Wann ist eine DSFA erforderlich?
Art. 35 DSGVO verlangt eine DSFA, wenn Art, Umfang, Umstände und Zwecke der Verarbeitung voraussichtlich ein hohes Risiko erzeugen. Besonders relevant sind umfangreiche Verarbeitung sensibler Daten, systematische Überwachung öffentlich zugänglicher Bereiche und umfassende automatisierte Bewertungen mit erheblicher Wirkung. Aufsichtsbehörden veröffentlichen Muss-Listen. Ein einzelnes Kriterium entscheidet nicht immer; Kombination, Betroffenenzahl, Technik und Eingriffsintensität sind gemeinsam zu bewerten.
Zeitpunkt und Verantwortlichkeit
Die Prüfung muss vor Beginn der risikoreichen Verarbeitung stattfinden und in Entwicklung sowie Beschaffung einfließen. Verantwortlich bleibt der Verantwortliche, auch wenn Datenschutzbeauftragte, Auftragsverarbeiter oder Berater mitwirken. Wesentliche Änderungen von Zweck, Datenumfang, Technik oder Bedrohungslage können eine Aktualisierung erfordern. Eine nachträglich erstellte Dokumentation kann Versäumnisse nicht vollständig heilen, hilft aber, Risiken künftig geordnet zu steuern.
Inhalt der Folgenabschätzung
Die DSFA beschreibt Verarbeitungsvorgänge und Zwecke, bewertet Notwendigkeit sowie Verhältnismäßigkeit, untersucht Risiken für Betroffene und legt Abhilfemaßnahmen fest. Dazu zählen Zugriffskonzepte, Verschlüsselung, Datenminimierung, Löschfristen, Transparenz und menschliche Kontrolle. Nicht nur Eintrittswahrscheinlichkeit, sondern auch Schadensschwere ist zu bewerten. Das Ergebnis muss nachvollziehbar zeigen, warum ein Risiko akzeptiert, reduziert oder durch eine andere Gestaltung vermieden wird.
Beteiligung und Konsultation
Der Datenschutzbeauftragte ist, soweit vorhanden, um Rat zu fragen. Je nach Vorhaben kann auch die Sicht betroffener Personen oder ihrer Vertretungen einzubeziehen sein, sofern dies angemessen ist und keine überwiegenden Schutzinteressen entgegenstehen. Bleibt trotz Maßnahmen ein hohes Risiko, muss vor Beginn der Verarbeitung die Aufsichtsbehörde nach Art. 36 DSGVO konsultiert werden. Diese Vorabkonsultation ersetzt nicht die eigene Risikoprüfung.
VG Wiesbaden zu Folgen eines Mangels
Das Verwaltungsgericht Wiesbaden entschied am 18. Dezember 2024, 6 K 1563/21.WI, dass das Fehlen oder ein Fehler der DSFA nicht für sich allein die materielle Rechtmäßigkeit der betreffenden Verarbeitung bestimmt. Verfahrenspflicht und Zulässigkeitsprüfung sind zu unterscheiden. Die Entscheidung entlastet Verantwortliche nicht: Ein DSFA-Verstoß kann aufsichtsrechtliche Maßnahmen und Bußgelder auslösen und zugleich ein Hinweis auf unzureichend beherrschte Risiken sein.
DSFA und technische Dokumentation
Eine wirksame DSFA ist kein allgemeines Datenschutzhandbuch. Sie muss das konkrete System, Datenflüsse, Akteure, Schnittstellen und Missbrauchsszenarien abbilden. Sicherheitskonzept, Verzeichnis von Verarbeitungstätigkeiten, Berechtigungsmatrix und Verträge mit Dienstleistern sollten widerspruchsfrei anschließen. Bei KI- oder Scoring-Systemen sind Datenquellen, Modellzweck, Fehlerraten, menschliche Kontrolle und mögliche diskriminierende Auswirkungen besonders sorgfältig zu dokumentieren.
Prüfung und Nachweis
Unternehmen sollten Schwellenwertprüfung und Entscheidung auch dann festhalten, wenn sie keine DSFA für nötig halten. Bei einer Kontrolle werden Projektunterlagen, Risikobewertungen, Freigaben, Stellungnahme des Datenschutzbeauftragten und umgesetzte Maßnahmen wichtig. Die DSFA ist regelmäßig zu überprüfen, insbesondere nach Sicherheitsvorfällen oder Funktionsänderungen. Ein klarer Maßnahmenplan mit Verantwortlichen und Terminen verhindert, dass erkannte Risiken nur auf dem Papier reduziert werden. Maßgeblich bleibt stets der konkrete Verarbeitungszweck. Antrag, Datensatz, technische Umsetzung und Kommunikation sollten deshalb in einer nachvollziehbaren Zeitlinie dokumentiert werden. Nur so lässt sich beurteilen, ob die gesetzlichen Voraussetzungen vorlagen, die Antwort vollständig war und Rechte anderer angemessen berücksichtigt wurden. Verantwortliche sollten außerdem festlegen, wer den Eingang bestätigt, Fachabteilungen einbindet, Fristen überwacht und die Entscheidung freigibt. Ein standardisierter Ablauf darf die Einzelfallprüfung nicht ersetzen. Abweichungen und offene Tatsachen müssen sichtbar bleiben, damit eine Aufsichtsbehörde oder ein Gericht die Entscheidung später nachvollziehen kann. Maßgeblich bleibt stets der konkrete Verarbeitungszweck. Antrag, Datensatz, technische Umsetzung und Kommunikation sollten deshalb in einer nachvollziehbaren Zeitlinie dokumentiert werden. Nur so lässt sich beurteilen, ob die gesetzlichen Voraussetzungen vorlagen, die Antwort vollständig war und Rechte anderer angemessen berücksichtigt wurden.