchgeführt wird, obwohl sie erforderlich wäre?
Das Unterlassen einer erforderlichen DSFA ist ein bußgeldbewehrter Verstoß nach Art. 83 Abs. 4 lit. a DSGVO. Der Bußgeldrahmen beträgt bis zu 10 Mio. € oder bis zu 2 % des weltweiten Jahresumsatzes. Darüber hinaus kann die Aufsichtsbehörde nach Art. 58 Abs. 2 DSGVO die betreffende Verarbeitung vorübergehend einschränken oder untersagen – mit unmittelbaren betrieblichen Auswirkungen.
Wer ist für die Durchführung der DSFA verantwortlich?
Verantwortlich ist der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO – in der Praxis die Geschäftsführung. Der Datenschutzbeauftragte ist nach Art. 35 Abs. 2 DSGVO zu konsultieren, trägt aber keine eigene DSFA-Pflicht. Eine vollständige Delegation an Dritte – etwa an den IT-Dienstleister oder den externen Datenschutzbeauftragten – schließt die Haftung der Geschäftsführung nicht aus.
Wie lange ist eine DSFA gültig?
Die DSGVO legt keine feste Gültigkeitsdauer fest. Die DSFA muss jedoch überprüft und aktualisiert werden, wenn sich die Verarbeitungstätigkeit wesentlich ändert. Als Praxisregel empfiehlt sich eine Überprüfung mindestens alle zwei bis drei Jahre sowie anlässlich jeder wesentlichen System- oder Prozessänderung. Aufsichtsbehörden erwarten eine dokumentierte Überprüfungshistorie.
Muss die DSFA der Aufsichtsbehörde proaktiv übermittelt werden?
Nein – die DSFA ist grundsätzlich intern zu dokumentieren und auf Anfrage der Aufsichtsbehörde vorzulegen. Eine proaktive Übermittlung ist nur in zwei Fällen erforderlich: wenn die DSFA ein hohes Restrisiko ergibt und eine vorherige Konsultation nach Art. 36 DSGVO ausgelöst wird, oder wenn die Aufsichtsbehörde im Rahmen einer Prüfung oder Beschwerde die Vorlage anordnet.
Gilt die DSFA-Pflicht auch für kleine und mittelständische Unternehmen?
Ja. Die DSGVO kennt keine allgemeine KMU-Ausnahme für die DSFA-Pflicht. Entscheidend ist ausschließlich, ob die Verarbeitungstätigkeit voraussichtlich ein hohes Risiko erzeugt – unabhängig von der Unternehmensgröße. Lediglich bei einzelnen Pflichten, etwa dem Verzeichnis der Verarbeitungstätigkeiten, bestehen begrenzte Erleichterungen für kleine Unternehmen; die DSFA-Pflicht nach Art. 35 DSGVO ist davon nicht erfasst.
Können Auftragsverarbeiter eine DSFA für den Verantwortlichen durchführen?
Auftragsverarbeiter können bei der Durchführung der DSFA unterstützen und die erforderlichen Informationen bereitstellen – die rechtliche Verantwortung für die DSFA verbleibt jedoch beim Verantwortlichen. Dieser kann die DSFA nicht auf den Auftragsverarbeiter übertragen. Bei der Auswahl eines Auftragsverarbeiters sollte geprüft werden, ob dieser die für die DSFA erforderlichen Informationen zur Verfügung stellt; dies ist im Auftragsverarbeitungsvertrag (AVV) zu regeln.
Die vorstehende Analyse gibt einen Überblick über die Rechtslage nach aktuellem Stand. Ihr konkretes Vorhaben erfordert die individuelle Prüfung Ihrer Systeme, Verarbeitungstätigkeiten und der einschlägigen Behördenpraxis. Zur Klärung, wie die DSFA-Pflicht auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.