Datenschutz-Folgenabschätzung (DSFA)

Definition: Die Datenschutz-Folgenabschätzung (DSFA), im Englischen als Data Protection Impact Assessment (DPIA) bezeichnet, ist ein nach Artikel 35 der Datenschutz-Grundverordnung (DSGVO) vorgeschriebenes strukturiertes Verfahren, mit dem Verantwortliche die Risiken einer geplanten oder bestehenden Datenverarbeitung für die Rechte und Freiheiten natürlicher Personen systematisch identifizieren, beschreiben und bewerten. Die DSFA ist immer dann verpflichtend durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Sie dient als präventives Instrument des eingebauten Datenschutzes und ist ein zentraler Baustein der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Unternehmen, die die DSFA-Pflicht missachten, riskieren Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Die DSFA ist kein einmaliger Akt, sondern ein iterativer Prozess, der regelmäßig überprüft und bei wesentlichen Änderungen der Verarbeitung aktualisiert werden muss. Im Online-Marketing-Kontext ist sie besonders relevant für Profiling, verhaltensbasiertes Targeting, KI-gestützte Personalisierung und den Einsatz von Tracking-Technologien.

Erläuterung

Die Pflicht zur Durchführung einer DSFA ergibt sich unmittelbar aus Art. 35 Abs. 1 DSGVO. Dort heißt es, dass eine DSFA erforderlich ist, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat". Abs. 3 konkretisiert dies mit drei Regelbeispielen: systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen einschließlich Profiling (etwa zur Kreditwürdigkeitsprüfung oder zur Verhaltensvorhersage im Marketing), umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, sowie systematische weiträumige Überwachung öffentlich zugänglicher Bereiche.

Darüber hinaus veröffentlichen die nationalen Datenschutzaufsichtsbehörden sogenannte „Muss-Listen", die konkrete Verarbeitungstätigkeiten benennen, für die stets eine DSFA durchzuführen ist. In Deutschland hat die Datenschutzkonferenz (DSK) eine solche Liste erarbeitet. Typische Einträge betreffen das Tracking des Nutzerverhaltens im Internet zu Werbezwecken, Scoring-Verfahren, biometrische Erkennungssysteme und die Verarbeitung von Gesundheitsdaten in Apps. Umgekehrt können Aufsichtsbehörden auch „Kann-nicht-Listen" für Verarbeitungen veröffentlichen, bei denen eine DSFA regelmäßig nicht erforderlich ist.

Inhaltlich muss eine DSFA nach Art. 35 Abs. 7 DSGVO mindestens vier Elemente umfassen: erstens eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, einschließlich des berechtigten Interesses des Verantwortlichen; zweitens eine Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck; drittens eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen; viertens die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen. Können die Risiken durch technische und organisatorische Maßnahmen nicht auf ein akzeptables Niveau gesenkt werden, muss der Verantwortliche vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde konsultieren (Art. 36 DSGVO, sogenannte vorherige Konsultation).

Methodisch haben sich in der Praxis verschiedene Ansätze etabliert, darunter die PIA-Methodik der französischen Aufsichtsbehörde CNIL, das DSFA-Modell des Bitkom sowie Standards wie ISO/IEC 29134. Allen gemein ist eine dreistufige Grundstruktur: Schwellenwertanalyse (ist eine DSFA erforderlich?), eigentliche Risikoanalyse und Dokumentation der Maßnahmen. Der Datenschutzbeauftragte des Unternehmens muss bei der DSFA zwingend hinzugezogen werden (Art. 35 Abs. 2 DSGVO); seine Stellungnahme ist zu dokumentieren.

Wann ist eine DSFA im Online-Marketing erforderlich?

Verhaltensbasiertes Profiling: Systeme, die aus Clickstreams, Kaufhistorien oder Social-Media-Aktivitäten detaillierte Nutzerprofile erstellen, um Werbung auszusteuern, erfüllen regelmäßig den Tatbestand des Art. 35 Abs. 3 lit. a DSGVO.
Cross-Device-Tracking: Die geräteübergreifende Wiedererkennung von Personen anhand von Identifikatoren stellt eine umfangreiche Überwachung dar und löst die DSFA-Pflicht aus.
KI-gestützte Personalisierung: Algorithmen, die automatisiert individuelle Kaufwahrscheinlichkeiten oder Abwanderungsrisiken berechnen und darauf basierend Kommunikation anpassen, fallen unter Profiling im Sinne der DSGVO.
Lookalike-Audiences: Die Übermittlung von Kundendaten an Plattformen wie Meta oder Google zur Erstellung ähnlicher Zielgruppen beinhaltet eine systematische Auswertung sensibler Verhaltensdaten.
Retargeting-Kampagnen: Großflächiges Tracking über Website-Grenzen hinweg via Pixel oder Cookies zur Wiederbespielung von Nutzern auf Drittseiten ist als systematische Verhaltensbeobachtung einzustufen.

Ablauf einer DSFA – Schritt für Schritt

Schritt 1 – Notwendigkeitsprüfung: Screening-Checkliste durcharbeiten: Liegt ein Regelbeispiel nach Art. 35 Abs. 3 vor? Ist die Verarbeitung auf einer behördlichen Muss-Liste? Ergibt eine vorläufige Risikoeinschätzung ein hohes Risiko?
Schritt 2 – Verarbeitungsbeschreibung: Vollständige Dokumentation der Datenflüsse, Kategorien personenbezogener Daten, Empfänger, Speicherfristen und eingesetzten Systeme (Aufnahme ins Verarbeitungsverzeichnis nach Art. 30 DSGVO).
Schritt 3 – Notwendigkeits- und Verhältnismäßigkeitsprüfung: Gibt es weniger eingriffsintensive Alternativen? Ist der Zweck legitim? Werden nur die notwendigsten Daten verarbeitet (Datensparsamkeit)?
Schritt 4 – Risikoidentifikation: Welche Risiken bestehen für Betroffene (Diskriminierung, Identitätsdiebstahl, Rufschädigung, wirtschaftliche Nachteile)? Bewertung nach Eintrittswahrscheinlichkeit und Schwere.
Schritt 5 – Maßnahmenplanung: Technische Maßnahmen (Verschlüsselung, Pseudonymisierung, Zugriffskontrollen) und organisatorische Maßnahmen (Schulungen, Löschkonzepte, Auftragsverarbeitungsverträge) definieren.
Schritt 6 – Restrisikobewertung und Freigabe: Verbleibendes Risiko bewerten. Bei hohem Restrisiko: vorherige Konsultation der Aufsichtsbehörde. Andernfalls: Genehmigung durch Verantwortlichen und Dokumentation.
Schritt 7 – Überprüfung: Regelmäßige Revision, mindestens bei wesentlichen Änderungen des Systems oder des Umfeldes.

Praxistipp: Integrieren Sie die DSFA-Prüfung als festes Gate in Ihren Projekt- und Produktentwicklungsprozess – idealerweise bereits in der Planungsphase, bevor Budgets freigegeben werden. Nutzen Sie eine standardisierte Vorlage (z. B. die der DSK oder des Bitkom), um vergleichbare und auditierbare Ergebnisse zu erhalten. Binden Sie den Datenschutzbeauftragten frühzeitig ein, denn nachträgliche Anpassungen an bereits implementierten Systemen sind aufwendiger und teurer als präventive Maßnahmen. Speichern Sie alle DSFA-Dokumente revisionssicher, da Aufsichtsbehörden diese im Rahmen von Prüfungen anfordern können.