Die Datenschutz-Folgenabschätzung (DSFA) ist kein bürokratisches Monster – sondern ein zentrales Instrument der DSGVO, um Risiken bei der Verarbeitung personenbezogener Daten frühzeitig zu erkennen und zu minimieren. Gerade für KMU ist sie ein wichtiger Baustein für rechtssichere Prozesse und das Vertrauen der Kunden.
Was ist eine DSFA und warum ist sie wichtig?
Die DSFA ist in Artikel 35 der DSGVO geregelt und muss durchgeführt werden, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt
Beispiele sind:
- automatisierte Entscheidungen inkl. Profiling
- umfangreiche Verarbeitung sensibler Daten (z. B. Gesundheitsdaten)
- systematische Überwachung öffentlich zugänglicher Bereiche
- Nutzung von neuer Technologie
Ziel ist es, Risiken zu erkennen, zu bewerten und durch geeignete Maßnahmen zu minimieren – bevor es zu Datenschutzverletzungen kommt
So funktioniert die DSFA Schritt für Schritt
1. Vorbereitung
- Identifizieren Sie relevante Verarbeitungsvorgänge
- Prüfen Sie, ob eine DSFA erforderlich ist (z. B. anhand der Positivlisten der Datenschutzkonferenz)
2. Risikobewertung
- Analysieren Sie mögliche Auswirkungen auf die Betroffenen
- Berücksichtigen Sie Wahrscheinlichkeit und Schwere der Risiken
3. Maßnahmenplanung
- Entwickeln Sie technische und organisatorische Maßnahmen (TOMs), z. B. Verschlüsselung, Zugriffsbeschränkungen
4. Dokumentation
- Halten Sie alle Schritte schriftlich fest – das ist essenziell für die Nachweisführung gegenüber Aufsichtsbehörden
5. Überprüfung
- Aktualisieren Sie die DSFA regelmäßig, insbesondere bei Änderungen der Verarbeitung oder eingesetzter Technologien
Tipps aus der Praxis für KMU
- Tools nutzen: Software wie die PIA-Software der CNIL oder DSMS-Systeme helfen bei Struktur und Dokumentation
- Frühzeitig einbinden: Holen Sie den Datenschutzbeauftragten schon in der Planungsphase ins Boot
- Klare Abgrenzung: Definieren Sie den Geltungsbereich der DSFA präzise
- Schulungen: Sensibilisieren Sie Ihre Mitarbeitenden für Datenschutzrisiken
- Datenschutz ist kein Hindernis – sondern ein Erfolgsfaktor
DSFA – Pflicht mit Mehrwert
Die Datenschutz-Folgenabschätzung ist mehr als eine gesetzliche Pflicht – sie ist ein Werkzeug zur Risikominimierung und Vertrauensbildung. Wer sie richtig umsetzt, schützt nicht nur die Rechte der Betroffenen, sondern auch das eigene Unternehmen vor rechtlichen und finanziellen Folgen.
Lust auf …
Einfach digital
arbeiten?
Für Ihre Fragen und Anliegen rund um Informationssicherheit & Datenschutz steht Ihnen gerne unsere Expertin Jennifer Baumann zur Verfügung.
Jennifer Baumann
Consultant Datenschutz & Informationssicherheit
(0821) 207 111 – 16
cloudheroes@fly-tech.de
Das VVT oder Verzeichnis der Verarbeitungstätigkeiten enthält alle Prozesse, welche personenbezogene Daten verarbeiten oder an Dritte zum Beispiel Dienstleister weitergeben.
Wenn Ihr Dienstleister in Ihrem Auftrag personenbezogen Daten verarbeitet, kann es sehr gut sein, dass Sie einen Auftragsverarbeitungsvertrag mit Ihrem Dienstleister brauchen. Ein klassisches Beispiel ist der IT-Dienstleister oder das Lohnbüro. Ohne den formellen Vertrag dürfen Daten offiziell nicht an diese Dritten abgegeben werden und es wäre eine Datenschutzverletzung.
Wenn Ihr Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, ist in der Regel ein Auftragsverarbeitungsvertrag erforderlich. Ein klassisches Beispiel ist der IT‑Dienstleister oder das Lohnbüro. Ohne den formell geschlossenen Vertrag dürfen Daten offiziell nicht an diese Dritten abgegeben werden und es liegt eine Datenschutzverletzung vor.
Auch die IP‑Adresse gilt als personenbezogenes Datum. Das bedeutet, dass auch bei webbasierten Softwarelösungen personenbezogene Daten verarbeitet werden. Das kann einen Auftragsverarbeitungsvertrag notwendig machen und erfordert eine Information der betroffenen Personen darüber, dass Dritte Daten erhalten.
Sobald ein Unternehmen personenbezogene Daten verarbeitet, muss es sich an die Grundsätze der DSGVO halten, egal wie viele Mitarbeitende es hat. Das gilt unabhängig davon, ob ein Datenschutzbeauftragter bestellt werden muss.
Die DSGVO (Datenschutz-Grundverordnung), die KI‑Verordnung, das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) und das BDSG (Bundesdatenschutzgesetz) sind die zentralen Gesetze, an die sich jede Behörde und jedes Unternehmen halten muss. Dabei gilt stets ein risikobasierter Ansatz: Es dürfen die Art, die Umstände und die jeweiligen Zwecke berücksichtigt werden. Das bedeutet, dass ein Mittelstandsunternehmen nicht die gleichen Maßnahmen wie ein Konzern oder globaler Anbieter umsetzen muss.
Fragen? Wir sind für Sie da!