Die Datenschutz-Folgenabschätzung ist das Instrument, mit dem Unternehmen vor Beginn einer risikoreichen Verarbeitung prüfen, welche Gefahren für die betroffenen Personen entstehen und welche Maßnahmen diese Gefahren auf ein vertretbares Maß senken. Sie ist in Artikel 35 der Datenschutz-Grundverordnung geregelt und dort an eine klare Bedingung geknüpft: Führt eine Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, ist die Folgenabschätzung vorab durchzuführen. In der betrieblichen Praxis wird dieses Instrument häufig entweder ignoriert oder zu einem formalen Dokument reduziert, das nach Projektabschluss nachgereicht wird. Beides verfehlt den Zweck. Richtig eingesetzt ist die Folgenabschätzung ein Planungswerkzeug, das Fehlentscheidungen verhindert, bevor Investitionen getätigt sind. Dieser Beitrag beschreibt die Auslösekriterien, den methodischen Ablauf, die Bewertung von Risiken und die Anforderungen an die Dokumentation.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Titelbild: Foto von Matthew Henry auf Unsplash.
Wann eine Folgenabschätzung erforderlich ist
Artikel 35 Absatz 3 nennt drei Regelbeispiele: die systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen mittels automatisierter Verarbeitung einschließlich Profiling, auf die sich Entscheidungen mit rechtlicher Wirkung stützen, die umfangreiche Verarbeitung besonderer Datenkategorien nach Artikel 9 oder von Daten über strafrechtliche Verurteilungen sowie die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Der Verordnungstext ist über EUR-Lex abrufbar.
Diese Beispiele sind nicht abschließend. Die Aufsichtsbehörden veröffentlichen zusätzlich Listen von Verarbeitungsvorgängen, für die eine Folgenabschätzung verpflichtend ist, sowie Listen, für die sie entbehrlich ist. Diese sogenannten Muss- und Kann-Listen sind bei der Prüfung heranzuziehen, weil sie die Ermessensausübung der zuständigen Behörde erkennbar machen.
Kriterien für die Vorprüfung
Praktisch bewährt hat sich eine Vorprüfung anhand von Kriterien, die von den europäischen Datenschutzgremien entwickelt wurden. Treffen zwei oder mehr Kriterien zu, ist die Folgenabschätzung in der Regel durchzuführen.
- Bewerten oder Einstufen von Personen, einschließlich Profiling und Prognosen
- Automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung
- Systematische Überwachung, insbesondere wenn Betroffene die Beobachtung nicht bemerken
- Verarbeitung besonderer Kategorien personenbezogener Daten oder höchst persönlicher Daten
- Verarbeitung in großem Umfang, gemessen an Zahl der Betroffenen, Datenvolumen, Dauer und geografischer Reichweite
- Zusammenführung oder Abgleich von Datensätzen aus unterschiedlichen Quellen
- Daten schutzbedürftiger Personen, etwa Beschäftigte, Kinder, Patienten
- Innovativer Einsatz oder Anwendung neuer technologischer oder organisatorischer Lösungen
- Verarbeitung, die Betroffene an der Ausübung eines Rechts oder der Nutzung einer Dienstleistung hindert
Wichtig ist die zeitliche Einordnung dieser Vorprüfung. Sie gehört an den Beginn eines Vorhabens, idealerweise in die Phase der Anforderungsdefinition, und nicht in die Beschaffungs- oder Einführungsphase. Praktisch lässt sich das über einen festen Prüfpunkt in bestehenden Projekt- und Beschaffungsprozessen verankern: Vor Freigabe eines Budgets oder vor Unterzeichnung eines Vertrags wird verbindlich geprüft, ob personenbezogene Daten verarbeitet werden und ob eines der Kriterien greift. Diese Verankerung ist wirksamer als jede nachträgliche Erinnerung, weil sie den Prüfschritt an eine ohnehin stattfindende Entscheidung koppelt und damit nicht vergessen werden kann. Dokumentiert wird auch das negative Ergebnis, weil sonst später nicht belegbar ist, dass überhaupt geprüft wurde.
Typische Anlässe im Unternehmen sind die Einführung von Videoüberwachung auf dem Betriebsgelände, der Einsatz von Systemen zur Auswertung von Beschäftigtendaten, umfangreiche Kundenanalyse mit Scoring, biometrische Zutrittssysteme, Telematiksysteme in Fahrzeugflotten sowie der Einsatz von KI-Systemen, die personenbezogene Daten verarbeiten.
Der häufigste Fehler ist zeitlicher Natur: Die Folgenabschätzung wird durchgeführt, wenn das System bereits beschafft und konfiguriert ist. Zu diesem Zeitpunkt sind die wirksamsten Maßnahmen, nämlich Verzicht auf bestimmte Datenfelder oder Auswahl eines anderen Verfahrens, faktisch nicht mehr verfügbar.
Der Ablauf in sieben Schritten
- Systematische Beschreibung der geplanten Verarbeitung: Zweck, Rechtsgrundlage, Datenkategorien, Betroffenengruppen, Empfänger, Speicherdauer, eingesetzte Systeme und Datenflüsse einschließlich Übermittlungen in Drittländer
- Bewertung der Notwendigkeit und Verhältnismäßigkeit: Ist der Zweck auch mit weniger Daten oder milderen Mitteln erreichbar, sind Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung gewahrt
- Identifikation der Risiken für die betroffenen Personen, unterteilt nach unbefugtem Zugriff, unerwünschter Veränderung und Verlust der Verfügbarkeit
- Bewertung der Risiken nach Eintrittswahrscheinlichkeit und Schwere der Folgen aus Sicht der Betroffenen, nicht aus Sicht des Unternehmens
- Festlegung von Abhilfemaßnahmen: technische und organisatorische Maßnahmen, Garantien, Sicherheitsvorkehrungen und Verfahren zur Wahrung der Betroffenenrechte
- Bewertung des verbleibenden Restrisikos nach Umsetzung der Maßnahmen
- Dokumentation, Freigabe durch die verantwortliche Stelle und gegebenenfalls vorherige Konsultation der Aufsichtsbehörde
Die Perspektive der Betroffenen
Der methodisch anspruchsvollste Punkt ist Schritt vier. Bewertet wird nicht das Risiko für das Unternehmen, etwa Bußgeld oder Reputationsschaden, sondern das Risiko für die betroffenen Personen. Zu betrachten sind physische, materielle und immaterielle Schäden: Diskriminierung, Identitätsdiebstahl, finanzieller Verlust, Rufschädigung, Verlust der Vertraulichkeit berufsgeheimnisgeschützter Daten, Verlust der Kontrolle über die eigenen Daten oder Beeinträchtigung der freien Entfaltung.
| Schweregrad | Beschreibung aus Sicht der betroffenen Person | Beispiel |
|---|---|---|
| Gering | Unannehmlichkeit, die ohne Aufwand überwunden wird | Unerwünschte Werbeansprache |
| Mittel | Erhebliche Unannehmlichkeit mit Aufwand zur Behebung | Notwendigkeit, Zugangsdaten zu ändern und Konten zu überwachen |
| Hoch | Schwerwiegende Folgen, die nur mit erheblichem Aufwand behoben werden | Finanzieller Schaden, Offenlegung sensibler Umstände gegenüber Dritten |
| Sehr hoch | Irreversible oder existenzielle Folgen | Verlust des Arbeitsplatzes, Gefährdung der körperlichen Sicherheit |
Die Skala für die Eintrittswahrscheinlichkeit wird analog gebildet und berücksichtigt Angriffsattraktivität, Zahl der Zugriffsberechtigten, Exposition des Systems und vorhandene Schutzmaßnahmen. Die Kombination beider Achsen ergibt die Risikoeinstufung, aus der sich der Handlungsbedarf ableitet.
Abgrenzung zur einfachen Risikobetrachtung
Nicht jede Verarbeitung erfordert eine vollständige Folgenabschätzung, aber jede Verarbeitung erfordert eine Risikobetrachtung. Artikel 24 und 32 verlangen technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, was ohne Risikoeinschätzung nicht bestimmbar ist. Die Folgenabschätzung ist demnach die vertiefte Form eines Verfahrens, das ohnehin in abgestufter Tiefe stattfindet.
Sinnvoll ist deshalb ein dreistufiges Modell. Auf der ersten Stufe steht eine kurze Risikoeinschätzung, die bei jeder neuen Verarbeitung im Rahmen der Aufnahme ins Verzeichnis erfolgt und wenige Minuten beansprucht. Auf der zweiten Stufe steht die Vorprüfung anhand der Kriterienliste, sobald die erste Stufe Auffälligkeiten zeigt. Auf der dritten Stufe steht die vollständige Folgenabschätzung. Dieses Modell verhindert zwei gegenläufige Fehler: den vollständigen Verzicht auf Risikobetrachtung bei unauffälligen Verarbeitungen und den unangemessenen Aufwand für Vorgänge, bei denen offensichtlich kein hohes Risiko vorliegt.
Beteiligte und Zuständigkeiten
Verantwortlich für die Durchführung ist die verantwortliche Stelle, also das Unternehmen, vertreten durch die Geschäftsführung. Der Datenschutzbeauftragte ist nach Artikel 35 Absatz 2 einzubinden und berät bei der Durchführung, führt sie jedoch nicht anstelle der verantwortlichen Stelle durch. Diese Unterscheidung ist wichtig: Der Datenschutzbeauftragte kann nicht zugleich beraten und die Verarbeitung freigeben, weil das seine Unabhängigkeit beeinträchtigen würde.
Weiter einzubeziehen sind die Fachabteilung als Prozessverantwortliche, die Informationssicherheit für die Bewertung technischer Maßnahmen, die IT für die Systembeschreibung sowie, sofern vorhanden, die Rechtsabteilung. Bei Verarbeitungen mit Beschäftigtenbezug ist die Beteiligung der Interessenvertretung zu berücksichtigen, weil regelmäßig Mitbestimmungsrechte bei technischen Einrichtungen bestehen, die zur Verhaltens- oder Leistungskontrolle geeignet sind.
Artikel 35 Absatz 9 sieht zudem vor, dass gegebenenfalls der Standpunkt der betroffenen Personen oder ihrer Vertreter eingeholt wird. In der Praxis geschieht das über die Interessenvertretung, über Fachverbände oder bei Kundenverarbeitungen über strukturierte Rückmeldungen. Wird darauf verzichtet, sollte die Begründung dokumentiert werden.
Maßnahmen und Restrisiko
Die Maßnahmen zur Risikominderung lassen sich in vier Gruppen ordnen. Erstens Maßnahmen an der Verarbeitung selbst: Verzicht auf Datenfelder, Verkürzung von Speicherfristen, Pseudonymisierung, Aggregation statt Einzelfallauswertung, Verzicht auf Verknüpfungen. Diese Gruppe ist die wirksamste, weil sie das Risiko an der Wurzel reduziert. Zweitens technische Schutzmaßnahmen: Verschlüsselung bei Übertragung und Speicherung, Rollen- und Berechtigungskonzepte, Mehr-Faktor-Authentifizierung, Protokollierung von Zugriffen, Trennung von Umgebungen. Drittens organisatorische Maßnahmen: Verpflichtung auf Vertraulichkeit, Schulungen, Freigabeprozesse, Regelungen zu Test- und Produktivdaten, Löschkonzept. Viertens Maßnahmen zur Wahrung der Betroffenenrechte: verständliche Informationen, funktionierende Auskunfts- und Löschprozesse, Widerspruchsmöglichkeiten, Ansprechstelle.
Nach Umsetzung wird das Restrisiko erneut bewertet. Verbleibt trotz der Maßnahmen ein hohes Risiko, ist nach Artikel 36 die Aufsichtsbehörde vorab zu konsultieren. Die Behörde antwortet innerhalb einer festgelegten Frist und kann Empfehlungen aussprechen oder Anordnungen treffen. In der Praxis ist dieser Fall selten, weil die Maßnahmen das Risiko üblicherweise ausreichend senken. Wird die Konsultation erforderlich, ist ein deutlicher Zeitpuffer in der Projektplanung einzuplanen.
Verbindung zu ISO 27001 und zum Verzeichnis von Verarbeitungstätigkeiten
Unternehmen mit einem Informationssicherheitsmanagementsystem nach ISO 27001 verfügen bereits über eine Risikomethodik und einen Maßnahmenkatalog. Beide lassen sich nutzen, allerdings mit einer wichtigen Anpassung: Die Informationssicherheit bewertet Risiken für die Organisation, die Folgenabschätzung Risiken für die betroffenen Personen. Die Bewertungsperspektive muss also bewusst gewechselt werden, auch wenn Maßnahmenkatalog und Dokumentationswege gemeinsam genutzt werden können.
Ebenso besteht ein enger Bezug zum Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30. Das Verzeichnis liefert die Grundstruktur für Schritt eins und sollte deshalb vor Beginn der Folgenabschätzung aktuell sein. Umgekehrt fließen Erkenntnisse aus der Folgenabschätzung, etwa geänderte Speicherfristen, in das Verzeichnis zurück.
Beispiel: Videoüberwachung auf dem Betriebsgelände
Ein Fertigungsbetrieb plant Kameras an Toren, Lagerzufahrten und im Außenbereich, nachdem wiederholt Material entwendet wurde. Die Vorprüfung ergibt mehrere zutreffende Kriterien: systematische Überwachung, Daten schutzbedürftiger Personen, weil auch Beschäftigte erfasst werden, sowie Verarbeitung in größerem Umfang durch Dauerbetrieb. Die Folgenabschätzung ist damit durchzuführen.
In der Verarbeitungsbeschreibung werden Kamerapositionen, Erfassungsbereiche, Blickwinkel, Aufzeichnungszeiten, Speicherdauer, Zugriffsberechtigte und der Umgang mit Aufnahmen im Anlassfall festgelegt. Die Prüfung der Verhältnismäßigkeit führt regelmäßig zu Anpassungen: Verzicht auf Kameras in Pausen- und Sozialbereichen, Ausblendung öffentlicher Verkehrsflächen und angrenzender Grundstücke durch Maskierung, Beschränkung der Aufzeichnung auf Zeiten außerhalb der regulären Betriebszeit sowie Prüfung milderer Mittel wie verbesserter Zaunanlagen und Zutrittskontrolle.
Als Risiken werden identifiziert: dauerhafter Überwachungsdruck auf Beschäftigte, unbefugter Zugriff auf Aufzeichnungen, zweckwidrige Nutzung zur Leistungskontrolle sowie Erfassung Dritter ohne Kenntnis. Die Maßnahmen umfassen eine kurze Speicherfrist mit automatischer Löschung, ein Vier-Augen-Prinzip beim Zugriff auf Aufzeichnungen, Protokollierung jedes Zugriffs, eine Betriebsvereinbarung mit ausdrücklichem Verbot der Leistungskontrolle, Hinweisbeschilderung an allen Zugängen sowie eine Ansprechstelle für Auskunftsersuchen. Das verbleibende Restrisiko wird nach diesen Maßnahmen als mittel bewertet, sodass eine vorherige Konsultation der Aufsichtsbehörde entbehrlich ist.
Typische Fehler in der Praxis
- Zu späte Durchführung, wenn Systemauswahl und Konfiguration bereits abgeschlossen sind
- Bewertung der Risiken aus Unternehmenssicht statt aus Sicht der betroffenen Personen
- Verwechslung der Folgenabschätzung mit dem Verzeichnis von Verarbeitungstätigkeiten
- Fehlende Begründung der Risikoeinstufungen, wodurch das Ergebnis nicht nachvollziehbar wird
- Maßnahmen ohne Verantwortliche und Termine, sodass die Umsetzung nicht nachweisbar ist
- Keine erneute Prüfung nach wesentlichen Änderungen der Verarbeitung
- Unterlassene Dokumentation der Vorprüfung, wenn diese zu dem Ergebnis kommt, dass keine Folgenabschätzung erforderlich ist
Dokumentation und laufende Überprüfung
Die Folgenabschätzung ist zu dokumentieren, weil sie Bestandteil der Rechenschaftspflicht nach Artikel 5 Absatz 2 ist. Die Dokumentation sollte enthalten: Anlass und Ergebnis der Vorprüfung, die Verarbeitungsbeschreibung, die Bewertung von Notwendigkeit und Verhältnismäßigkeit, die Risikoanalyse mit nachvollziehbarer Begründung der Einstufungen, den Maßnahmenkatalog mit Verantwortlichen und Terminen, die Restrisikobewertung, die Stellungnahme des Datenschutzbeauftragten, die Freigabeentscheidung sowie das Datum der nächsten Überprüfung.
Die Überprüfung ist kein einmaliger Vorgang. Artikel 35 Absatz 11 verlangt eine Überprüfung, wenn sich das Risiko ändert. Anlässe sind die Erweiterung des Verarbeitungszwecks, zusätzliche Datenkategorien, neue Empfänger, Wechsel des Dienstleisters, Änderungen der Systemarchitektur sowie sicherheitsrelevante Vorfälle. Sinnvoll ist zusätzlich ein fester Überprüfungsturnus, üblicherweise jährlich oder zweijährlich, abhängig von der Risikohöhe.
Für wiederkehrende Verarbeitungsarten lohnt sich eine Vorlage mit vorbereiteten Textbausteinen für Verarbeitungsbeschreibung, Standardrisiken und Standardmaßnahmen. Die eigentliche Bewertungsarbeit bleibt fallbezogen, aber der Erstellungsaufwand sinkt erheblich. Zu vermeiden ist allerdings die Übernahme fremder Folgenabschätzungen ohne Anpassung: Sie sind an konkrete Systemkonfigurationen und Organisationsstrukturen gebunden und liefern ohne Prüfung kein belastbares Ergebnis.
FAQ
Wer entscheidet, ob eine Folgenabschätzung erforderlich ist?
Die verantwortliche Stelle, also das Unternehmen. Der Datenschutzbeauftragte berät bei dieser Einschätzung, trifft die Entscheidung aber nicht. Das Ergebnis der Vorprüfung sollte dokumentiert werden, auch wenn es negativ ausfällt.
Kann eine Folgenabschätzung mehrere Verarbeitungen abdecken?
Ja. Artikel 35 Absatz 1 lässt eine gemeinsame Prüfung für Verarbeitungsvorgänge zu, die ähnliche hohe Risiken aufweisen. Das ist etwa bei mehreren Standorten mit identischem Videoüberwachungskonzept sinnvoll.
Was passiert, wenn die Folgenabschätzung unterbleibt?
Das Unterlassen einer erforderlichen Folgenabschätzung ist selbst ein Verstoß, der bußgeldbewehrt ist. Praktisch schwerwiegender ist häufig, dass ohne die Prüfung Verarbeitungen in Betrieb gehen, die später angepasst oder eingestellt werden müssen.
Muss die Folgenabschätzung veröffentlicht werden?
Eine Veröffentlichungspflicht besteht nicht. Eine Zusammenfassung kann jedoch das Vertrauen der Betroffenen stärken und ist bei Verarbeitungen mit Beschäftigtenbezug häufig hilfreich für die Abstimmung mit der Interessenvertretung.
Wie lange dauert eine Folgenabschätzung?
Das hängt von der Komplexität ab. Bei klar umrissenen Verarbeitungen mit vorhandenem Verzeichnis und eingespielter Methodik sind wenige Wochen realistisch. Bei neuen Technologien mit unklaren Datenflüssen ist deutlich mehr Zeit einzuplanen, insbesondere für die Systembeschreibung.
Ist eine Folgenabschätzung auch bei Auftragsverarbeitern nötig?
Die Pflicht trifft die verantwortliche Stelle. Der Auftragsverarbeiter ist jedoch nach Artikel 28 verpflichtet, die erforderlichen Informationen und Unterstützung bereitzustellen. Diese Mitwirkungspflicht sollte im Auftragsverarbeitungsvertrag ausdrücklich geregelt sein.
