Datenschutzrisiken und DSFA verständlich einordnen

Nicht jede Verarbeitung braucht eine Datenschutz-Folgenabschätzung. Jede Verarbeitung braucht aber einen angemessenen Umgang mit den Risiken für Menschen. Der Unterschied ist wichtig: Sonst wird entweder jedes kleine Formular zum Großprojekt oder ein eingriffsintensives Verfahren als gewöhnliche IT-Einführung behandelt. Beides hilft den Betroffenen wenig.

Das Risiko der Menschen ist der Ausgangspunkt

Im Datenschutz steht nicht zuerst die Frage im Mittelpunkt, was ein Vorfall das Unternehmen kostet. Es geht um die Folgen für Menschen: etwa Identitätsmissbrauch, finanzielle Nachteile, Diskriminierung, Rufschädigung, Verlust von Vertraulichkeit oder Einschränkungen ihrer Rechte. Unternehmensrisiken wie Betriebsunterbrechungen können damit zusammenhängen, sind aber nicht derselbe Bewertungsmaßstab. Ein wirtschaftlich verkraftbarer Vorgang kann für eine einzelne betroffene Person sehr schwer wiegen.

Risiken entstehen auch ohne Hackerangriff. Ein System kann zuverlässig funktionieren und trotzdem zu viele Daten sammeln, falsche Schlüsse ziehen oder Menschen undurchsichtig bewerten. Eine Mitarbeiterübersicht mit unnötig breiten Zugriffsrechten ist deshalb nicht erst dann problematisch, wenn sie gestohlen wird. Die vorgesehene Verarbeitung selbst gehört in die Betrachtung. Datenschutz und Informationssicherheit überschneiden sich, beantworten jedoch unterschiedliche Fragen.

Beschreiben Sie zunächst ein plausibles Szenario: Was könnte mit welchen Daten geschehen, wer wäre betroffen und welcher Nachteil könnte daraus entstehen? Erst danach folgen Wahrscheinlichkeit und Schwere. Eine Zahl ohne Szenario wirkt ordentlich, erklärt aber wenig. Die Datenschutzgrundlagen liefern den Rahmen für Zweck, Rechtsgrundlage und Betroffenenrechte. Eine Risikobewertung ergänzt diesen Rahmen; sie kann fehlende Zulässigkeit nicht durch einen günstigen Punktwert ersetzen.

Angemessene Maßnahmen statt gleicher Maßnahmen

Artikel 24 und 32 DSGVO verlangen Maßnahmen, die insbesondere Art, Umfang, Umstände und Zwecke sowie die Risiken berücksichtigen. Bei Sicherheitsmaßnahmen zählen zudem Stand der Technik und Implementierungskosten. Das ist kein Freibrief für das billigste Angebot. Es bedeutet, Schutz begründet auf die tatsächliche Verarbeitung auszurichten. Die vertrauliche Beratung einer einzelnen Person kann einen hohen Schutzbedarf haben, obwohl nur wenige Datensätze entstehen.

Ein praktikabler Ablauf verbindet jedes wesentliche Szenario mit Maßnahmen und einem Nachweis ihrer Wirksamkeit. Gegen unbefugten Zugriff helfen beispielsweise begrenzte Rollen, Mehrfaktoranmeldung und regelmäßige Berechtigungsprüfungen. Gegen fehlerhafte Zuordnungen können Eingabeprüfungen, fachliche Kontrolle und Korrekturwege nötig sein. Gegen unnötige Speicherung helfen klare Fristen und funktionierende Löschroutinen. Eine Sicherung schützt Verfügbarkeit, beantwortet aber nicht automatisch die Frage, wer die Daten überhaupt sehen darf.

Halten Sie fest, was die Maßnahme verändern soll und wer sie prüft. „Verschlüsselung vorhanden“ ist zu allgemein, wenn der beschriebene Schaden durch einen berechtigten, aber zu weit befugten Benutzer entstehen kann. Auch organisatorische Maßnahmen brauchen einen Realitätscheck: Kennt die Vertretung den Ablauf? Wird eine Fehlermeldung bearbeitet? Maßnahmen sind dann angemessen, wenn sie nachvollziehbar auf Risiken wirken und im Betrieb funktionieren, nicht wenn möglichst viele Fachbegriffe in einer Liste stehen.

Grafik 1 · Vom möglichen Nachteil zur überprüften Maßnahme
  1. 01Szenario

    Was kann für welche Menschen nachteilig sein?

  2. 02Bewertung

    Wahrscheinlichkeit und Schwere begründet einordnen.

  3. 03Maßnahme

    Risiko durch passende Gestaltung und Schutz senken.

  4. 04Nachweis

    Wirksamkeit prüfen und verbleibendes Risiko bewerten.

Jede Maßnahme wird einem konkreten Risiko für betroffene Menschen und einer Wirksamkeitsprüfung zugeordnet.

Datenschutz in Gestaltung und Voreinstellungen

Artikel 25 DSGVO beschreibt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen, oft Privacy by Design und Privacy by Default genannt. Die Anforderungen setzen bereits bei der Festlegung der Mittel an und gelten während der Verarbeitung weiter. Wer erst nach der Einführung über Datenminimierung nachdenkt, muss häufig gegen bereits gebaute Abläufe arbeiten. Das ist möglich, aber selten die angenehmste Projektphase.

In der Gestaltung bedeutet das beispielsweise: unnötige Pflichtfelder vermeiden, Datenbestände trennen, passende Löschmöglichkeiten schaffen und Berechtigungen am Arbeitsbedarf ausrichten. Voreinstellungen sollen gewährleisten, dass grundsätzlich nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten verarbeitet werden. Dabei geht es um Datenmenge, Umfang der Verarbeitung, Speicherdauer und Zugänglichkeit. Ein großzügiger Standardzugriff wird nicht dadurch datenschutzfreundlich, dass besonders aufmerksame Benutzer ihn später einschränken können.

Eine hilfreiche Frage lautet: Welche Daten müssten wir überhaupt nicht schützen, wenn wir sie gar nicht erst erheben? Eine zweite: Kann eine Funktion mit weniger Genauigkeit oder kürzerer Speicherung denselben Zweck erfüllen? Diese Fragen sind keine generelle Aufforderung, nützliche Funktionen abzuschalten. Sie machen Alternativen vergleichbar. Bei der Beschaffung sollten solche Anforderungen als überprüfbare Eigenschaften beschrieben werden. „Datenschutzkonform“ auf einem Angebotsblatt ist eine Behauptung; eine getestete Löschfunktion ist ein konkreter Nachweis.

Wann eine DSFA erforderlich wird

Artikel 35 DSGVO verlangt eine DSFA, wenn eine Verarbeitungsform insbesondere bei Verwendung neuer Technologien voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Berücksichtigt werden Art, Umfang, Umstände und Zwecke. Die Prüfung erfolgt vor Beginn. Die Bezeichnung eines Produkts als KI oder die Zahl der Beschäftigten beantwortet die Frage nicht allein. Auch ein kleiner Betrieb kann eine Verarbeitung mit hohem Risiko planen.

Artikel 35 Absatz 3 nennt insbesondere systematische und umfassende Bewertungen persönlicher Aspekte, die auf automatisierter Verarbeitung beruhen und als Grundlage für Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dienen. Weitere Fälle sind die umfangreiche Verarbeitung besonderer Datenkategorien oder strafrechtlicher Daten sowie die umfangreiche systematische Überwachung öffentlich zugänglicher Bereiche. Hinzu kommen die Listen der zuständigen Aufsichtsbehörden nach Artikel 35 Absatz 4. Dass eine Verarbeitung nicht auf einer solchen Liste steht, schließt eine DSFA-Pflicht nach der allgemeinen Regel nicht aus.

Für das Screening, also die dokumentierte Vorprüfung, helfen außerdem die europäischen Leitlinien zur DSFA mit ihren Risikokriterien. Beispiele sind besonders schutzbedürftige Personen, umfangreiche Datenbestände, Verknüpfung von Daten und innovative Nutzung. Mehrere Kriterien können ein deutliches Signal sein; eine starre Zählregel ersetzt die Einzelfallbewertung nicht. Dokumentieren Sie auch ein begründetes Nein. Eine nachvollziehbare Vorprüfung ist etwas anderes als die Feststellung, dass bislang noch niemand nach einer DSFA gefragt hat.

Grafik 2 · Vorprüfung, Folgenabschätzung und Konsultation
  1. 01Vorprüfung

    Verfahren, Artikel 35, Aufsichtslisten und Kriterien prüfen.

  2. 02DSFA bei hohem Risiko

    Notwendigkeit, Folgen und wirksame Maßnahmen bewerten.

  3. 03Ergebnis und gegebenenfalls Konsultation

    Ergebnis dokumentieren; bleibt trotz Maßnahmen ein hohes Risiko, ist vor Beginn die Aufsichtsbehörde zu konsultieren.

Nicht jede Vorprüfung führt zu einer DSFA. Eine vorherige Konsultation ist bei verbleibendem hohen Risiko erforderlich; die Karten sind keine Pflichtfolge für jede Verarbeitung.

Was in eine belastbare DSFA gehört

Die DSFA ist eine strukturierte Prüfung der geplanten Verarbeitung. Artikel 35 Absatz 7 nennt mindestens die systematische Beschreibung der Vorgänge und Zwecke, die Bewertung von Notwendigkeit und Verhältnismäßigkeit, die Risiken für Betroffene sowie die geplanten Abhilfemaßnahmen und Schutzvorkehrungen. Dazu müssen Datenwege, Empfänger, Speicherfristen und Entscheidungsschritte verständlich beschrieben sein. Ein ausgefülltes Formular ist hilfreich, wenn dahinter ein verstandenes Verfahren steht.

Die Frage nach Alternativen ist zentral: Lässt sich der Zweck mit weniger Daten oder weniger Eingriff erreichen? Reicht eine Auswertung auf Gruppenebene? Muss eine Entscheidung automatisiert sein? Welche Folgen hätte ein falsches Ergebnis? Unterscheiden Sie dabei feststehende Eigenschaften, begründete Annahmen und offene Fragen. Fehlen Anbieterinformationen, ist das eine Informationslücke, kein Anlass, die betreffende Bewertung vorsorglich grün zu färben.

Die DSFA sollte Risiken vor und nach den vorgesehenen Maßnahmen nachvollziehbar machen. Für Maßnahmen braucht es Verantwortliche, Termine und geeignete Wirksamkeitsprüfungen. Soweit angemessen sind nach Artikel 35 Absatz 9 auch Standpunkte betroffener Personen oder ihrer Vertretung einzuholen. Das ersetzt keine anderen Beteiligungspflichten. Eine DSFA schafft außerdem keine Rechtsgrundlage und genehmigt keine verbotene Verarbeitung. Wer diese Grundfragen offenlässt, hat möglicherweise ein umfangreiches Dokument erstellt, aber noch keine tragfähige Entscheidung vorbereitet.

Verantwortung und verbleibendes hohes Risiko

Verantwortlich für die DSFA bleibt der Verantwortliche, in der Organisation also nicht automatisch der Datenschutzbeauftragte. Fachbereich, IT, Informationssicherheit und gegebenenfalls weitere Beteiligte liefern Wissen und setzen Maßnahmen um. Ist ein Datenschutzbeauftragter benannt, ist dessen Rat bei der DSFA einzuholen. Zu seinen Aufgaben gehören Beratung und Überwachung der Durchführung. Diese Rolle sollte früh eingebunden werden, solange sich die Gestaltung noch beeinflussen lässt.

Ergibt die DSFA, dass trotz der vorgesehenen Maßnahmen ein hohes Risiko verbleibt, ist vor der Verarbeitung die zuständige Aufsichtsbehörde nach Artikel 36 zu konsultieren. Eine Geschäftsführungsentscheidung, das Risiko trotzdem zu akzeptieren, ersetzt diese vorherige Konsultation nicht. Die gesetzlichen Anforderungen sind auch dann relevant, wenn der Projekttermin bereits im Kalender steht. Kalender sind organisatorisch nützlich, rechtlich aber nur begrenzt überzeugend.

Praktisch sollte eine Entscheidung deshalb klar benennen: Welche Variante darf starten? Welche Maßnahmen sind Voraussetzung? Welche Nachweise fehlen? Wer kontrolliert die Umsetzung? Wenn das Verfahren verändert werden muss, gehört die neue Variante wieder in die Bewertung. Eine Empfehlung des Datenschutzbeauftragten, eine betriebliche Freigabe und eine erforderliche Behördenkonsultation sind unterschiedliche Dinge. Sie sollten in der Dokumentation unterscheidbar bleiben, statt unter einem allgemeinen Häkchen „Datenschutz erledigt“ zu verschwinden.

Fiktives Beispiel: Auswertung von Beschäftigtendaten

Ein fiktiver Betrieb möchte Auftragsdaten und Bearbeitungszeiten zusammenführen, um Engpässe zu erkennen. Im ersten Entwurf zeigt ein Dashboard individuelle Ranglisten der Beschäftigten und speichert die Werte dauerhaft. Damit verändert sich die Frage: Es geht nicht mehr nur um die Planung von Arbeit, sondern möglicherweise auch um systematische Leistungsbewertung. Beschäftigte können sich der Verarbeitung häufig nicht ohne Weiteres entziehen.

Das Team beschreibt zunächst Zweck und tatsächlichen Bedarf. Für die Kapazitätsplanung könnten zusammengefasste Werte pro ausreichend großer Gruppe und kürzere Zeiträume genügen. Kleine Gruppen und seltene Vorgänge bleiben dabei auf mögliche Rückschlüsse zu prüfen. Datenschutzbeauftragter und gegebenenfalls Beschäftigtenvertretung werden früh beteiligt. Die DSFA-Vorprüfung berücksichtigt Überwachung, schutzbedürftige Betroffene, Datenverknüpfung und die einschlägigen Aufsichtslisten. Ein allgemeines KI-Etikett würde diese Prüfung weder ersetzen noch entscheiden.

Das Beispiel ist erfunden und trifft keine abschließende rechtliche Bewertung. Es zeigt, weshalb die Gestaltung vor der Risikozahl kommt. Vielleicht lässt sich das Ziel mit weniger Eingriff erreichen; vielleicht bleibt eine DSFA notwendig. Auch bei einer datensparsameren Variante sind Rechtsgrundlage, Transparenz, Zugriff und Löschung zu klären. Eine ansprechende Darstellung macht eine personenbezogene Rangliste nicht harmlos. Manchmal besteht die wichtigste Verbesserung darin, genau diese Darstellung gar nicht erst zu bauen.

Bewertungen im Betrieb aktuell halten

Eine DSFA ist kein Dokument, das nach dem Start nur noch archiviert wird. Artikel 35 Absatz 11 verlangt erforderlichenfalls eine Überprüfung, insbesondere wenn sich das mit der Verarbeitung verbundene Risiko ändert. Neue Datenquellen, zusätzliche Empfänger, veränderte Zwecke oder weitergehende automatisierte Entscheidungen können Anlass sein. Auch Vorfälle und unwirksame Maßnahmen liefern neue Erkenntnisse. Nicht jede kleine Softwareaktualisierung verlangt eine vollständige neue DSFA; relevante Veränderungen brauchen jedoch eine Bewertung.

Verbinden Sie die Prüfung mit vorhandenen Änderungsprozessen. Wer eine neue Schnittstelle beantragt, sollte auch betroffene Daten und Zugriffe benennen. Bei einem neuen Anbieter hilft die Seite zu Dienstleistern und KI; bei Problemen der Ablauf für Anfragen und Datenpannen. Erkenntnisse sollten in Maßnahmen und nächste Prüfungen zurückfließen. Ein dokumentierter Lernprozess ist wertvoller als ein unverändertes Risikoregister, das jahrelang dieselbe beruhigende Farbe zeigt.

Als nächster Schritt eignet sich eine Vorprüfung für ein konkretes geplantes oder wesentlich verändertes Verfahren: Beschreibung, mögliche Nachteile, einschlägige Kriterien, vorhandene Maßnahmen und begründete Entscheidung zur DSFA. Die Seite Datenschutz im Alltag beginnen ordnet dies in die laufende Arbeit ein. Diese Darstellung erklärt die DSGVO allgemein; Sonderregeln und die Bewertung des konkreten Verfahrens bleiben gesondert zu prüfen. Fachlicher Quellenabgleich: 28. Oktober 2026.

Häufige Fragen

Braucht jedes Unternehmen eine DSFA?

Die Pflicht knüpft an eine Verarbeitung mit voraussichtlich hohem Risiko an, nicht pauschal an die Unternehmensgröße. Ein kleines Unternehmen kann eine DSFA benötigen, ein anderes für seine üblichen Vorgänge nicht. Entscheidend sind Art, Umfang, Umstände und Zwecke sowie gesetzliche Fallgruppen und einschlägige Aufsichtslisten. Eine dokumentierte Vorprüfung macht diese Entscheidung nachvollziehbar.

Ist jede Verarbeitung mit KI automatisch hochriskant?

Nein. Die konkrete Verarbeitung ist zu bewerten: Welche Daten werden genutzt, welche Menschen sind betroffen und welche Folgen können entstehen? Innovative Technik kann ein relevantes Kriterium sein, beantwortet die Frage aber nicht allein. Datenschutzrechtliches hohes Risiko und Begriffe der KI-Regulierung sind außerdem nicht ohne Weiteres gleichzusetzen. Beide Prüfungen können unterschiedliche Voraussetzungen haben.

Ist eine DSFA dasselbe wie eine IT-Risikoanalyse?

Nein. Eine IT-Risikoanalyse kann wichtige Beiträge zur Sicherheit liefern. Eine DSFA betrachtet darüber hinaus die Folgen der Verarbeitung für Rechte und Freiheiten, ihre Notwendigkeit und Verhältnismäßigkeit sowie passende Schutzvorkehrungen. Auch ein technisch sicheres System kann unzulässig Daten sammeln oder Menschen benachteiligen. Vorhandene Sicherheitsbewertungen sollten genutzt, aber um diese Perspektive ergänzt werden.

Muss der Datenschutzbeauftragte die DSFA schreiben?

Der Verantwortliche trägt die Pflicht zur Durchführung. Er muss bei einer DSFA den Rat eines benannten Datenschutzbeauftragten einholen. Dieser berät und überwacht die Durchführung, übernimmt dadurch aber nicht automatisch die Verantwortung für Zwecke, Gestaltung und Betrieb. Fachbereich und Technik müssen die tatsächlichen Abläufe erklären und beschlossene Maßnahmen umsetzen. Externe Unterstützung kann dabei helfen.

Was bedeutet ein verbleibendes hohes Risiko?

Gemeint ist ein hohes Risiko, das sich trotz vorgesehener Schutzmaßnahmen nicht ausreichend mindern lässt. Dann greift vor Beginn der Verarbeitung die Konsultation nach Artikel 36 DSGVO. Eine interne Risikoakzeptanz ersetzt sie nicht. Oft ist bereits vorher zu prüfen, ob eine weniger eingriffsintensive Gestaltung den Zweck erreicht oder auf einzelne Funktionen verzichtet werden kann.

Kann ich eine DSFA-Vorlage des Anbieters übernehmen?

Sie können geeignete Informationen und Bewertungen als Grundlage nutzen. Die DSFA muss aber die eigene Verarbeitung, Konfiguration, Betroffenengruppen, Datenwege und Maßnahmen abbilden. Ein Anbieter kennt nicht automatisch Ihre organisatorischen Abläufe oder zusätzlichen Schnittstellen. Prüfen Sie deshalb Übertragbarkeit, Aktualität und verbleibende Lücken. Eine Vorlage erleichtert die Arbeit; sie nimmt Ihnen die Entscheidung nicht ab.

Wie genau muss eine Risikobewertung sein?

Sie muss nachvollziehbar und für die konkrete Verarbeitung belastbar sein. Szenarien, Bewertungsmaßstäbe, Annahmen und die Wirkung von Maßnahmen sollten erkennbar bleiben. Eine rechnerisch genaue Zahl ist nicht erforderlich, wenn ihre Grundlagen unklar sind. Bei Unsicherheit helfen gezielte Informationen oder Tests. Hohe mögliche Schadensschwere darf nicht allein durch optimistische Annahmen zur Wahrscheinlichkeit aus der Betrachtung verschwinden.

Quellen und weitere Informationen

Von Wolfgang Lanzrath

Diese Seite erläutert Grundlagen und ersetzt keine rechtliche oder datenschutzrechtliche Prüfung des Einzelfalls.
Quellenstand: 28. Oktober 2026.