Datenschutz-Folgenabschätzung (DSFA)

Was bedeutet Datenschutz-Folgenabschätzung (DSFA)?

Die DSGVO verlangt von jedem Betrieb, Risiken für die Menschen hinter den Daten mitzudenken. Für die meisten Verarbeitungen genügen dafür das Verzeichnis der Verarbeitungstätigkeiten und passende Schutzmaßnahmen. Birgt eine Verarbeitung aber voraussichtlich ein hohes Risiko für Kunden, Mitarbeitende oder Bewerber, schreibt Artikel 35 eine förmliche Prüfung vor – die Datenschutz-Folgenabschätzung. Sie wird vor dem Start erstellt, nicht nachträglich, und ist eine Pflicht des Verantwortlichen, also der Geschäftsführung. Ein bestellter Datenschutzbeauftragter muss beratend hinzugezogen werden.

Wann ein hohes Risiko vorliegt, beschreibt die DSGVO mit Regelbeispielen: die systematische Bewertung von Personen, etwa durch Profiling, als Grundlage für Entscheidungen mit rechtlicher Wirkung; die umfangreiche Verarbeitung besonders schützenswerter Daten wie Gesundheitsdaten; die systematische Überwachung öffentlich zugänglicher Bereiche. Die deutschen Aufsichtsbehörden haben zusätzlich eine Liste von Verarbeitungen veröffentlicht, für die eine DSFA regelmäßig verlangt wird. Als Faustregel der europäischen Datenschutzbehörden gilt: Treffen zwei von neun Kriterien zu – darunter Bewertung, Überwachung, sensible Daten, große Datenmengen, schutzbedürftige Betroffene wie Beschäftigte oder die innovative Nutzung neuer Technologien –, ist in der Regel eine DSFA fällig.

Inhaltlich muss eine DSFA mindestens vier Dinge enthalten: eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung, ob die Verarbeitung notwendig und verhältnismäßig ist, eine Bewertung der Risiken für die Betroffenen und die geplanten Maßnahmen, mit denen diese Risiken beherrscht werden. Bleibt trotz aller Maßnahmen ein hohes Risiko, muss der Betrieb vor dem Start die Aufsichtsbehörde konsultieren.

Abzugrenzen ist die DSFA von mehreren Nachbarbegriffen. Die Schwellwertanalyse ist die vorgeschaltete Prüfung, ob überhaupt eine DSFA nötig ist. Der Auftragsverarbeitungsvertrag (AVV) regelt die Pflichten eines Dienstleisters, die DSFA bewertet die Risiken der eigenen Verarbeitung – beide ergänzen sich. Die KI-Verordnung kennt eine eigene Grundrechte-Folgenabschätzung, die aber nur bestimmte Betreiber von Hochrisiko-KI-Systemen trifft. Und DSGVO-konforme KI ist kein Produktmerkmal: Ob ein KI-Einsatz zulässig ist, entscheidet sich auch daran, ob die nötige DSFA vorliegt.

Datenschutz-Folgenabschätzung (DSFA) kurz erklärt: die wichtigsten Punkte

• Vorher, nicht nachher: Die DSFA muss abgeschlossen sein, bevor die Verarbeitung beginnt – ein laufendes System nachträglich zu prüfen, heilt den Verstoß nicht.
• Erst die Vorprüfung: Für jede neue Verarbeitung mit Personenbezug wird dokumentiert, ob ein hohes Risiko zu erwarten ist. Nur wenn ja, folgt die vollständige DSFA.
• Die Verantwortung bleibt im Betrieb: Software-Anbieter und Datenschutzbeauftragte liefern zu, die Bewertung und die Entscheidung über den Start trifft der Verantwortliche.
• Maßnahmen sind der Kern: Eine gute DSFA endet nicht mit einer Risikoliste, sondern mit konkreten Schutzmaßnahmen wie Zugriffsregeln, Löschfristen oder menschlicher Freigabe.
• Kein Einmal-Dokument: Ändern sich Zweck, Datenarten, Anbieter oder Funktionsumfang, muss die DSFA überprüft und fortgeschrieben werden.

Datenschutz-Folgenabschätzung (DSFA) in der Praxis

• Bewerbungseingang mit KI-Stelle: Eine KI-Stelle bestätigt den Eingang von Bewerbungen und fasst Unterlagen zusammen. Bewerber sind schutzbedürftige Betroffene, und der Einsatz einer neuen Technologie kommt hinzu – damit sind zwei Kriterien erfüllt. Der Betrieb erstellt eine DSFA und legt darin fest, dass die KI niemanden bewertet oder vorsortiert und jede Absage oder Einladung von einem Menschen freigegeben wird.
• Telefonassistenz für Rückrufe: Eine KI-Telefonassistenz nimmt Anrufe an und erfasst Name, Nummer und Anliegen. Die Schwellwertanalyse zeigt: keine sensiblen Daten, keine Bewertung, keine Überwachung. Der Betrieb dokumentiert, warum keine DSFA nötig ist, und hält fest, unter welchen Änderungen er neu prüft – etwa wenn Patienten- oder Gesundheitsdaten hinzukommen.
• Ortung im Fuhrpark: Ein Handwerksbetrieb will die Fahrzeuge seiner Monteure per GPS erfassen, um Einsätze besser zu planen. Das ist eine systematische Überwachung von Beschäftigten und damit in der Regel DSFA-pflichtig. In der Prüfung zeigt sich, dass eine Ortung nur während der Arbeitszeit und ohne dauerhaftes Bewegungsprofil genügt – die Maßnahme wird entsprechend zugeschnitten und mit dem Betriebsrat abgestimmt.

Woran Sie erkennen, dass Sie eine DSFA brauchen

1. Die Verarbeitung betrifft Gesundheitsdaten, biometrische Daten oder andere besonders schützenswerte Daten in nennenswertem Umfang.
2. Personen werden bewertet, eingestuft oder vorsortiert – etwa Bewerber, Kunden nach Zahlungsverhalten oder Mitarbeitende nach Leistung.
3. Mitarbeitende, Kunden oder Besucher werden systematisch beobachtet, geortet oder protokolliert.
4. Sie setzen eine neue Technologie wie KI ein und verknüpfen dabei Daten aus mehreren Quellen, etwa Postfach, Kundenverwaltung und Telefonie.
5. Die Betroffenen können sich der Verarbeitung praktisch nicht entziehen, weil sie von Ihnen abhängig sind – typisch bei Beschäftigten und Bewerbern.

Typische Fehler

• Die Vorprüfung weglassen: Ohne dokumentierte Schwellwertanalyse kann der Betrieb im Zweifel nicht belegen, warum er keine DSFA erstellt hat.
• Das Muster des Anbieters übernehmen: Eine vorgefertigte DSFA des Software-Anbieters beschreibt sein Produkt, nicht Ihre Zwecke, Ihre Daten und Ihre Betroffenen.
• Risiken auflisten, aber nichts tun: Die DSFA endet mit einer Tabelle voller Risiken, ohne dass Zugriffe, Löschfristen oder Freigaben tatsächlich geregelt werden.
• Den Start vorziehen: Das System läuft schon im Probebetrieb mit echten Daten, die DSFA soll „parallel“ entstehen – genau das schließt die DSGVO aus.

Unser Bezug

Wir arbeiten seit 2025 im eigenen Betrieb mit KI-Stellen und haben dabei gelernt, dass sich viele Fragen einer DSFA schon in der Bauweise beantworten lassen. Unsere Daten und unser Firmengehirn liegen auf Servern in Deutschland in einem Rechenzentrum nach ISO 27001, die Sicherungen an einem zweiten Ort in der EU. Jede KI-Stelle sieht nur das Wissen, für das sie berechtigt ist, und nichts wirkt nach außen ohne Freigabe durch einen Menschen. Eine rote Linie ziehen wir bewusst: Unsere KI-Stellen bewerten keine Beschäftigten. Ebenso offen sagen wir: Unsere eigene Betreiberdokumentation wird gerade geschlossen.

In der Beratung beschreiben wir mit Ihnen die geplanten Abläufe so genau, dass Ihr Datenschutzbeauftragter die Schwellwertanalyse und, falls nötig, die DSFA auf einer belastbaren Grundlage erstellen kann: welche Daten, welche Zwecke, wer zugreift, wo gespeichert wird und an welcher Stelle ein Mensch freigibt. Eine Rechtsberatung ersetzt das nicht. Für die Beratung ist bis zu 80 % Förderung möglich, je nach Betrieb und Standort. Die Umsetzung beauftragen Sie getrennt, wenn Sie wollen: im AI Workspace mit Freigaben an jeder Außenwirkung oder als individuelle Lösung. Die KI bereitet vor, der Mensch gibt frei.

Verwandte Begriffe

• Auftragsverarbeitungsvertrag (AVV)
• DSGVO-konforme KI
• KI-Verordnung
• Betriebsvereinbarung zu KI
• KI-Richtlinie im Unternehmen
• Schatten-KI

Weiterführende Beiträge

• Datenschutz bei KI-Stellen: Was in Deutschland bleibt, was vertraglich abgesichert ist
• Die KI-Verordnung für den Mittelstand: Was Betreiber ab 2026 tatsächlich tun müssen
• KI einführen mit Betriebsrat – planbar statt Bremsklotz
• KI im Recruiting für den Mittelstand: Bewerbungen vorsortieren – eingestellt wird vom Menschen
• Personalverwaltung mit KI im Mittelstand – entschieden wird vom Menschen