Wann muss eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt werden?

Vor Beginn einer Verarbeitung personenbezogener Daten – beispielsweise bei der Einführung eines KI-Tools – ist zu prüfen, welche Risiken für die Rechte und Freiheiten der betroffenen Personen damit verbunden sind. Maßgeblich sind dabei insbesondere Art, Umfang, Umstände und Zwecke der Verarbeitung. Ergibt die Prüfung, dass voraussichtlich ein hohes Risiko besteht, ist nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung, kurz DSFA, durchzuführen.

Die DSFA ist ein strukturiertes Verfahren. Sie beschreibt die geplante Verarbeitung, bewertet deren Notwendigkeit, Verhältnismäßigkeit und Risiken und legt auf dieser Grundlage Maßnahmen fest, mit denen sich die erkannten Risiken wirksam verringern lassen.

Als Instrument der Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 24 DSGVO hat sie eine doppelte Funktion: Sie unterstützt Verantwortliche bei der Einhaltung der Verordnung und dokumentiert zugleich, dass geeignete Maßnahmen ergriffen wurden. Sie dient damit der Sicherstellung und der Dokumentation der Rechtskonformität.

Ist ein Datenschutzbeauftragter benannt, ist bei der Durchführung sein Rat einzuholen (Art. 35 Abs. 2 DSGVO).

Nach dem risikobasierten Ansatz der DSGVO löst nicht jede Verarbeitung eine DSFA aus. Erforderlich ist sie nur, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Dabei muss nicht der Prozess als Ganzes risikobehaftet sein – es genügt ein einzelner Verarbeitungsschritt, etwa eine Datenerhebung oder eine Datenübermittlung, der ein hohes Risiko im Sinne des Art. 35 Abs. 1 DSGVO erwarten lässt.

Neben diesem allgemeinen Tatbestand gibt es zwei Konstellationen, in denen eine DSFA unabhängig vom konkreten Risiko durchzuführen ist:

• die drei Regelbeispiele des Art. 35 Abs. 3 DSGVO,
• Verarbeitungsvorgänge, die die zuständige Aufsichtsbehörde nach Art. 35 Abs. 4 DSGVO in einer veröffentlichten Liste benannt hat.

Diese Vorprüfung wird als Schwellwertanalyse bezeichnet und ist nicht mit der eigentlichen DSFA zu verwechseln. Für den Prüfprozess empfiehlt sich folgende Reihenfolge: zuerst die Listen der Aufsichtsbehörden und die Regelbeispiele prüfen/sichten, weil aus ihnen unmittelbar eine DSFA-Pflicht folgt. Erst wenn dort kein passender Vorgang genannt ist, folgt die allgemeine Risikoabwägung nach Art. 35 Abs. 1 S. 1 DSGVO.

Bei den in Art. 35 Abs. 3 DSGVO genannten Fälle, ist eine DSFA stets durchzuführen, unabhängig davon, ob im Einzelfall ein hohes Risiko besteht. Der Gesetzgeber betrachtet diese Vorgänge als pauschal risikobehaftet. Eine Abwägung im Rahmen der Risikoprüfung ist deshalb nicht erforderlich. 

• Art. 35 Abs. 3 lit. a – Profiling mit erheblichen Folgen: Betrifft systematisches und umfassendes Profiling nach Art. 4 Nr. 4 DSGVO, das anschließend Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung ist. Ein klassischer Fall ist das Anlegen eines Kundenprofils zum Zweck des Scorings, auf dessen Basis über die Vergabe von Krediten entschieden wird.
• Art. 35 Abs. 3 lit. b – besondere Datenkategorien: Betrifft umfangreiche Verarbeitung besonders schutzwürdiger Daten nach Art. 9 und Art. 10 DSGVO. Über das Merkmal „umfangreich" werden Berufsgeheimnisträger ausgenommen, die als Einzelperson in einer kleinen Praxis tätig sind (ErwGr. 91 S. 4 DSGVO). Praxisgemeinschaften oder Kanzleien mit mehr als einem Berufsträger fallen aus dieser Privilegierung heraus.
• Art. 35 Abs. 3 lit. c – Überwachung öffentlich zugänglicher Bereiche: Betrifft die systematische, umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Die Aufsichtsbehörden müssen eine Liste jener Verarbeitungsvorgänge führen und veröffentlichen, die nach ihrer Auffassung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bergen. Steht ein Vorgang auf dieser Positivliste, ist keine weitere Prüfung anhand zusätzlicher Kriterien erforderlich – die DSFA-Pflicht ist damit begründet.

Für den nicht-öffentlichen Bereich gilt eine sogenannte „Muss-Liste" (auch Positiv- oder Blackliste) der Datenschutzkonferenz (DSK), dem gemeinsamen Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder. Sie enthält 17 Verarbeitungstätigkeiten samt typischen Einsatzfeldern und Beispielen, darunter:

• die umfangreiche Verarbeitung von Beschäftigtendaten, wenn diese zur Verhaltensbewertung genutzt wird,
• die Zusammenführung großer Datenbestände aus verschiedenen Quellen, insbesondere wenn dadurch neue Erkenntnisse über betroffene Personen gewonnen werden können (Profiling),
• die umfangreiche Verarbeitung von Daten über den Aufenthalt natürlicher Personen u.a.

Einige Landesaufsichtsbehörden haben eigene Muss-Listen für den nicht-öffentlichen Bereich veröffentlicht. Der weitaus größte Teil verweist jedoch auf die gemeinsame DSK-Liste. Maßgeblich ist grundsätzlich die für das Unternehmen zuständige Aufsichtsbehörde. Unternehmen mit mehreren Niederlassungen sollten daher klären, welche Behörde im konkreten Fall federführend ist. Die Behörden aktualisieren ihre Listen bei Bedarf und stellen die jeweils aktuelle Fassung zum Abruf bereit.

Greift weder ein Regelbeispiel nach Art. 35 Abs. 3 DSGVO, noch ein Listenvorgang nach Art. 35 Abs. 4 DSGVO, muss der Verantwortliche prüfen, ob die Verarbeitung dennoch ein hohes Risiko mit sich bringt. Nach Art. 35 Abs. 1 S. 1 DSGVO ist das der Fall, wenn die Form der Verarbeitung – insbesondere bei Einsatz neuer Technologien – aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein hohes Risiko zur Folge hat.

Das hohe Risiko ist von mittleren und geringen Risiken abzugrenzen (ErwGr. 76 S. 2 DSGVO). Die „Rechte und Freiheiten" betroffener Personen beziehen sich nach der Erklärung der Artikel-29-Datenschutzgruppe zum risikobasierten Ansatz vor allem auf das Recht auf Datenschutz, können aber auch weitere Grundrechte umfassen: Rede- und Gedankenfreiheit, Freizügigkeit, Benachteiligungsverbot, das Recht auf Freiheit sowie die Gewissens- und Religionsfreiheit.

Die DSGVO definiert den Begriff nicht ausdrücklich. Aus ErwGr. 75 und ErwGr. 94 S. 2 DSGVO lässt sich ableiten: Ein Risiko liegt vor, wenn ein Ereignis eintreten kann, das selbst einen Schaden darstellt – einschließlich der ungerechtfertigten Beeinträchtigung von Rechten und Freiheiten – oder zu einem weiteren Schaden für eine oder mehrere natürliche Personen führt.

Ein Risiko hat zwei Dimensionen: die Schwere des Schadens und die Wahrscheinlichkeit, dass Ereignis und Folgeschäden eintreten. Beide sind für den betrachteten Verarbeitungsvorgang zu bewerten (ErwGr. 90 S. 1 DSGVO). Die Schwere ist einzelfallbezogen und – im Einklang mit Art. 35 Abs. 1 S. 1 DSGVO – anhand von Form, Art, Umfang, Umständen und Zwecken der Verarbeitung zu bestimmen. Die Wahrscheinlichkeit ist im Wege einer Prognoseentscheidung zu ermitteln.

Als mögliche Schäden nennt ErwGr. 75 DSGVO unter anderem:

• körperliche Beeinträchtigungen,
• Diskriminierung,
• Identitätsdiebstahl oder -betrug,
• finanzielle Verluste,
• Rufschädigung,
• wirtschaftliche oder gesellschaftliche Nachteile,
• den Ausschluss oder die Einschränkung der Ausübung von Rechten und Freiheiten,
• die Profilerstellung oder -nutzung durch Bewertung persönlicher Aspekte.

In ihren „Leitlinien zur DSFA" (WP 248) verweisen die EU-Aufsichtsbehörden auf die Regelbeispiele des Art. 35 Abs. 3 DSGVO und die Listen nach Art. 35 Abs. 4 DSGVO und benennen neun weitere Kriterien, die für sich genommen risikoerhöhend wirken. Treffen mindestens zwei davon zu, ist in der Regel von einem hohen Risiko auszugehen:

1. Bewertung, Einstufung oder Profiling der betroffenen Personen,
2. automatisierte Entscheidungsfindung mit bedeutsamen Auswirkungen (z. B. rechtlichen Folgen),
3. systematische Überwachung, Beobachtung oder Kontrolle,
4. Verarbeitung sensibler Daten, aufgrund derer betroffene Personen diskriminiert oder missbraucht werden könnten,
5. Verarbeitung von Daten in großem Umfang,
6. Abgleich und Zusammenführung von Datensätzen,
7. Verarbeitung von Daten schutzbedürftiger Personen,
8. innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen,
9. Verhinderung der Ausübung eines Rechts, der Nutzung einer Dienstleistung oder der Durchführung eines Vertrages.

Mit jedem weiteren erfüllten Kriterium steigt die Wahrscheinlichkeit, dass eine DSFA erforderlich ist. In manchen Fällen kann bereits ein einziges Kriterium eine DSFA gebieten. Umgekehrt kann ein Verantwortlicher zu dem Ergebnis kommen, dass ein Vorgang trotz erfüllter Kriterien kein hohes Risiko erwarten lässt – dieses Ergebnis ist dann zu begründen und zu dokumentieren.

Der Einsatz von KI löst nicht automatisch eine DSFA aus. Entscheidend ist auch hier, ob die konkrete Verarbeitung ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen erwarten lässt. Zu beurteilen ist dies anhand der oben genannten Prüfkriterien. Je stärker eine KI Personen bewertet, überwacht oder profiliert oder je sensibler die verarbeiteten Daten sind, desto eher ist eine DSFA erforderlich. In der Praxis wird sie bei KI-Anwendungen daher in vielen Fällen nötig sein.

Als Orientierung: Adressiert die KI die betroffene Person direkt und berührt dabei ihre Grundrechte, wird häufig ein hohes Risiko anzunehmen sein. Dient ein LLM hingegen lediglich als Hilfsmittel einer Verarbeitung, kann im Regelfall auf den Aufwand einer DSFA verzichtet werden.

Wenn der Verantwortliche nicht selbst Anbieter des KI-Systems ist, ist er für die Risikobewertung auf Informationen des Anbieters angewiesen, insbesondere was die Funktionsweise des Systems betrifft. Bei Auswahl und Erwerb einer KI-Anwendung sollte daher darauf geachtet werden, dass der Anbieter diese Informationen bereitstellt.

Die Durchführung einer DSFA ist keine Voraussetzung für die Rechtmäßigkeit einer Verarbeitung. Wird eine erforderliche DSFA jedoch unterlassen, kann darin ein Verstoß gegen Art. 35 DSGVO liegen. Nach Art. 83 Abs. 4 lit. a DSGVO drohen dann Bußgelder von bis zu 10 Mio. EUR oder bei Unternehmen alternativ bis zu 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Maßgeblich ist der höhere Betrag. Zusätzlich können betroffene Personen Schadensersatz nach Art. 82 DSGVO verlangen – insbesondere dann, wenn sich ein Risiko realisiert hat, das durch die DSFA hätte verringert werden können.

Kein Verstoß gegen Art. 35 DSGVO liegt dagegen vor, wenn der Verantwortliche die DSFA vollständig durchführt, bei der Verarbeitung aber auf Gegenmaßnahmen gegen die erkannten Risiken verzichtet. In diesem Fall muss er die Aufsichtsbehörde nach Art. 36 Abs. 1 DSGVO konsultieren.

Die DSFA hilft dabei, Datenverarbeitungen DSGVO-konform zu gestalten. Sie sollte nicht als lästige Pflicht, sondern als praktisches Instrument zur Erfüllung datenschutzrechtlicher Anforderungen verstanden werden. Bei Verarbeitungen mit hohem Risiko ist sie ein zentrales Element der DSGVO-Compliance.

Da sich Risiken im Laufe der Zeit verändern können, sollte die DSFA turnusmäßig überprüft werden – etwa im Abstand eines Jahres.

Sie sind unsicher, ob eine Ihrer Verarbeitungen eine DSFA erfordert? Sprechen Sie uns an – wir unterstützen Sie gerne bei der Prüfung und übernehmen auf Wunsch auch die Durchführung.

Autorin: Rosemarie Popa