Datenschutz-Folgenabschätzung (DSFA) – Was ist das und wann ist sie erforderlich?
Die Datenschutz-Folgenabschätzung (DSFA) ist ein zentrales Instrument der Datenschutz-Grundverordnung (DSGVO), das Unternehmen und Organisationen bei der Bewertung von Risiken für die Rechte und Freiheiten betroffener Personen unterstützt. Sie ist immer dann verpflichtend, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Privatsphäre der Betroffenen mit sich bringt.
Rechtliche Grundlage
Die DSFA ist in Art. 35 DSGVO geregelt. Sie dient dazu, risikobehaftete Verarbeitungen vor deren Einführung umfassend zu analysieren und geeignete Maßnahmen zur Risikominderung zu definieren. Ziel ist es, den Schutz personenbezogener Daten von Anfang an systematisch zu berücksichtigen – ganz im Sinne des „Privacy by Design“.
Wann ist eine DSFA erforderlich?
Eine Datenschutz-Folgenabschätzung muss insbesondere dann durchgeführt werden, wenn:
- eine systematische und umfassende Bewertung persönlicher Aspekte (z. B. durch Profiling) erfolgt,
- sensible Daten (z. B. Gesundheitsdaten, biometrische Daten) in großem Umfang verarbeitet werden,
- eine systematische Überwachung öffentlich zugänglicher Bereiche stattfindet (z. B. Videoüberwachung),
- oder wenn die Verarbeitung in einer von den Aufsichtsbehörden veröffentlichten Positivliste aufgeführt ist.
Ziel und Inhalte einer DSFA
Die DSFA verfolgt das Ziel, Risiken frühzeitig zu erkennen und diese durch technische und organisatorische Maßnahmen (TOMs) zu minimieren. Sie umfasst unter anderem:
- eine systematische Beschreibung der geplanten Verarbeitung,
- die Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung,
- eine Risikoanalyse für die Rechte und Freiheiten der betroffenen Personen,
- sowie die geplanten Maßnahmen zur Risikominderung.
Gegebenenfalls ist auch die Einbindung des/der Datenschutzbeauftragten sowie die Konsultation der Aufsichtsbehörde erforderlich.
Was passiert, wenn keine DSFA durchgeführt wird?
Wird eine DSFA trotz bestehender Pflicht unterlassen, drohen nicht nur erhebliche Bußgelder, sondern auch Reputationsschäden und rechtliche Konsequenzen. Daher ist eine frühzeitige und sorgfältige Durchführung unerlässlich – insbesondere bei innovativen Technologien, datenintensiven Projekten oder automatisierten Entscheidungsprozessen.
Fazit:
Die Datenschutz-Folgenabschätzung ist kein bürokratisches Hindernis, sondern ein wirkungsvolles Instrument zur Risikominimierung, Compliance-Sicherung und Vertrauensbildung. Unternehmen, die datenschutzrechtliche Anforderungen ernst nehmen, schaffen so die Grundlage für nachhaltige und rechtssichere Datenverarbeitung.
