Eine Datenschutz-Folgenabschätzung ist vor Beginn einer Verarbeitung erforderlich, wenn diese voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Maßgeblich sind Art, Umfang, Umstände und Zwecke der geplanten Verarbeitung. Neue Technik, KI oder besondere Daten lösen die DSFA nicht jeweils automatisch aus; sie sind Risikofaktoren im konkreten Kontext. Bleibt trotz geplanter Schutzmaßnahmen ein hohes Risiko, muss der Verantwortliche vor dem Start die Aufsichtsbehörde nach Art. 36 DSGVO konsultieren.
Kerntatsachen
- Zeitpunkt: Die DSFA gehört in die Planung und muss vor der Hochrisiko-Verarbeitung abgeschlossen sein.
- Verantwortung: Der Verantwortliche führt sie durch und entscheidet über Maßnahmen; der Datenschutzbeauftragte berät und überwacht.
- Keine mechanische Formel: Die bekannten Risikokriterien sind Prüfindikatoren, keine gesetzliche Zwei-Punkte-Automatik.
- Listen helfen, ersetzen Art. 35 aber nicht: Ein Vorgang auf der behördlichen Muss-Liste benötigt eine DSFA; ein fehlender Eintrag bedeutet nicht automatisch Entwarnung.
- Betroffenenperspektive: Bewertet werden mögliche Schäden für Menschen, nicht nur Betriebs- oder IT-Risiken.
- Konsultation nur bei hohem Restrisiko: Art. 36 ist kein Genehmigungsschritt für jede DSFA.
- Lebender Prozess: Ändert sich das Risiko, muss die Bewertung überprüft und gegebenenfalls aktualisiert werden.
Wann ist eine DSFA verpflichtend?
Art. 35 Abs. 1 DSGVO stellt auf eine Prognose ab: Ist angesichts von Art, Umfang, Umständen und Zwecken voraussichtlich mit einem hohen Risiko zu rechnen? Der Hinweis auf neue Technologien ist Teil dieser Gesamtbetrachtung, kein eigenständiger Automatismus.
Art. 35 Abs. 3 nennt drei besonders relevante Fallgruppen:
- systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, wenn darauf Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung beruhen;
- umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10;
- systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
„Insbesondere“ bedeutet: Auch andere Konstellationen können ein hohes Risiko erzeugen. Umgekehrt ist nicht jede kleine Verarbeitung von Gesundheitsdaten oder jede neue Software automatisch DSFA-pflichtig.
Muss-Liste und allgemeine Hochrisikoprüfung
Die deutschen Aufsichtsbehörden haben für den nichtöffentlichen Bereich eine Liste von Verarbeitungstätigkeiten veröffentlicht, für die eine DSFA durchzuführen ist. Sie ist nicht abschließend.
Die Reihenfolge der Prüfung lautet daher:
- Fällt die geplante Verarbeitung unter eine einschlägige behördliche Liste? Dann ist die DSFA verpflichtend.
- Falls nicht: Ergibt die allgemeine Prüfung nach Art. 35 Abs. 1 dennoch voraussichtlich ein hohes Risiko? Dann ist ebenfalls eine DSFA erforderlich.
- Falls keine DSFA durchgeführt wird: Screening, Annahmen und Begründung dokumentieren und bei Änderungen erneut prüfen.
Für öffentliche Stellen können andere beziehungsweise ergänzende Listen der jeweils zuständigen Aufsicht gelten. Die DSK-Liste für den nichtöffentlichen Bereich darf nicht unbesehen auf jede Organisation übertragen werden.
Die neun Risikokriterien richtig anwenden
Die von der früheren Artikel-29-Gruppe entwickelten und vom EDPB gebilligten Leitlinien nennen neun typische Kriterien:
- Bewertung oder Einstufung von Personen einschließlich Profiling und Prognosen;
- automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung;
- systematische Überwachung;
- sensible oder höchstpersönliche Daten;
- umfangreiche Verarbeitung;
- Abgleich oder Zusammenführung von Datensätzen;
- Daten schutzbedürftiger betroffener Personen;
- innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen;
- Verarbeitung, die Betroffene an der Ausübung eines Rechts oder der Nutzung eines Dienstes beziehungsweise Vertrags hindert.
In vielen Fällen sprechen zwei Kriterien für die Notwendigkeit einer DSFA. Das ist eine Orientierung, keine starre Rechtsregel: Ein einzelnes Kriterium kann bei starker Ausprägung genügen; mehrere Kriterien können im konkreten Fall trotzdem eine begründete nähere Bewertung erfordern. Wer trotz deutlicher Indikatoren keine DSFA durchführt, sollte diese Entscheidung belastbar dokumentieren und den Datenschutzbeauftragten einbeziehen.
Was bedeutet „umfangreich“?
Die DSGVO nennt keine feste Personen- oder Datensatzgrenze. Zu betrachten sind insbesondere:
- Zahl oder Anteil der betroffenen Personen;
- Umfang und Vielfalt der Daten;
- Dauer oder Dauerhaftigkeit der Verarbeitung;
- geografische Reichweite.
Eine pauschale Schwelle wie „ab 10.000 Personen“ ist daher nicht belastbar. Auch ein kleinerer Bestand kann zusammen mit hoher Sensibilität, engmaschiger Überwachung oder erheblichen Entscheidungsfolgen ein hohes Risiko erzeugen.
DSFA-Screening vor dem Projektstart
Ein kurzes, dokumentiertes Screening schafft früh Klarheit. Es sollte mindestens beantworten:
- Welche Verarbeitung wird neu eingeführt oder wesentlich geändert?
- Welche Zwecke werden verfolgt und welche Entscheidungen hängen davon ab?
- Welche Daten und Personengruppen sind betroffen?
- Welche Systeme, Empfänger, Dienstleister und Staaten sind beteiligt?
- Wie lange und in welchem Umfang wird verarbeitet?
- Welche Art.-35-Fallgruppe, Muss-Listen-Position oder Risikokriterien greifen?
- Welche möglichen Folgen entstehen für betroffene Menschen?
- Warum ist eine DSFA erforderlich oder warum voraussichtlich nicht?
Das Ergebnis gehört in die Projektakte und sollte mit dem Verzeichnis der Verarbeitungstätigkeiten, Verträgen, Sicherheitskonzept und Datenschutzhinweisen abgestimmt werden.
Wer ist für die DSFA zuständig?
Der Verantwortliche trägt die Verantwortung für Durchführung, Qualität und Konsequenzen der DSFA. Fachbereiche, Informationssicherheit, Recht, Produktentwicklung und Auftragsverarbeiter liefern die Informationen, die für eine realistische Bewertung nötig sind. Ist ein Datenschutzbeauftragter benannt, muss der Verantwortliche bei der Durchführung dessen Rat einholen.
Der Datenschutzbeauftragte hat eine klar abgegrenzte Rolle:
- auf Anfrage zur DSFA und Methodik beraten;
- die Durchführung nach Art. 39 Abs. 1 lit. c überwachen;
- Annahmen, Risiken und Maßnahmen kritisch hinterfragen;
- Empfehlungen und Abweichungen nachvollziehbar festhalten;
- bei einer Konsultation als Anlaufstelle mitwirken.
Der DSB ist nicht der Genehmiger und sollte nicht die Entscheidungen treffen, die er anschließend unabhängig überwachen soll. Ignoriert der Verantwortliche seinen Rat, empfiehlt sich eine dokumentierte Begründung.
Pflichtinhalte nach Art. 35 Abs. 7
Die DSGVO schreibt kein bestimmtes Dateiformat und keine bestimmte Methode vor. Inhaltlich muss die DSFA mindestens vier Bereiche abdecken.
1. Systematische Beschreibung
- Verarbeitungsschritte, Systeme und Datenflüsse;
- Zwecke und gegebenenfalls verfolgte berechtigte Interessen;
- Datenkategorien, betroffene Personen, Empfänger und Speicherphasen;
- Rollen von Verantwortlichen, gemeinsam Verantwortlichen und Auftragsverarbeitern;
- technische und organisatorische Rahmenbedingungen.
2. Notwendigkeit und Verhältnismäßigkeit
- Eignung der Verarbeitung für den Zweck;
- Erforderlichkeit von Datenumfang, Zugriffen und Speicherdauer;
- weniger eingriffsintensive Alternativen;
- Rechtsgrundlagen, Transparenz, Betroffenenrechte und Zweckbindung;
- Datenminimierung, Richtigkeit und Löschung.
3. Risiken für Rechte und Freiheiten
- mögliche physische, materielle und immaterielle Nachteile;
- Ursachen, Bedrohungen und betroffene Schutzinteressen;
- Wahrscheinlichkeit und Schwere pro Risikoszenario;
- besonders verletzliche Personengruppen und Machtungleichgewichte;
- kumulative Wirkungen aus Verknüpfung, Skalierung oder Dauer.
4. Abhilfemaßnahmen und Nachweis
- technische und organisatorische Schutzmaßnahmen;
- Garantien und Verfahren zum Schutz der Betroffenen;
- Verantwortliche, Termine und Wirksamkeitskontrollen;
- verbleibendes Risiko nach Umsetzung;
- Mechanismen, mit denen die Einhaltung der DSGVO nachgewiesen wird.
Eine bloße Systembeschreibung oder IT-Sicherheitsanalyse erfüllt diese Anforderungen nicht. Die DSFA verbindet Rechtmäßigkeit, Verhältnismäßigkeit und Risiken für Menschen mit überprüfbaren Maßnahmen.
Risiko aus Sicht der Betroffenen bewerten
Die Bewertung darf nicht bei Unternehmensschäden wie Betriebsunterbrechung oder Reputationsverlust stehen bleiben. Relevante Auswirkungen für Personen können beispielsweise sein:
- Diskriminierung oder ungerechtfertigte Benachteiligung;
- Identitätsmissbrauch, Betrug oder wirtschaftlicher Verlust;
- Verlust von Vertraulichkeit bei Gesundheits-, Beschäftigten- oder Kommunikationsdaten;
- Überwachung, Verhaltensdruck oder Verlust von Kontrolle;
- Ausschluss von Leistungen oder fehlerhafte Entscheidungen;
- körperliche Gefährdung, Stigmatisierung oder soziale Nachteile;
- erschwerte Ausübung von Auskunft, Berichtigung, Widerspruch oder Löschung.
Für jedes Szenario sollten Ausgangsrisiko, geplante Maßnahmen und Restrisiko getrennt dargestellt werden. Eine Farbskala allein ist keine Begründung; Annahmen, Kriterien und Wirkungsnachweise müssen erkennbar sein.
Betroffene und Auftragsverarbeiter einbeziehen
Nach Art. 35 Abs. 9 soll der Verantwortliche gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter einholen, sofern dadurch nicht der Schutz geschäftlicher oder öffentlicher Interessen oder die Sicherheit der Verarbeitung beeinträchtigt wird. Befragungen, Nutzervertretungen, Beschäftigtenvertretungen oder vorhandene Forschung können dafür geeignet sein. Wird darauf verzichtet, sollte die Abwägung dokumentiert werden.
Auftragsverarbeiter müssen die für die DSFA erforderliche Unterstützung und technische Transparenz liefern. Der Verantwortliche darf die Risikobeurteilung nicht durch einen allgemeinen Verweis auf Zertifikate oder Standardverträge ersetzen.
Wann ist die Aufsichtsbehörde zu konsultieren?
Art. 36 DSGVO verlangt eine vorherige Konsultation, wenn die DSFA zeigt, dass die Verarbeitung ohne ausreichende Maßnahmen ein hohes Risiko zur Folge hätte und der Verantwortliche dieses Risiko nicht hinreichend eindämmen kann. Praktisch geht es um ein verbleibendes hohes Restrisiko.
| Ergebnis der DSFA | Nächster Schritt |
|---|---|
| Kein hohes Risiko nach wirksamen Maßnahmen | Keine Konsultation nach Art. 36 allein aus diesem Grund; übrige DSGVO-Anforderungen weiter prüfen |
| Hohes Risiko kann durch zusätzliche Maßnahmen reduziert werden | Maßnahmen vor Start umsetzen und Restrisiko neu bewerten |
| Hohes Restrisiko bleibt bestehen | Aufsichtsbehörde vor Beginn nach Art. 36 konsultieren |
Die Konsultation ist keine routinemäßige Freigabe jeder DSFA. Ebenso darf eine Verarbeitung mit hohem Restrisiko nicht einfach gestartet werden, während die Konsultation noch aussteht.
Wann muss eine DSFA aktualisiert werden?
Art. 35 Abs. 11 verlangt eine Überprüfung, wenn sich das mit der Verarbeitung verbundene Risiko ändert. Typische Auslöser sind:
- neue Zwecke, Datenquellen oder Personengruppen;
- größere Skalierung oder längere Speicherdauer;
- neue Modelle, Tracking- oder Entscheidungslogiken;
- Wechsel von Dienstleistern, Hosting-Orten oder Empfängern;
- Sicherheitsvorfälle oder neue Bedrohungen;
- geänderte Wirksamkeit der Schutzmaßnahmen;
- neue Erkenntnisse aus Beschwerden, Audits oder Aufsichtsverfahren.
Die DSGVO schreibt keinen pauschalen jährlichen oder dreijährlichen Turnus vor. Ein risikobasierter Prüfzyklus kann sinnvoll sein, ersetzt aber nicht die anlassbezogene Aktualisierung.
Häufige Fehler
- „Neue Technologie“ oder „KI“ wird ohne Kontext automatisch als DSFA-Pflicht behandelt.
- Umgekehrt wird auf eine DSFA verzichtet, weil der Vorgang nicht wörtlich auf der Muss-Liste steht.
- Zwei Leitlinienkriterien werden als starre gesetzliche Schwelle verwendet.
- Die Risikoanalyse betrachtet nur Cyber-Risiken oder Unternehmensschäden.
- Maßnahmen werden aufgelistet, ohne Verantwortliche und Wirksamkeitsprüfung festzulegen.
- Die DSFA wird erst nach Produktivstart erstellt.
- Der DSB soll die DSFA allein erstellen oder „freigeben“.
- Ein hohes Restrisiko wird dokumentiert, aber Art. 36 nicht geprüft.
- Das Dokument bleibt trotz wesentlicher Prozess- oder Modelländerungen unverändert.
FAQ
Braucht jede KI-Anwendung eine DSFA?
Nein. Zu prüfen sind konkrete Zwecke, Daten, Entscheidungen, Umfang, Überwachung, Neuartigkeit und Folgen. Bei Profiling, erheblichen automatisierten Entscheidungen oder sensiblen Daten kann das Risiko jedoch schnell hoch sein.
Ist bei Gesundheitsdaten immer eine DSFA nötig?
Nicht automatisch bei jeder Verarbeitung. Art. 35 Abs. 3 nennt die umfangreiche Verarbeitung besonderer Datenkategorien; zusätzlich kann der Gesamtkontext nach Art. 35 Abs. 1 ein hohes Risiko ergeben.
Sind zwei Risikokriterien automatisch ausreichend?
Nein. Zwei Kriterien sind eine starke Orientierung aus den Leitlinien, aber keine gesetzliche Rechenregel. Ein Kriterium kann genügen, und jede Entscheidung braucht eine Kontextbegründung.
Muss der Datenschutzbeauftragte die DSFA unterschreiben?
Die DSGVO verlangt keine Genehmigung durch den DSB. Sein Rat ist einzuholen, seine Überwachungsrolle zu ermöglichen und die Verantwortung beim Verantwortlichen zu belassen.
Ist eine bestimmte DSFA-Vorlage vorgeschrieben?
Nein. Art. 35 legt Mindestinhalte fest. Vorlage und Methode dürfen zur Organisation passen, müssen aber alle Anforderungen und eine nachvollziehbare Risikobewertung abdecken.
Kann eine DSFA mehrere Verarbeitungsvorgänge abdecken?
Ja. Eine einzelne Bewertung kann eine Gruppe ähnlicher Verarbeitungsvorgänge mit vergleichbar hohen Risiken abdecken, wenn Abgrenzung, Gemeinsamkeiten und Abweichungen sauber dokumentiert sind.
Passende Unterstützung
Wir begleiten Screening, Moderation, Risikobewertung und Maßnahmenplanung im Rahmen unserer Datenschutz-Beratung. Bei benennungspflichtigen Organisationen kann der externe Datenschutzbeauftragte die gesetzlich vorgesehene Beratungs- und Überwachungsrolle übernehmen.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.