Wann ist eine Datenschutz-Folgenabschätzung (DSFA) Pflicht?

Die Datenschutz-Folgenabschätzung (DSFA, englisch DPIA) ist ein in Art. 35 DSGVO vorgeschriebenes Verfahren zur Bewertung der Risiken einer geplanten Datenverarbeitung für die Rechte und Freiheiten natürlicher Personen. Sie muss vor Beginn der Verarbeitung durchgeführt werden und umfasst die Beschreibung der Verarbeitung, die Bewertung von Notwendigkeit und Verhältnismäßigkeit, die Risikoanalyse sowie die Festlegung von Schutzmaßnahmen.

Eine DSFA ist nach Art. 35 Abs. 3 DSGVO verpflichtend bei: systematischer und umfassender Bewertung persönlicher Aspekte durch automatisierte Verarbeitung einschließlich Profiling, umfangreicher Verarbeitung besonderer Datenkategorien (Art. 9) oder strafrechtlicher Daten (Art. 10) sowie systematischer Überwachung öffentlich zugänglicher Bereiche. Zusätzlich veröffentlichen die Aufsichtsbehörden sogenannte Positivlisten (Muss-Listen) mit Verarbeitungsvorgängen, die zwingend eine DSFA erfordern.

Die Schwellwertanalyse prüft anhand der 9 Kriterien der Art.-29-Datenschutzgruppe (WP 248), ob eine DSFA erforderlich ist. Dazu zählen: Bewertung oder Scoring, automatisierte Entscheidungsfindung mit rechtlicher Wirkung, systematische Überwachung, Verarbeitung sensibler Daten, umfangreiche Datenverarbeitung, Verknüpfung von Datensätzen, Daten schutzbedürftiger Personen, innovative Technologien und Verarbeitungen, die Betroffene an der Ausübung ihrer Rechte hindern. Treffen mindestens zwei Kriterien zu, ist eine DSFA in der Regel durchzuführen.

Eine DSFA umfasst vier Hauptschritte: 1) Beschreibung der Verarbeitungsvorgänge mit Zweck, Rechtsgrundlage und betroffenen Datenkategorien. 2) Bewertung der Notwendigkeit und Verhältnismäßigkeit im Hinblick auf den Verarbeitungszweck. 3) Risikobewertung, Identifikation und Einschätzung der Risiken für die Rechte der Betroffenen nach Eintrittswahrscheinlichkeit und Schwere. 4) Festlegung von Abhilfemaßnahmen, technisch-organisatorische Maßnahmen (TOM) zur Risikominimierung. Das Ergebnis wird dokumentiert und dem Datenschutzbeauftragten zur Stellungnahme vorgelegt.

Der Verantwortliche im Sinne der DSGVO (in der Regel die Geschäftsführung) trägt die Pflicht zur Durchführung der DSFA. Der Datenschutzbeauftragte (DSB) muss nach Art. 35 Abs. 2 DSGVO eingebunden werden und berät, führt die DSFA aber nicht selbst durch. Bei gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) sollte vertraglich geregelt werden, wer die DSFA durchführt.

Nach Art. 36 DSGVO ist eine vorherige Konsultation der Aufsichtsbehörde erforderlich, wenn die DSFA ergibt, dass trotz aller vorgesehenen Schutzmaßnahmen ein hohes Restrisiko für die Betroffenen verbleibt. Die Behörde kann innerhalb von acht Wochen Empfehlungen aussprechen oder die Verarbeitung untersagen.

Systeme mit künstlicher Intelligenz, die personenbezogene Daten verarbeiten, erfordern häufig sowohl eine DSFA nach Art. 35 DSGVO als auch eine Konformitätsbewertung nach dem EU AI Act. Besonders Hochrisiko-Systeme (Anhang III EU AI Act), etwa für Kreditscoring, biometrische Identifikation oder Personalauswahl, lösen in der Regel die DSFA-Pflicht aus, weil sie systematisches Profiling oder automatisierte Entscheidungen mit erheblicher Wirkung beinhalten.