Datenschutz-Folgenabschätzung: Wann sie Pflicht ist Kurz erklärt Die Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Risikoprüfung vor dem Start einer Datenverarbeitung. Sie ist nach Art. 35 DSGVO Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte betroffener Personen birgt. Wann ist eine Datenschutz-Folgenabschätzung Pflicht? Typische Fälle nennt die DSGVO selbst: Umfassende automatisierte Bewertung von Personen, etwa durch Profiling Umfangreiche Verarbeitung besonderer Daten wie Gesundheitsdaten Systematische Überwachung öffentlich zugänglicher Bereiche Zusätzlich veröffentlichen die Aufsichtsbehörden Listen mit Verarbeitungen, für die eine Prüfung immer nötig ist, zum Beispiel bestimmte Formen der Beschäftigtenüberwachung oder KI-gestützte Auswertungen. Die 4 Mindestinhalte Beschreibung der Verarbeitung und ihrer Zwecke Bewertung von Notwendigkeit und Verhältnismäßigkeit Bewertung der Risiken für die Betroffenen Geplante Abhilfemaßnahmen Datenschutz-Folgenabschätzung auf einen Blick MerkmalBeschreibungRechtsgrundlageArt. 35 DSGVOZeitpunktVor Beginn der VerarbeitungBeteiligteDatenschutzbeauftragter berätHohes RestrisikoVorherige Konsultation der Aufsichtsbehörde So gehen Sie vor Prüfen Sie bei jedem neuen Tool früh, ob ein hohes Risiko möglich ist. Dokumentieren Sie auch, wenn Sie zu dem Ergebnis kommen, dass keine Prüfung nötig ist. Den vollständigen Text finden Sie in Art. 35 DSGVO. Beim Einsatz von KI-Tools hilft der Beitrag ChatGPT und Datenschutz. Beispiel aus der Praxis Ein Unternehmen möchte eine Software einführen, die das Tippverhalten auswertet, um Überlastung früh zu erkennen. Die Datenschutzbeauftragte empfiehlt eine Folgenabschätzung. Ergebnis: Die Auswertung erfolgt nur noch anonymisiert auf Teamebene, Einzelpersonen werden nicht mehr bewertet. So bleibt der Nutzen, das Risiko sinkt deutlich. Verwandte Begriffe Privacy by Design, Auftragsverarbeitungsvertrag und TOMs im Datenschutz. Weitere Begriffe finden Sie im Datenschutz-Glossar. Häufig gestellte Fragen Wer führt die Datenschutz-Folgenabschätzung durch?Das verantwortliche Unternehmen. Der Datenschutzbeauftragte berät dabei, führt sie aber nicht allein durch. Braucht ein LMS eine Datenschutz-Folgenabschätzung?Meist nicht, solange nur übliche Schulungsdaten verarbeitet werden. Werden Lernende umfassend bewertet oder überwacht, kann sie nötig werden. Was passiert ohne vorgeschriebene DSFA?Die Aufsichtsbehörde kann ein Bußgeld verhängen. Zudem fehlt im Streitfall der Nachweis, dass Risiken geprüft wurden.