Datenschutz-Folgenabschätzung (DSFA)
Eine Datenschutz-Folgenabschätzung (DSFA) ist eine strukturierte Risikoanalyse, die Artikel 35 DSGVO vorschreibt, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen birgt. Sie zwingt das Unternehmen, Risiken vorab zu erkennen und Schutzmaßnahmen festzulegen, bevor die Verarbeitung startet.
Was ist eine Datenschutz-Folgenabschätzung?
Die Datenschutz-Folgenabschätzung (DSFA, englisch: Data Protection Impact Assessment) ist eine Pflicht-Risikoanalyse nach Artikel 35 DSGVO. Sie ist immer dann nötig, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt.
Eine DSFA beantwortet vier Kernfragen:
- Welche Daten werden zu welchem Zweck verarbeitet?
- Ist die Verarbeitung notwendig und verhältnismäßig?
- Welche Risiken bestehen für die betroffenen Personen?
- Mit welchen technischen und organisatorischen Maßnahmen werden diese Risiken gesenkt?
Ein hohes Risiko nimmt der Gesetzgeber besonders an bei: systematischer Überwachung, umfangreicher Verarbeitung sensibler Daten (Gesundheit, Religion, Herkunft) oder automatisierten Entscheidungen mit erheblicher Wirkung. Die Aufsichtsbehörden veröffentlichen zudem Listen mit Verarbeitungen, die zwingend eine DSFA erfordern.
Warum ist die DSFA für KMU wichtig?
Die meisten kleinen Unternehmen brauchen keine DSFA für ihre Standard-Kommunikation. Ein WhatsApp-Newsletter oder ein Kontaktformular löst in der Regel keine Pflicht aus. Doch sobald Sie sensible Daten in großem Umfang verarbeiten oder Profiling betreiben, kann die Pflicht greifen.
Wer eine erforderliche DSFA unterlässt, riskiert ein Bußgeld nach Artikel 83 DSGVO. Genauso wichtig: Die DSFA ist auch ein praktisches Werkzeug. Sie zwingt Sie, vor dem Start eines Projekts über Datenschutz nachzudenken, und das spart später teure Korrekturen.
Ergibt die Analyse ein verbleibendes hohes Risiko, das Sie nicht durch Maßnahmen senken können, müssen Sie vor dem Start die zuständige Aufsichtsbehörde konsultieren.
Beispiel aus dem Mittelstand
Eine Privatklinik in der Schweiz plant einen KI-gestützten Chatbot, der Patienten per WhatsApp an Termine erinnert und erste Symptome erfasst. Weil Gesundheitsdaten verarbeitet werden und der Bot automatisiert vorsortiert, führt die Klinik eine DSFA durch.
Das Ergebnis: Symptomdaten werden nur pseudonymisiert gespeichert, der KI-Agent trifft keine medizinische Entscheidung, sondern leitet jeden Fall an eine Pflegekraft weiter, und alle Daten bleiben auf EU-Servern. Mit diesen Maßnahmen sinkt das Risiko auf ein vertretbares Niveau – die Klinik kann den Chatbot rechtssicher starten.
DSFA und SendSeven
SendSeven ist eine DSGVO-konforme, EU-gehostete Unified-Messaging-Plattform – Made in Germany. Wir treffen die DSFA nicht für Sie, denn die Verantwortung liegt beim verarbeitenden Unternehmen. Aber wir liefern die Grundlage, die eine DSFA erleichtert.
Als spezialisierter Anbieter dokumentieren wir unsere technischen und organisatorischen Maßnahmen, stellen einen Auftragsverarbeitungsvertrag bereit und verarbeiten alle Daten auf Servern in der EU. Diese Informationen fließen direkt in Ihre Risikobewertung ein und machen die Argumentation gegenüber der Aufsichtsbehörde deutlich einfacher. SendSeven ist ab 49 €/Monat (Basic) nutzbar.