Was ist eine Datenschutz-Folgenabschätzung?
Die Datenschutz-Folgenabschätzung (DSFA) ist ein gesetzlich vorgeschriebenes Verfahren zur Risikoanalyse nach Art. 35 DSGVO. Sie ist immer dann erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt.
Ziel ist es, Risiken frühzeitig zu erkennen, zu bewerten und durch geeignete Maßnahmen zu minimieren — bevor die Verarbeitung beginnt.
Wann ist eine DSFA Pflicht?
Eine DSFA ist insbesondere erforderlich bei:
- Systematischer Überwachung öffentlich zugänglicher Bereiche (z. B. Videoüberwachung)
- Verarbeitung besonderer Datenkategorien in großem Umfang (Art. 9 DSGVO)
- Profiling mit erheblichen Auswirkungen auf Personen
- Innovativen Technologien mit unbekanntem Risikoniveau
- Verarbeitungen auf der Schwarzen Liste der Aufsichtsbehörden
Die deutschen Aufsichtsbehörden haben eine sogenannte Muss-Liste veröffentlicht — wir prüfen, ob Ihre Verarbeitung darauf steht.
Ablauf einer DSFA mit AGIDAT
- Vorprüfung — Ist eine DSFA erforderlich?
- Beschreibung der Verarbeitung — Zweck, Umfang, Kontext, Beteiligte
- Notwendigkeits- und Verhältnismäßigkeitsprüfung
- Risikoanalyse — Identifikation und Bewertung von Risiken für Betroffene
- Maßnahmenplanung — Wie werden Risiken reduziert?
- Dokumentation — Vollständiger DSFA-Bericht
- Konsultation — Bei Bedarf Einbindung der Aufsichtsbehörde (Art. 36 DSGVO)
Was passiert ohne DSFA?
Wenn eine DSFA durchgeführt werden müsste, aber unterbleibt, stellt dies einen eigenständigen Datenschutzverstoß dar — unabhängig davon, ob die eigentliche Verarbeitung korrekt ist. Das Bußgeld beträgt bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.