Datenschutz-Folgenabschätzung (DSFA)

Eine Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Risikoanalyse, die Artikel 35 DSGVO vorschreibt, bevor eine Verarbeitung startet, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen birgt. Sie beschreibt die Verarbeitung, prüft Notwendigkeit und Verhältnismäßigkeit, bewertet die Risiken und legt Maßnahmen fest, um sie zu senken.

Was ist eine Datenschutz-Folgenabschätzung?

Die Datenschutz-Folgenabschätzung (DSFA, englisch: Data Protection Impact Assessment) ist eine dokumentierte Risikoprüfung nach Artikel 35 DSGVO. Sie ist immer dann nötig, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt, und sie muss vor dem Start erfolgen.

Eine DSFA beantwortet vier Kernfragen:

• Was passiert genau? Eine systematische Beschreibung der Verarbeitung, ihrer Zwecke und gegebenenfalls Ihres berechtigten Interesses.
• Ist sie notwendig? Eine Prüfung, ob die Verarbeitung für den Zweck notwendig und verhältnismäßig ist.
• Welche Risiken bestehen? Eine Bewertung der Risiken für die Betroffenen nach Eintrittswahrscheinlichkeit und Schwere.
• Wie senken Sie sie? Die Garantien, Sicherheitsvorkehrungen und technischen und organisatorischen Maßnahmen, mit denen Sie die Risiken eindämmen.

Wann ist eine DSFA Pflicht, und warum ist sie wichtig?

Artikel 35 Abs. 3 nennt drei Fälle, in denen eine DSFA immer erforderlich ist:

• systematische und umfassende Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung einschließlich Profiling, die zu Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung führt
• umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (etwa Gesundheitsdaten) oder von Daten über Straftaten
• systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

Zusätzlich veröffentlichen die Aufsichtsbehörden Listen mit Verarbeitungen, die eine DSFA erfordern, darunter den Einsatz neuer Technologien und umfangreiches Profiling. Der Einsatz von KI auf Kunden- oder Bewerberdaten ist ein typischer Auslöser, den Sie prüfen sollten. Ein WhatsApp-Newsletter oder ein Kontaktformular löst dagegen in der Regel keine Pflicht aus.

Warum das für KMU zählt:

• Bußgeld: Wer eine erforderliche DSFA unterlässt, begeht einen eigenen Verstoß. Nach Art. 83 Abs. 4 DSGVO drohen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
• Vorherige Konsultation: Bleibt nach der Analyse ein hohes Risiko, das Sie nicht senken können, müssen Sie nach Art. 36 vor dem Start die Aufsichtsbehörde konsultieren.
• Bessere Entscheidungen: Eine DSFA zeigt früh einfache Lösungen, etwa weniger Daten zu erheben, Speicherfristen zu verkürzen oder Zugriffe zu beschränken, bevor Änderungen teuer werden.

Beispiel aus dem Mittelstand

Eine Personalvermittlung in Hannover will einen KI-Agenten auf WhatsApp einsetzen, der Bewerber vorqualifiziert: Er fragt Erfahrung, Verfügbarkeit und Gehaltsvorstellung ab und schlägt vor, welche Kandidaten ein Berater zuerst zurückrufen sollte.

Das ist eine neue Technologie, kombiniert mit einer Bewertung von Personen, die ihren Zugang zu Arbeit beeinflussen kann. Die Agentur führt deshalb eine DSFA durch. Sie beschreibt den Datenfluss, begründet jede Frage und benennt das Hauptrisiko: Bewerber könnten durch ein automatisches Ranking aussortiert werden, ohne dass ein Mensch ihren Fall ansieht. Die Maßnahmen sind klar. Die KI erstellt nur eine Zusammenfassung, jede Entscheidung trifft ein Berater. Bewerber erfahren vorab, dass sie mit einer KI schreiben, und können jederzeit einen Menschen verlangen. Die Chats werden nach einer festen Frist gemäß Löschkonzept gelöscht, und AVV und TOMs der Messaging-Plattform liegen der Bewertung bei.

DSFA und SendSeven

Vorweg: SendSeven führt Ihre DSFA nicht für Sie durch. Als Verantwortlicher bleibt diese Pflicht bei Ihnen. Was wir liefern, sind die Angaben für die Teile, die uns als Auftragsverarbeiter betreffen:

• In der EU gehostet (Frankfurt, Google Cloud), Plattform und Datenbank in europäischen Rechenzentren
• Verschlüsselt bei der Übertragung (TLS) und im Ruhezustand
• Rollenbasierte Zugriffskontrolle mit eigenen Rollen
• Ein AVV nach Art. 28 DSGVO (siehe Auftragsverarbeitungsvertrag)
• Optionale KI: standardmäßig aus, läuft in der EU, Ihre Daten werden nie zum Training von Modellen verwendet

Ihre DSFA sollte auch die Kanäle selbst abdecken: Nachrichten über WhatsApp, Instagram und Messenger verarbeitet Meta nach eigenen Bedingungen, teilweise außerhalb der EU. Mehr dazu unter DSGVO-konformes Messaging.

Dies ist eine allgemeine Information und keine Rechtsberatung. Klären Sie die Details mit Ihrem Datenschutzbeauftragten oder Ihrer Compliance-Beratung.