Datenschutz-Folgenabschätzung (DSFA)

Was bedeutet Datenschutz-Folgenabschätzung (DSFA)?

Die DSGVO verlangt von jedem Unternehmen, Risiken für die Daten von Kunden, Bewerbern und Beschäftigten im Blick zu behalten. Für die meisten Verarbeitungen genügen dafür das Verzeichnis der Verarbeitungstätigkeiten und angemessene technische und organisatorische Maßnahmen. Wird eine Verarbeitung aber voraussichtlich ein hohes Risiko auslösen, schreibt Art. 35 DSGVO einen zusätzlichen Schritt vor: die Datenschutz-Folgenabschätzung. Sie findet vor dem Start statt, nicht danach, und wird schriftlich festgehalten. Das Gesetz nennt drei Regelfälle ausdrücklich: die systematische und umfassende Bewertung von Personen, etwa durch Profiling, auf deren Grundlage Entscheidungen mit erheblichen Folgen fallen; die umfangreiche Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten; und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Zusätzlich veröffentlichen die deutschen Aufsichtsbehörden eine Liste von Verarbeitungen, bei denen eine DSFA immer erforderlich ist.

Inhaltlich besteht eine DSFA nach Art. 35 Abs. 7 DSGVO aus vier Teilen: einer systematischen Beschreibung der Verarbeitung und ihrer Zwecke, einer Bewertung, ob die Verarbeitung notwendig und verhältnismäßig ist, einer Bewertung der Risiken für die Betroffenen und den geplanten Abhilfemaßnahmen. Ist ein Datenschutzbeauftragter benannt, muss sein Rat eingeholt werden. Bleibt nach allen Maßnahmen ein hohes Restrisiko, muss das Unternehmen vor dem Start die Aufsichtsbehörde konsultieren (Art. 36 DSGVO). Und die DSFA ist kein Einmal-Dokument: Ändern sich Zweck, Datenarten oder eingesetzte Systeme, wird sie überprüft und fortgeschrieben.

Abzugrenzen ist die DSFA von mehreren Nachbarbegriffen. Die Schwellwertanalyse ist die vorgelagerte Prüfung, ob überhaupt eine DSFA nötig ist; sie sollte selbst kurz dokumentiert werden. Der Auftragsverarbeitungsvertrag (AVV) regelt, was ein Dienstleister mit den Daten tun darf, bewertet aber nicht das Risiko der Verarbeitung als Ganzes. Die KI-Nutzungsrichtlinie legt intern fest, welche Werkzeuge mit welchen Daten genutzt werden dürfen. Die KI-Verordnung (AI Act) schließlich ist ein eigenes Regelwerk mit eigenen Pflichten; für bestimmte Betreiber von Hochrisiko-KI-Systemen sieht sie eine Grundrechte-Folgenabschätzung vor, die eine DSFA ergänzen, aber nicht ersetzen kann.

Für den Mittelstand wird die DSFA vor allem durch KI relevant. Ein Unternehmens-GPT mit Zugriff auf Personalakten, ein KI-Telefonassistent, der Gespräche aufzeichnet und auswertet, oder eine automatisierte Bewerbervorauswahl sind typische Kandidaten. Dieser Eintrag ist eine praktische Einordnung, keine Rechtsberatung.

Datenschutz-Folgenabschätzung (DSFA) kurz erklärt: die wichtigsten Punkte

• Rechtsgrundlage ist Art. 35 DSGVO; die Pflicht hängt nicht von der Unternehmensgröße ab, sondern vom Risiko der konkreten Verarbeitung.
• Die DSFA muss vor Beginn der Verarbeitung abgeschlossen sein – nicht erst, wenn das System bereits mit echten Daten läuft.
• Den Mindestinhalt gibt Art. 35 Abs. 7 vor: Beschreibung, Notwendigkeit und Verhältnismäßigkeit, Risikobewertung, Abhilfemaßnahmen.
• Verantwortlich ist die Geschäftsführung; ein benannter Datenschutzbeauftragter wird beteiligt, entscheidet aber nicht an ihrer Stelle.
• Bleibt trotz Maßnahmen ein hohes Restrisiko, ist vor dem Start die Aufsichtsbehörde zu konsultieren; bei Änderungen wird die DSFA aktualisiert.

Datenschutz-Folgenabschätzung (DSFA) in der Praxis

• KI-gestützte Bewerbervorauswahl: Ein Personaldienstleister will eingehende Bewerbungen von einer KI sortieren und mit einer Eignungsbewertung versehen lassen. Weil Personen systematisch bewertet werden und die Bewertung über ihre Chancen entscheidet, führt das Unternehmen vorab eine DSFA durch. Ergebnis: Die KI schlägt nur vor, jede Absage prüft ein Mensch, Kriterien und Datenarten werden dokumentiert, Bewerber werden in der Datenschutzinformation über den KI-Einsatz informiert.
• Sprachdokumentation im Pflegedienst: Ein ambulanter Pflegedienst möchte, dass Pflegekräfte ihre Einsätze per Sprache diktieren und eine KI daraus die Pflegedokumentation erstellt. Es handelt sich um Gesundheitsdaten in großem Umfang. Die DSFA klärt, wo Audiodateien verarbeitet und wann sie gelöscht werden, welche Anbieter beteiligt sind, wer Zugriff auf die Texte hat und wie Fehler der KI vor der Übernahme in die Akte erkannt werden.
• Videoüberwachung auf dem Betriebsgelände: Ein Logistikbetrieb plant Kameras an Toreinfahrt und Ladezone, ergänzt um eine automatische Kennzeichenerkennung. Weil auch Beschäftigte und Fahrer fremder Speditionen erfasst werden, prüft die DSFA Zweck, Kamerawinkel, Speicherdauer und Zugriffsrechte. Am Ende werden Pausenbereiche ausgespart, Aufnahmen nach kurzer Frist gelöscht und Auswertungen nur bei konkretem Anlass zugelassen.

Woran Sie erkennen, dass eine Datenschutz-Folgenabschätzung (DSFA) nötig ist

1. Ein System bewertet, sortiert oder bepunktet Menschen automatisiert – etwa Bewerber, Kunden, Mieter oder Beschäftigte – und das Ergebnis hat spürbare Folgen für sie.
2. Es werden Gesundheitsdaten, biometrische Daten oder andere besondere Kategorien nach Art. 9 DSGVO in größerem Umfang verarbeitet.
3. Bereiche, die viele Menschen betreten, werden systematisch per Kamera, Sensorik oder Ortung überwacht, oder Beschäftigte werden in ihrer Leistung oder ihrem Verhalten fortlaufend erfasst.
4. Eine neue Technologie wie generative KI, Sprach- oder Gesichtserkennung wird mit personenbezogenen Daten eingesetzt, deren Wirkung im Betrieb noch niemand sicher abschätzen kann.
5. Datenbestände aus verschiedenen Quellen werden zusammengeführt oder abgeglichen, sodass über einzelne Personen ein deutlich umfassenderes Bild entsteht als vorher.

Typische Fehler

• Erst einführen, dann prüfen: Das KI-System läuft seit Wochen mit echten Daten, die DSFA wird erst geschrieben, wenn eine Beschwerde oder Anfrage der Aufsicht eingeht.
• Die Vorprüfung nicht dokumentieren: Ob eine DSFA nötig ist, wurde nur mündlich entschieden – im Ernstfall lässt sich nicht belegen, dass überhaupt geprüft wurde.
• Formular statt Analyse: Eine Vorlage wird ausgefüllt, ohne dass Fachabteilung und IT den tatsächlichen Datenfluss kennen; Risiken und Maßnahmen bleiben allgemein.
• Einmal und nie wieder: Das System wird um neue Funktionen, Datenquellen oder Anbieter erweitert, die DSFA bleibt auf dem Stand des Starttags.

Mein Bezug

Ich bin selbst Unternehmer und setze in unseren eigenen Firmen täglich KI ein, bis hin zu digitalen Mitarbeitern, die Aufgaben im Hintergrund vorbereiten. Bevor ein solches System mit Kunden- oder Mitarbeiterdaten arbeitet, klären wir zuerst, welche Daten wohin fließen, wer darauf zugreift und wo das eigentliche Risiko liegt – genau die Grundlage, die eine DSFA braucht. Als zertifizierter KI-Manager und BAFA-akkreditierter Berater begleite ich Betriebe in Rostock, Mecklenburg-Vorpommern und Norddeutschland dabei, KI-Vorhaben so vorzubereiten: Prozessanalyse, Beschreibung der Datenflüsse, Auswahl der Anbieter und Regeln für das Team. Die rechtliche Bewertung und Freigabe der DSFA gehört zum Datenschutzbeauftragten oder Anwalt – ich sorge dafür, dass dort keine Lücken in der Beschreibung des Vorhabens bleiben.

Zur Förderung bleibe ich ehrlich: Für die DSFA selbst gibt es kein eigenes Förderprogramm. Ist die Vorbereitung Teil einer Beratung, in der Prozesse analysiert und ein KI-Konzept erarbeitet werden, kann der beratende Anteil über die BAFA-Beratungsförderung bezuschusst werden – in Mecklenburg-Vorpommern und den übrigen neuen Bundesländern mit 80 Prozent, höchstens 2.800 Euro je Beratung. Die Umsetzung ist nicht gefördert. Die Richtlinie wurde bis zum 31. Dezember 2028 verlängert; für Anträge ab dem 1. Januar 2027 gelten geänderte Bedingungen. Details stehen im Beitrag BAFA verlängert die Förderung von Unternehmensberatungen.

Verwandte Begriffe

• Auftragsverarbeitungsvertrag (AVV)
• KI-Verordnung (AI Act)
• KI-Nutzungsrichtlinie
• Schatten-KI (Shadow AI)
• Unternehmens-GPT
• KI-Telefonassistent
• Datenstrategie

Weiterführende Beiträge

• ChatGPT und Co. datenschutzkonform nutzen: Was Unternehmen bei KI und DSGVO wirklich beachten müssen
• ChatGPT im Betrieb: erlaubt oder Datenschutz-Falle?
• Datenschutz als Ausrede? Warum Digitalisierung trotzdem möglich ist
• EU AI Act ab 2. August 2026: Was jetzt für Ihr Unternehmen gilt
• Digital Omnibus: Cookie-Banner bleiben, KI-Training soll erleichtert werden

Häufige Fragen zu Datenschutz-Folgenabschätzung (DSFA)

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Eine Datenschutz-Folgenabschätzung ist eine dokumentierte Risikoprüfung nach Art. 35 DSGVO, die ein Unternehmen vor dem Start einer besonders riskanten Datenverarbeitung durchführt. Sie beschreibt die Verarbeitung, prüft ihre Notwendigkeit, bewertet die Risiken für die betroffenen Personen und legt Maßnahmen fest, mit denen diese Risiken gesenkt werden.

Wann ist eine DSFA Pflicht?

Eine DSFA ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt. Das Gesetz nennt ausdrücklich die systematische Bewertung von Personen mit erheblichen Folgen für sie, die umfangreiche Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche; zusätzlich veröffentlichen die Aufsichtsbehörden eine Liste von Fällen, in denen sie immer erforderlich ist.

Brauche ich für jede KI-Anwendung eine DSFA?

Nein, nicht jede KI-Anwendung löst eine DSFA aus. Wer einen KI-Assistenten nur für Texte ohne Personenbezug nutzt, braucht in der Regel keine; werden dagegen Bewerber, Kunden oder Beschäftigte automatisiert bewertet, Gesundheitsdaten verarbeitet oder Gespräche umfangreich ausgewertet, ist sie meist erforderlich. Den Ausschlag gibt eine dokumentierte Vorprüfung, die sogenannte Schwellwertanalyse.

Wer führt die DSFA durch?

Verantwortlich für die DSFA ist das Unternehmen, das die Verarbeitung plant, also in der Regel die Geschäftsführung. Ist ein Datenschutzbeauftragter benannt, muss sein Rat eingeholt werden; die inhaltliche Arbeit leisten meist Fachabteilung, IT und Datenschutzbeauftragter gemeinsam, bei Bedarf mit externer Unterstützung.

Was passiert, wenn eine erforderliche DSFA fehlt?

Fehlt eine erforderliche DSFA, verstößt das Unternehmen gegen Art. 35 DSGVO, und die Aufsichtsbehörde kann nach Art. 83 Abs. 4 DSGVO ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes verhängen. In der Praxis wiegt oft schwerer, dass ein bereits laufendes System gestoppt oder nachträglich umgebaut werden muss.