Datenschutz-Folgenabschätzung: Wann Art. 35 DSGVO sie verlangt — und wie sie ohne Papierberg gelingt

Kaum ein DSGVO-Instrument hat einen schlechteren Ruf als die Datenschutz-Folgenabschätzung. In vielen Unternehmen gilt sie als das Bürokratiemonster schlechthin — und wird deshalb entweder gar nicht oder erst kurz vor Go-live durchgeführt, wenn am Projekt ohnehin nichts mehr zu ändern ist. Beides ist die teuerste Variante. Richtig eingesetzt ist die DSFA kein Compliance-Ritual, sondern ein Projektwerkzeug: Sie zwingt dazu, Risiken zu benennen, solange man sie noch günstig entschärfen kann.

Wann die DSFA Pflicht ist

Art. 35 DSGVO verlangt eine Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Das klingt vage, ist aber konkreter, als es wirkt:

• Immer prüfpflichtig sind die drei Regelbeispiele der DSGVO: systematische umfassende Bewertung persönlicher Aspekte (Profiling mit Rechtswirkung), umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
• Die Muss-Liste der Aufsichtsbehörden: Die Datenschutzkonferenz (DSK) hat eine verbindliche Liste von Verarbeitungen veröffentlicht, für die eine DSFA stets erforderlich ist — darunter Mitarbeiter-Screening, umfangreiches Scoring, Telematik, Geolokalisierung von Beschäftigten und der Einsatz künstlicher Intelligenz zur Verarbeitung personenbezogener Daten.
• Daumenregel aus der Praxis: Treffen zwei oder mehr Kriterien der europäischen Leitlinien zu (etwa: sensible Daten, große Datenmengen, schutzbedürftige Betroffene, neue Technologie, Datenabgleich mehrerer Quellen), ist eine DSFA fällig.

Gerade der letzte Punkt macht das Thema aktuell: Wer heute ein KI-gestütztes Tool zur Bewerbervorauswahl, eine Videoanalyse oder ein Scoring-Modell einführt, landet fast automatisch im DSFA-Territorium. Die Frage ist dann nicht mehr ob, sondern wie schlank.

Der Ablauf, der sich bewährt hat

Eine brauchbare DSFA folgt einem einfachen Skelett — und passt bei mittlerer Komplexität auf zehn bis fünfzehn Seiten, nicht auf hundert:

1. Verarbeitung systematisch beschreiben. Zweck, Datenkategorien, Betroffene, Empfänger, Speicherdauer, eingesetzte Systeme. Wer sein Verarbeitungsverzeichnis pflegt, hat diesen Teil in einer Stunde erledigt — die DSFA ist der Ort, an dem sich diese Vorarbeit auszahlt.
2. Erforderlichkeit und Verhältnismäßigkeit begründen. Warum dieser Zweck, warum diese Datenmenge, warum keine mildere Alternative? Wenn dieser Abschnitt schwerfällt, ist das kein Dokumentationsproblem, sondern ein Designproblem des Vorhabens.
3. Risiken aus Betroffenensicht bewerten. Nicht: „Was kostet uns ein Vorfall?”, sondern: Was passiert der betroffenen Person bei Datenabfluss, Fehlentscheidung, Diskriminierung oder Zweckentfremdung? Eintrittswahrscheinlichkeit und Schwere ehrlich einschätzen — eine simple Vier-Felder-Matrix reicht in den meisten Fällen.
4. Abhilfemaßnahmen festlegen. Hier verbindet sich die DSFA mit den technischen und organisatorischen Maßnahmen nach Art. 32: Pseudonymisierung, Rollenkonzept, Löschautomatik, menschliche Letztentscheidung bei automatisierten Verfahren.
5. Restrisiko entscheiden und dokumentieren. Bleibt trotz Maßnahmen ein hohes Risiko, ist vor dem Start die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO). In der Praxis ist das selten — meist lässt sich das Risiko durch Nachschärfen der Maßnahmen unter die Schwelle drücken.

Die drei Fehler, die immer wieder auftauchen

Zu spät angefangen. Die DSFA nach Vertragsschluss mit dem Anbieter ist ein Feigenblatt: Die wesentlichen Weichen — Datenumfang, Hosting-Standort, Auswertungslogik — sind dann gestellt. Der richtige Zeitpunkt ist die Konzeptphase, wenn Anforderungen noch verhandelbar sind.

Zu groß aufgezogen. Manche Vorlagen aus dem Netz produzieren fünfzigseitige Dokumente, die niemand liest und niemand aktualisiert. Die Aufsichtsbehörden erwarten Nachvollziehbarkeit, keine Doktorarbeit. Ein schlankes, ehrliches Dokument, das gelebte Maßnahmen beschreibt, schlägt jede aufgeblähte Vorlage.

Einmal geschrieben, nie wieder angefasst. Die DSFA ist eine Momentaufnahme. Ändert sich die Verarbeitung wesentlich — neues Modul, neuer Unterauftragnehmer, neue Auswertung — muss die Bewertung nachziehen. Ein fester Review-Anlass (etwa beim jährlichen Datenschutz-Audit) verhindert, dass das Dokument zur Leiche wird.

Wer sie durchführt — und welche Rolle der Datenschutzbeauftragte spielt

Verantwortlich für die DSFA ist das Unternehmen selbst, nicht der Datenschutzbeauftragte. Art. 35 verlangt aber ausdrücklich, dass sein Rat eingeholt wird — und genau diese Arbeitsteilung funktioniert in der Praxis gut: Das Fachprojekt beschreibt die Verarbeitung, der Datenschutzbeauftragte moderiert die Risikobewertung, stellt die unbequemen Fragen und kennt die Erwartungen der Aufsichtsbehörden. Wer keinen eigenen Datenschutz-Fachmann im Haus hat, holt sich diese Rolle extern dazu — ein externer Datenschutzbeauftragter bringt neben der Pflichterfüllung vor allem die Routine aus vielen durchgeführten Folgenabschätzungen mit.

Der Aufwand relativiert sich schnell: Eine sauber moderierte DSFA für ein mittleres Vorhaben ist in zwei bis drei Workshop-Terminen plus Dokumentation erledigt. Verglichen mit den Kosten eines gestoppten Projekts, einer Anordnung der Aufsichtsbehörde oder einem Bußgeld ist das die günstigste Versicherung, die die DSGVO zu bieten hat.