Checkliste Datenschutz-Folgenabschätzung

Warum die Datenschutz-Folgenabschätzung für Ihr Unternehmen entscheidend ist

Die Implementierung neuer Technologien, die Einführung von KI-Systemen oder die Verarbeitung besonderer Kategorien personenbezogener Daten – in der digitalisierten Geschäftswelt stehen Unternehmen vor komplexen datenschutzrechtlichen Herausforderungen. Die Datenschutz-Folgenabschätzung ist dabei kein bürokratisches Hindernis, sondern ein strukturiertes Instrument, das Ihnen hilft, Risiken frühzeitig zu erkennen und rechtssicher zu handeln.

Viele Unternehmen sind unsicher, wann genau eine DSFA erforderlich ist und wie sie diese praktisch umsetzen sollen. Die Konsequenzen einer unterlassenen oder fehlerhaften Folgenabschätzung können erheblich sein: Neben empfindlichen Bußgeldern drohen Untersagungsverfügungen der Aufsichtsbehörden, die Ihre Geschäftsprozesse zum Stillstand bringen können.

Rechtliche Grundlagen der Datenschutz-Folgenabschätzung

Die Datenschutz-Folgenabschätzung ist in Art. 35 DSGVO geregelt und stellt eines der zentralen Instrumente des risikobasierten Ansatzes der Datenschutz-Grundverordnung dar. Die Vorschrift verpflichtet Verantwortliche dazu, vor Beginn einer risikoreichen Verarbeitung die möglichen Folgen für die betroffenen Personen systematisch zu analysieren.

Nach Art. 35 DSGVO ist eine DSFA erforderlich, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. 

Systematische umfangreiche Bewertung persönlicher Aspekte: Dies betrifft insbesondere Profiling-Vorgänge, die auf einer automatisierten Verarbeitung personenbezogener Daten beruhen und als Grundlage für Entscheidungen dienen, die Rechtswirkungen gegenüber natürlichen Personen entfalten oder diese erheblich beeinträchtigen. Beispiele sind automatisierte Kreditwürdigkeitsprüfungen, Scoring-Verfahren im Personalwesen oder algorithmenbasierte Entscheidungssysteme.

Umfangreiche Verarbeitung besonderer Kategorien von Daten: Gemäß Art. 9 DSGVO handelt es sich dabei um Gesundheitsdaten, Daten über ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische oder biometrische Daten zur eindeutigen Identifizierung sowie Daten zum Sexualleben oder der sexuellen Orientierung.

Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche: Hierunter fällt beispielsweise der Einsatz von Videoüberwachungssystemen mit Gesichtserkennung oder die flächendeckende Überwachung von Arbeitnehmern am Arbeitsplatz.

Die rechtliche Verpflichtung zur Durchführung einer DSFA besteht unabhängig davon, ob Sie über einen Datenschutzbeauftragten verfügen. Allerdings schreibt Art. 35 DSGVO vor, dass der Verantwortliche bei der Durchführung einer DSFA den Rat des Datenschutzbeauftragten einzuholen hat, sofern ein solcher benannt wurde.

Schritte einer vollständigen Datenschutz-Folgenabschätzung

Eine rechtssichere DSFA folgt einem strukturierten Ablauf, der sicherstellt, dass alle relevanten Aspekte systematisch erfasst und bewertet werden. Im Folgenden beschreibe ich die neun wesentlichen Schritte, die Sie bei der Durchführung einer Datenschutz-Folgenabschätzung durchlaufen sollten.

Schritt 1: Beschreibung der Verarbeitungsvorgänge

Zu Beginn dokumentieren Sie präzise, welche Datenverarbeitung Sie planen oder bereits durchführen. Diese Beschreibung umfasst den Zweck der Verarbeitung, die Art der verarbeiteten Daten, die betroffenen Personengruppen, die Empfänger der Daten, die Speicherdauer sowie die eingesetzten Verarbeitungssysteme und -prozesse. Je detaillierter Sie hier arbeiten, desto fundierter können Sie später die Risiken bewerten.

Schritt 2: Bewertung der Notwendigkeit und Verhältnismäßigkeit

Im zweiten Schritt prüfen Sie, ob die Verarbeitung zur Erreichung des verfolgten Zwecks erforderlich ist und ob sie in einem angemessenen Verhältnis zu diesem Zweck steht. 

Schritt 3: Risikoidentifikation für die Rechte und Freiheiten betroffener Personen

Nun identifizieren Sie systematisch, welche Risiken die geplante Verarbeitung für die betroffenen Personen mit sich bringt. Die DSGVO versteht unter Risiken insbesondere Gefahren für die informationelle Selbstbestimmung, aber auch weitergehende Beeinträchtigungen wie Diskriminierung, Identitätsdiebstahl, finanzielle Verluste, Rufschädigung oder den Verlust der Kontrolle über personenbezogene Daten.

Schritt 4: Risikobewertung nach Eintrittswahrscheinlichkeit und Schwere

Für jedes identifizierte Risiko bewerten Sie sowohl die Wahrscheinlichkeit seines Eintritts als auch die Schwere der möglichen Folgen für die Betroffenen. Diese Risikobewertung erfolgt typischerweise in einer Matrix mit Abstufungen wie „gering“, „mittel“, „hoch“ oder „sehr hoch“.

Schritt 5: Ermittlung der bereits bestehenden Schutzmaßnahmen

Dokumentieren Sie alle technischen und organisatorischen Maßnahmen (TOM), die Sie bereits implementiert haben oder implementieren werden, um die identifizierten Risiken zu mindern. Dies umfasst technische Sicherungsmaßnahmen wie Verschlüsselung, Zugriffskontrollen, Firewalls und Backup-Systeme ebenso wie organisatorische Vorkehrungen wie Schulungen, Zugriffsberechtigungskonzepte, Löschfristen und Notfallpläne.

Schritt 6: Bewertung des Restrisikos

Nach Berücksichtigung aller Schutzmaßnahmen bewerten Sie das verbleibende Restrisiko. Ist dieses noch immer als hoch einzustufen, müssen Sie gemäß Art. 36 DSGVO vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde konsultieren. Diese Konsultationspflicht besteht immer dann, wenn trotz aller geplanten Maßnahmen ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verbleibt.

Schritt 7: Festlegung zusätzlicher Schutzmaßnahmen

Basierend auf Ihrer Risikobewertung legen Sie weitere Maßnahmen fest, die das Risiko auf ein vertretbares Niveau senken. Dies können zusätzliche technische Lösungen wie erweiterte Verschlüsselung oder Anonymisierungstechniken sein, aber auch organisatorische Anpassungen wie verschärfte Zugriffsbeschränkungen, häufigere Kontrollen oder die Begrenzung der Speicherdauer.

Schritt 8: Einbindung des Datenschutzbeauftragten

Anschließend müssen Sie den Rat Ihres Datenschutzbeauftragten gemäß Art. 35 Abs. 2 DSGVO einholen. Dieser begleitet den DSFA-Prozess, überprüft die Vollständigkeit Ihrer Analyse und berät Sie bei der Auswahl geeigneter Schutzmaßnahmen. Dokumentieren Sie die Stellungnahme Ihres Datenschutzbeauftragten als Teil der DSFA. Falls Sie keinen Datenschutzbeauftragten bestellt haben, müssen Sie dies zwingend nachholen.

Schritt 9: Dokumentation und regelmäßige Überprüfung

Alle Schritte, Bewertungen, Entscheidungen und Maßnahmen müssen Sie lückenlos dokumentieren. Die DSFA ist ein lebendes Dokument, das Sie regelmäßig überprüfen und bei wesentlichen Änderungen der Verarbeitung oder der Risikolage aktualisieren müssen.

Praktische Tipps für eine rechtssichere DSFA

Aus jahrelanger Erfahrung in der Beratung von Unternehmen zu Datenschutzfragen habe ich einige bewährte Vorgehensweisen identifiziert, die Ihnen die Durchführung einer DSFA erleichtern.

Beginnen Sie frühzeitig: Führen Sie die DSFA bereits in der Planungsphase neuer Projekte durch, nicht erst kurz vor der Implementierung. So können Sie datenschutzrechtliche Anforderungen von Anfang an berücksichtigen und kostspielige nachträgliche Anpassungen vermeiden. 

Beziehen Sie alle relevanten Abteilungen ein: Eine DSFA erfordert interdisziplinäre Zusammenarbeit. Beteiligen Sie neben Ihrem Datenschutzbeauftragten auch die IT-Abteilung, die Rechtsabteilung, die betroffenen Fachabteilungen und gegebenenfalls externe Dienstleister. Unterschiedliche Perspektiven helfen, Risiken vollständig zu erfassen.

Dokumentieren Sie Entscheidungen nachvollziehbar: Erklären Sie in der DSFA nicht nur, welche Maßnahmen Sie ergreifen, sondern auch, warum Sie bestimmte Alternativen verworfen haben. Diese Dokumentation ist wertvoll, wenn die Aufsichtsbehörde Ihre Entscheidungen nachvollziehen möchte oder wenn Sie intern die Gründe für bestimmte Lösungen kommunizieren müssen.

Berücksichtigen Sie die gesamte Verarbeitungskette: Vergessen Sie nicht, auch die Rolle von Auftragsverarbeitern und weiteren Empfängern in Ihre Risikoanalyse einzubeziehen. Prüfen Sie, welche Garantien diese bieten und wie Sie deren Einhaltung der Datenschutzanforderungen kontrollieren können.

Planen Sie regelmäßige Reviews ein: Setzen Sie feste Zeitpunkte für die Überprüfung Ihrer DSFA, beispielsweise jährlich oder bei wesentlichen Änderungen der Verarbeitungsvorgänge. Behandeln Sie die DSFA als dynamisches Instrument Ihres Risikomanagements, nicht als einmalige Pflichtübung.

Seien Sie transparent gegenüber Betroffenen: Nutzen Sie die Erkenntnisse aus der DSFA, um Ihre Datenschutzinformationen nach Art. 13 und 14 DSGVO zu verbessern. 

Checkliste: Ihre DSFA Schritt für Schritt

Nutzen Sie diese Checkliste als praktischen Leitfaden für die Durchführung Ihrer Datenschutz-Folgenabschätzung:

Vorbereitung: 

• Prüfen Sie, ob Ihr Verarbeitungsvorgang eine DSFA erfordert 
• Bilden Sie ein interdisziplinäres Team (Datenschutzbeauftragter, IT, Fachabteilung, Rechtsabteilung) 
• Beschaffen Sie relevante Dokumentation (Verarbeitungsverzeichnis, TOM-Dokumentation, Verträge mit Auftragsverarbeitern)

Durchführung: 

• Beschreiben Sie den Verarbeitungsvorgang detailliert (Zweck, Art der Daten, betroffene Personen, Empfänger, Speicherdauer, Verarbeitungssysteme) 
• Prüfen Sie Notwendigkeit und Verhältnismäßigkeit der Verarbeitung 
• Identifizieren Sie alle relevanten Risiken für die Rechte und Freiheiten der Betroffenen 
• Bewerten Sie jedes Risiko nach Eintrittswahrscheinlichkeit und Schwere der Folgen 
• Dokumentieren Sie alle bestehenden und geplanten technischen und organisatorischen Maßnahmen 
• Bewerten Sie das Restrisiko nach Umsetzung aller Maßnahmen 
• Holen Sie den Rat Ihres Datenschutzbeauftragten ein 
• Konsultieren Sie die Aufsichtsbehörde, falls ein hohes Restrisiko verbleibt 

Dokumentation: 

• Erstellen Sie eine vollständige, nachvollziehbare Dokumentation aller Schritte und Entscheidungen 
• Archivieren Sie die DSFA als Teil Ihrer Rechenschaftspflichten
• Informieren Sie relevante Stakeholder über die Ergebnisse und erforderlichen Maßnahmen

Nachbereitung: 

• Setzen Sie festgelegte zusätzliche Schutzmaßnahmen mit konkreten Fristen um 
• Aktualisieren Sie Ihre Datenschutzinformationen für Betroffene basierend auf den DSFA-Erkenntnissen 
• Planen Sie regelmäßige Reviews der DSFA ein (mindestens jährlich oder bei wesentlichen Änderungen) 
• Schulen Sie betroffene Mitarbeiter zu den aus der DSFA resultierenden Anforderungen

Die DSFA als Chance für rechtssichere Innovation

Die Datenschutz-Folgenabschätzung ist mehr als eine Compliance-Pflicht – sie ist ein wertvolles Instrument, um Risiken frühzeitig zu erkennen, Verarbeitungsprozesse zu optimieren und das Vertrauen Ihrer Kunden und Geschäftspartner zu stärken. Unternehmen, die die DSFA als integralen Bestandteil ihrer Projektplanung verstehen, sind nicht nur rechtssicher aufgestellt, sondern gewinnen auch wertvolle Erkenntnisse über ihre Datenverarbeitungsprozesse.

Eine sorgfältig durchgeführte DSFA schützt Sie vor empfindlichen Bußgeldern. Wichtiger noch: Sie demonstrieren gegenüber Aufsichtsbehörden, Geschäftspartnern und Betroffenen, dass Sie Datenschutz ernst nehmen und systematisch umsetzen.

Die Komplexität moderner Datenverarbeitungsvorgänge, insbesondere beim Einsatz neuer Technologien wie künstlicher Intelligenz, IoT oder Cloud-Computing, erfordert fundiertes rechtliches und technisches Know-how. Als Fachanwalt für IT-Recht mit den Zertifizierungen als Datenschutzbeauftragter (TÜV) und Datenschutz-Auditor (DGI) verfüge ich über die erforderliche Expertise, um Sie bei allen Aspekten der Datenschutz-Folgenabschätzung zu unterstützen.

Ob Sie Unterstützung bei der Ersteinschätzung benötigen, ob eine DSFA erforderlich ist, eine vollständige DSFA für ein komplexes Projekt durchführen möchten oder bestehende DSFAs überprüfen lassen wollen – ich biete Ihnen maßgeschneiderte Beratung, die Ihre spezifischen Anforderungen berücksichtigt und gleichzeitig höchste rechtliche Standards erfüllt.

Häufig gestellte Fragen