ENKontakt
Gilt fürEUDEAT

DSFA (Datenschutz-Folgenabschätzung)

Datenschutz-Folgenabschätzung nach Art. 35 DSGVO — Pflicht bei voraussichtlich hohem Risiko

· Kategorie: DSGVO · Compliance-Kit

TL;DR

Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt — z. B. systematische Bewertung, Verarbeitung sensibler Daten in großem Umfang, systematische Überwachung öffentlich zugänglicher Bereiche.

Was ist DSFA (Datenschutz-Folgenabschätzung)?

Die DSFA ist nicht für jede Verarbeitung Pflicht. Sie greift erst, wenn eine Schwellwertanalyse 'voraussichtlich hohes Risiko' indiziert. Die Aufsichtsbehörden veröffentlichen Muss-Listen (z. B. DSK 'Liste der Verarbeitungsvorgänge mit zwingender DSFA' 10/2018), die folgende Indikatoren nennen: systematische Bewertung, große Mengen sensibler Daten (Art. 9), systematische Überwachung, neue Technologien (KI, Biometrie), Vulnerable Personen (Kinder, Patienten), Datenübermittlung in Drittländer ohne Angemessenheitsbeschluss.

Inhalt einer DSFA (Art. 35 Abs. 7): Beschreibung der Verarbeitung, Notwendigkeitsprüfung, Risikobewertung, Maßnahmen zur Risikominderung.

DSFA in Deutschland und Österreich

Art. 35 und Art. 36 DSGVO gelten als unmittelbar anwendbares EU-Recht in Deutschland und Österreich wortgleich. Unterschiedlich sind nur die nationalen Muss- und Ausnahmelisten sowie die für die Konsultation nach Art. 36 zuständige Aufsichtsbehörde.

Deutschland

Maßgeblich ist die Muss-Liste der Datenschutzkonferenz (DSK, 'Liste der Verarbeitungsvorgänge, für die eine DSFA durchzuführen ist', 10/2018). Die Konsultation nach Art. 36 DSGVO richtet sich an die zuständige Landesdatenschutzbehörde, für Bundesstellen an die oder den BfDI.

Österreich

An die Stelle der DSK-Liste tritt die Verordnung der Datenschutzbehörde über Verarbeitungsvorgänge, für die eine DSFA durchzuführen ist (DSFA-V, BGBl. II Nr. 278/2018). Ergänzend bestimmt die Ausnahmen-Verordnung (DSFA-AV, BGBl. II Nr. 108/2018) als Whitelist, für welche Verarbeitungen keine DSFA erforderlich ist. Die Konsultation nach Art. 36 DSGVO richtet sich in Österreich an die Datenschutzbehörde.

Praxisbeispiel

Ein E-Commerce-Unternehmen führt ein KI-basiertes Empfehlungssystem ein, das Nutzungsmuster analysiert. Vor Inbetriebnahme wird eine DSFA durchgeführt:

  1. Systematische Beschreibung: welche Daten, woher, wofür, wie lange
  2. Notwendigkeitsprüfung: wäre weniger eingreifender Ansatz möglich?
  3. Risikobewertung: Profiling, Diskriminierungsrisiko, Zweckentfremdung
  4. Mitigation: Pseudonymisierung, Opt-out, Bias-Test, Aufbewahrungsfrist 90 Tage
  5. Konsultation der oder des Datenschutzbeauftragten, Information des Betriebsrats

Häufig gestellte Fragen

Wann ist eine DSFA für KI-Systeme zwingend?
Eine DSFA nach Art. 35 DSGVO ist auch bei KI-Systemen Pflicht, wenn die Verarbeitung — insbesondere bei Verwendung neuer Technologien — voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Davon zu unterscheiden ist die Grundrechte-Folgenabschätzung (FRIA, Art. 27 KI-VO): Sie gilt für Hochrisiko-KI nach Anhang III EU AI Act erst ab dem 2. Dezember 2027 (Art. 113 KI-VO i. d. F. der VO (EU) 2026/1744) und nur für bestimmte Betreiber — Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Systemen nach Anhang III Nummer 5 Buchstaben b und c. Am 2. Februar 2025 galten zunächst nur die Verbote nach Art. 5 und die KI-Kompetenz-Pflicht nach Art. 4, nicht Art. 27. Ist eine Pflicht der FRIA bereits durch eine DSFA erfüllt, kann die FRIA auf die einschlägigen Abschnitte dieser DSFA verweisen (Art. 27 Abs. 4 KI-VO).
Reicht eine einmalige DSFA?
Nein. Die DSFA ist ein lebendes Dokument: Der Verantwortliche überprüft erforderlichenfalls, ob die Verarbeitung gemäß der DSFA durchgeführt wird — zumindest, wenn sich das mit der Verarbeitung verbundene Risiko geändert hat (Art. 35 Abs. 11 DSGVO). Praxis-Rhythmus: Review alle 12 Monate (keine gesetzliche Frist).
Muss die Aufsichtsbehörde konsultiert werden?
Nur wenn die DSFA ein hohes Restrisiko ergibt, das nicht beherrschbar ist (Art. 36). Konsultationsdauer: 8 Wochen, verlängerbar.

Siehe auch

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.