Datenschutz-Folgenabschätzung (DSFA): Begriff und Pflichten

Wann eine DSFA Pflicht ist

Nach Art. 35 Abs. 1 DSGVO ist eine DSFA erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat. Art. 35 Abs. 3 nennt drei Fälle, in denen sie immer nötig ist:

• Systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung dient.
• Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10).
• Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Darüber hinaus nennen die Leitlinien der Artikel-29-Gruppe (WP248 rev.01), die der Europäische Datenschutzausschuss übernommen hat, neun Kriterien: Bewerten oder Scoring, automatisierte Entscheidungen, systematische Überwachung, sensible Daten, große Umfänge, Zusammenführen von Datensätzen, schutzbedürftige Personen, innovative Technologien und Verarbeitungen, die die Ausübung von Rechten verhindern. Als Faustregel gilt: Sind zwei oder mehr erfüllt, ist in der Regel eine DSFA durchzuführen.

Muss-Listen in Deutschland

Nach Art. 35 Abs. 4 DSGVO veröffentlichen die Aufsichtsbehörden Listen von Verarbeitungen, für die stets eine DSFA erforderlich ist. In Deutschland ist das aufgeteilt: Die Datenschutzkonferenz (DSK) hat die Muss-Liste für den nicht-öffentlichen Bereich beschlossen (Version 1.1 vom 17.10.2018), der BfDI eine eigene Liste für die öffentlichen Stellen des Bundes; für Landesbehörden gelten die Listen der jeweiligen Landesdatenschutzbeauftragten. Die Listen sind nicht abschließend – fehlt eine Verarbeitung dort, bleibt die eigene Risikobewertung nach Art. 35 Abs. 1 Pflicht.

Was eine DSFA enthalten muss

Der Rat des Datenschutzbeauftragten ist einzuholen (Art. 35 Abs. 2). Bleibt nach den Maßnahmen ein hohes Restrisiko, muss vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde konsultiert werden (Art. 36). Eine unterlassene, aber erforderliche DSFA kann nach Art. 83 Abs. 4 DSGVO mit einem Bußgeld geahndet werden. Gleichartige Verarbeitungsvorgänge mit ähnlich hohen Risiken können in einer gemeinsamen DSFA bewertet werden (Art. 35 Abs. 1 Satz 2).

Anonymisierung und Pseudonymisierung als Maßnahmen

Kaum etwas senkt das Risiko so stark wie der Verzicht auf identifizierende Daten. Lässt sich eine Auswertung mit tatsächlich anonymen Daten durchführen, fallen diese nicht mehr unter die DSGVO (Erwägungsgrund 26). Aber: Die Anonymisierung selbst ist eine Verarbeitung personenbezogener Daten und gehört samt Re-Identifizierungsrisiko in die Bewertung.

Müssen Datensätze verknüpfbar bleiben, ist die Pseudonymisierung die typische Maßnahme; die DSGVO nennt sie in Art. 25 und 32 ausdrücklich. Die Daten bleiben personenbezogen, daher sollte die DSFA festhalten, wer die Zuordnungstabelle verwahrt und wie sie geschützt ist. Ein Praxisbeispiel zeigt unser Beitrag zur DSFA eines Anonymisierungsprojekts.

Wo Anonimatum ansetzt

Anonimatum setzt diese Maßnahmen bei Dokumenten um: irreversible Schwärzung oder Pseudonymisierung mit konsistenten Ersetzungen und verschlüsselt gespeicherten Zuordnungen. Für die DSFA des Werkzeugs selbst ist relevant, dass die KI auf Servern in der Europäischen Union läuft, ohne Text an externe Sprachmodell-APIs zu senden, und dass Politeia Soft die spanische ENS-Sicherheitszertifizierung (Kategorie MITTEL) mit Anonimatum im Geltungsbereich besitzt. Mehr auf der Seite zur Sicherheit.