Was ist eine Datenschutz-Folgenabschätzung?
Du führst Kundendaten aus Shop, Newsletter und Social Media zusammen. Hast du vorher geprüft, was das für die Menschen dahinter bedeutet? Die Datenschutz-Folgenabschätzung (DSFA) ist genau diese Prüfung. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, nennt sie ein Instrument zur Beschreibung, Bewertung und Eindämmung von Risiken.
Art. 35 DSGVO verlangt sie vor dem Start, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen bringt. Das gilt besonders bei neuen Technologien. Sie bezieht sich auf einen konkreten Vorgang, nicht auf das ganze Unternehmen.
Nach Art. 35 Absatz 7 gehören vier Teile hinein:
- Beschreibung: Was passiert mit den Daten und wozu?
- Notwendigkeit: Ist das erforderlich und verhältnismäßig?
- Risiken: Was kann Betroffenen schaden, und wie wahrscheinlich ist das?
- Maßnahmen: Wie senkst du die Risiken?
Bleibt das Risiko trotz aller Maßnahmen hoch, musst du nach Art. 36 vorab die Aufsichtsbehörde fragen. Die hat dafür bis zu acht Wochen Zeit, verlängerbar um sechs.
Wann brauchst du eine DSFA?
Die Antwort liefert eine Vorprüfung, die Schwellwertanalyse. Drei Quellen helfen dir dabei:
- Art. 35 Absatz 3 DSGVO: drei Regelbeispiele, etwa umfassende automatisierte Bewertung mit erheblicher Wirkung.
- Muss-Liste der DSK: 17 Fälle, ausdrücklich nicht abschließend.
- Neun Kriterien der europäischen Behörden: Die Faustregel lautet: Bei zwei erfüllten Kriterien ist in den meisten Fällen eine DSFA nötig.
Die neun Kriterien in Kurzform: vertrauliche Daten, schutzbedürftige Personen, großer Umfang, systematische Überwachung, innovative Technik, Bewerten und Scoring, Zusammenführen von Datensätzen, automatisierte Entscheidungen mit Rechtswirkung und das Verhindern von Rechten oder Verträgen.
Was heißt das fürs Marketing?
Eine feste Regel für Website-Tracking gibt es nicht. Die Tabelle ist unsere Einordnung aus Kriterien und Muss-Liste. Sie ersetzt keine Prüfung im Einzelfall.
Vorhaben
Einschätzung
Einfacher Newsletter
Meist nein
Webanalyse im Standard
Prüfen, meist nein
Profile aus Shop, Bonität und Social Ads
Ja, Muss-Liste Nr. 10
KI im Kundensupport
Ja, Muss-Liste Nr. 11
Kundenkarte mit Kaufprofilen
Ja, Muss-Liste Nr. 14
Zu Nummer 10 ist die Formulierung der DSK eng: Sie meint Big-Data-Analysen im großen Umfang. Für KI schreibt die DSK in ihrer Orientierungshilfe von 2024, eine DSFA sei beim Einsatz von KI-Anwendungen vielfach erforderlich. Die europäischen Leitlinien nennen als Beispiel ausdrücklich ein Unternehmen, das aus dem Surfverhalten auf seiner Website Marketing-Profile baut.
Beispiele aus der Praxis
Zwei echte Fälle zeigen, dass Behörden die Pflicht durchsetzen. Einen Marketing-Fall mit Art. 35 als Kern haben wir nicht gefunden.
Fall A · Niedersachsen 2022
Volkswagen, Testfahrten mit Kameras
1,1 Mio. €
Bußgeld
4
Verstöße, einer davon die DSFA
Die Fahrten selbst waren nicht das Problem, sondern die fehlende Pflichtarbeit.
Wie viel des Betrags auf die DSFA entfiel, ist nicht bekannt.
Fall B · Schweden 2023
Schulbehörde Östersund, Google Workspace
rund 26.000 €
Bußgeld
rund 7.300
Betroffene, meist Kinder
Hier war die fehlende DSFA vor der Einführung der tragende Verstoß.
Schon ein Standard-Tool kann die Pflicht auslösen, wenn Art und Menge der Betroffenen passen.
Häufige Fehler
Fehler 1 · Gar nicht prüfen
Auch die Entscheidung gegen eine DSFA solltest du schriftlich festhalten, samt Begründung. „Haben wir nie drüber nachgedacht“ ist die schlechteste Antwort.
Fehler 2 · Zu spät anfangen
Die DSFA gehört vor den Start. Laut DSK geht sie meist nicht in wenigen Tagen. Plan sie ins Projekt ein, nicht hinterher.
Fehler 3 · Einmal machen und abheften
Ändert sich das Risiko, musst du neu prüfen. Neues Tool, neue Datenquelle, neuer Zweck: Dann ist die alte Bewertung überholt. Ein fester Turnus steht nicht im Gesetz.
Fehler 4 · Die Muss-Liste für abschließend halten
Dein Fall steht nicht drauf? Das heißt nichts. Die Liste nennt Beispiele, die Pflicht hängt am Risiko.
So gehst du vor
- Vorhaben beschreiben: Welche Daten, welche Tools, welcher Zweck?
- Schwellwert prüfen: Geh die neun Kriterien und die Muss-Liste durch und halte das Ergebnis fest.
- Datenschutzbeauftragten einbinden: Art. 35 Absatz 2 verlangt seinen Rat, wenn du einen hast.
- Risiken bewerten und senken: weniger Daten, kürzere Speicherung, Pseudonymisierung.
- Ergebnis ablegen und aktuell halten: Prüf bei Änderungen neu.
Dafür musst du nicht bei null anfangen. Das DSK-Kurzpapier Nr. 5 liefert einen Ablauf in 16 Schritten. Der Europäische Datenschutzausschuss hat 2026 eine freie Vorlage als Entwurf vorgelegt. Die französische Behörde CNIL bietet mit der PIA-Software ein freies Programm an.
Häufige Fragen
Muss ich als kleines Unternehmen eine DSFA machen?
Es kann sein. Die Pflicht hängt am Risiko der Verarbeitung, nicht an der Betriebsgröße. Ein kleiner Betrieb mit Gesundheitsdaten kann eher betroffen sein als ein großer mit einem einfachen Newsletter.
Brauche ich für Google Analytics eine DSFA?
Pauschal lässt sich das nicht sagen. Eine Behördenaussage dazu haben wir nicht gefunden. Es kommt auf Umfang, Profilbildung und Verknüpfung mit anderen Daten an. Geh die Kriterien durch und halte das Ergebnis schriftlich fest.
Brauche ich für KI-Tools eine DSFA?
Oft ja, wenn personenbezogene Daten im Spiel sind. Die DSK schreibt von „vielfach“ erforderlich. Prüfe das auch, wenn du das Tool nur einkaufst, und lass dir vom Anbieter die Funktionsweise erklären.
Muss ich die DSFA veröffentlichen?
Nein. Die europäischen Leitlinien empfehlen, zumindest eine Zusammenfassung zu veröffentlichen. Pflicht ist das nicht.
Ändert der Digital-Omnibus der EU die DSFA?
Geplant sind einheitliche EU-Listen, beschlossen ist nichts. Bis dahin gelten Art. 35 und die Listen der deutschen Behörden weiter.
