Die Datenschutz-Folgenabschätzung (DSFA) ist ein in der Datenschutz-Grundverordnung vorgeschriebenes Verfahren, mit dem Verantwortliche vor Beginn einer Datenverarbeitung deren Risiken für betroffene Personen bewerten und Gegenmaßnahmen festlegen müssen, wenn die Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt.
Auch genannt: DSFA, Datenschutzfolgenabschätzung, Data Protection Impact Assessment (DPIA)
Bevor ein Unternehmen ein Brückenprojekt startet, prüft es die Statik. Die Datenschutz-Folgenabschätzung ist die „Statikprüfung“ für riskante Datenverarbeitung: Bevor sie beginnt, wird systematisch gefragt, was schiefgehen könnte, wen es treffen würde und wie sich das verhindern oder abmildern lässt.
Nach Art. 35 DSGVO ist eine DSFA erforderlich, wenn eine Verarbeitung – insbesondere bei neuen Technologien – voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Verordnung nennt als Regelbeispiele unter anderem eine umfangreiche, systematische Bewertung persönlicher Aspekte mit erheblichen Folgen (etwa durch Profiling), die umfangreiche Verarbeitung besonders sensibler Daten sowie die systematische Überwachung öffentlich zugänglicher Bereiche in großem Umfang. Die Aufsichtsbehörden veröffentlichen ergänzend Listen mit Verarbeitungsvorgängen, für die eine DSFA verpflichtend ist. Eine DSFA beschreibt mindestens die geplanten Verarbeitungsvorgänge und ihre Zwecke, prüft Notwendigkeit und Verhältnismäßigkeit, bewertet die Risiken für die Betroffenen und legt Abhilfemaßnahmen fest. Ist eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt, wird deren beziehungsweise dessen Rat eingeholt. Bleibt trotz Maßnahmen ein hohes Restrisiko, muss der Verantwortliche nach Art. 36 DSGVO die Aufsichtsbehörde vorab konsultieren.
Ein Krankenhausverbund plant eine Software, die Patientendaten mehrerer Standorte zusammenführt und Auffälligkeiten automatisch auswertet. Weil dabei umfangreich Gesundheitsdaten verarbeitet werden, führt der Verbund vorab eine DSFA durch: Er dokumentiert die Datenflüsse, bewertet Risiken wie unbefugten Zugriff oder Fehlbewertungen und beschließt Maßnahmen wie Zugriffsbeschränkungen, Pseudonymisierung und Löschfristen.
Die DSFA dient dazu, Risiken frühzeitig zu erkennen, statt sie erst nach einem Vorfall zu behandeln. Sie ist zugleich ein Nachweis der Rechenschaftspflicht gegenüber Aufsichtsbehörden und unterstützt Entscheidungen im Projekt: Sie kann zu Änderungen am Design führen, etwa zu weniger erhobenen Daten oder zusätzlichen Schutzmaßnahmen, im Sinne von Privacy by Design. Bei Änderungen der Verarbeitung wird sie überprüft und angepasst.
Nicht jede Datenverarbeitung braucht eine DSFA: Sie ist nur bei voraussichtlich hohem Risiko verpflichtend. Umgekehrt ersetzt eine bloße Checkliste keine echte Abwägung, denn entscheidend ist die nachvollziehbare Bewertung im Einzelfall. Die DSFA ist auch keine einmalige Formalität, sondern bei veränderten Umständen zu aktualisieren. Und sie ist kein Freibrief: Selbst eine dokumentierte DSFA macht eine Verarbeitung nicht automatisch rechtmäßig – Rechtsgrundlage und Grundsätze wie die Zweckbindung müssen weiterhin erfüllt sein.
Nicht zu verwechseln mit Privacy by Design, einem Gestaltungsprinzip, das Datenschutz von Anfang an in die Technik einbaut, während die DSFA ein konkretes Prüfverfahren ist. Ebenso zu unterscheiden von der Auftragsverarbeitung, die das Rollenverhältnis zwischen Verantwortlichem und Dienstleister regelt, und vom EU AI Act, der die Regulierung von KI-Systemen betrifft und eigene Pflichten vorsieht, unabhängig von der DSFA.