Aktualisiert am: 18.09.2026

Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO: Wann Pflicht, Inhalt und Ablauf

Die Datenschutz-Folgenabschätzung (DSFA) – oft auch Datenschutzfolgeabschätzung geschrieben, englisch Data Protection Impact Assessment (DPIA) – ist eine strukturierte Risikoanalyse, die der Verantwortliche nach Art. 35 DSGVO vor Beginn einer Verarbeitung durchführen muss, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Sie beschreibt die Verarbeitung, bewertet Notwendigkeit und Risiken und legt Maßnahmen fest, mit denen die Risiken auf ein vertretbares Maß gesenkt werden. Die DSFA ist damit das Werkzeug, mit dem der risikobasierte Ansatz der DSGVO bei kritischen Verarbeitungen umgesetzt und dokumentiert wird.

Wann ist eine DSFA Pflicht?

Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen eine DSFA immer erforderlich ist: die systematische und umfassende Bewertung persönlicher Aspekte mit automatisierten Entscheidungen von erheblicher Wirkung (Profiling, Scoring), die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten wie Gesundheits- oder biometrischer Daten oder von Daten über Straftaten sowie die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, etwa durch Videoüberwachung. Darüber hinaus haben die deutschen Aufsichtsbehörden in der Datenschutzkonferenz eine Liste von Verarbeitungen veröffentlicht, für die eine DSFA zwingend ist (die „Muss-Liste“) – darunter Beschäftigtenüberwachung, Standortverfolgung, umfangreiche Verarbeitung von Gesundheitsdaten, Bonitätsbewertung, Einsatz künstlicher Intelligenz zur Bewertung von Personen und zentrale Zusammenführung von Daten aus verschiedenen Quellen. Die europäischen Aufsichtsbehörden haben neun Kriterien formuliert; treffen zwei davon zu, ist eine DSFA in der Regel erforderlich.

Für alle anderen Verarbeitungen empfiehlt sich eine dokumentierte Schwellwertanalyse: eine kurze Prüfung anhand dieser Kriterien, die festhält, warum keine DSFA nötig ist. Sie gehört ins Datenschutzmanagementsystem und wird von Aufsichtsbehörden abgefragt.

Inhalt und Ablauf einer DSFA

Art. 35 Abs. 7 verlangt mindestens vier Bestandteile; daraus ergibt sich der übliche Ablauf:

Verarbeitung beschreiben: Zwecke, Datenkategorien, Betroffene, Empfänger, eingesetzte Systeme und Dienstleister, Datenflüsse, Speicherdauer, Rechtsgrundlage – meist aus dem Verzeichnis der Verarbeitungstätigkeiten abgeleitet und vertieft.
Notwendigkeit und Verhältnismäßigkeit bewerten: Ist die Verarbeitung für den Zweck erforderlich, gibt es mildere Mittel, sind Datenminimierung und Zweckbindung gewahrt, werden die Betroffenenrechte gewährleistet?
Risiken bewerten: Welche Schäden können Betroffenen entstehen – Diskriminierung, Identitätsdiebstahl, finanzieller Verlust, Rufschädigung, Verlust der Kontrolle über die eigenen Daten –, mit welcher Schwere und Eintrittswahrscheinlichkeit? Siehe Risikobewertung.
Abhilfemaßnahmen festlegen: technische und organisatorische Maßnahmen – Pseudonymisierung, Verschlüsselung, Zugriffsbeschränkung, Löschkonzept, Transparenz –, mit denen das Risiko gesenkt wird, und Bewertung des verbleibenden Restrisikos.
Datenschutzbeauftragten einbeziehen (Art. 35 Abs. 2) und gegebenenfalls Betroffene oder ihre Vertreter anhören (Abs. 9).
Entscheiden und dokumentieren: Freigabe durch die Geschäftsführung; bleibt trotz Maßnahmen ein hohes Restrisiko, ist vor Beginn die Aufsichtsbehörde zu konsultieren (Art. 36).
Überprüfen: bei Änderungen der Verarbeitung oder der Risikolage, sonst in regelmäßigen Abständen, etwa alle drei Jahre.

Als Methodik hat sich das Standard-Datenschutzmodell (SDM) der Aufsichtsbehörden mit seinen Gewährleistungszielen etabliert; die französische Aufsichtsbehörde CNIL stellt ein kostenloses Werkzeug bereit. Ein ISMS nach ISO 27001 liefert die Risikomethodik gleich mit; die ISO/IEC 29134 beschreibt Folgenabschätzungen als eigene Norm.

Praxisbeispiel

Ein Logistikunternehmen will seine 120 Lieferfahrzeuge mit Telematik ausstatten: GPS-Position, Fahrverhalten, Lenkzeiten. Die Schwellwertanalyse ergibt zwei Kriterien – systematische Überwachung und Beschäftigtendaten –, also DSFA. Die Bewertung zeigt hohe Risiken durch Leistungs- und Verhaltenskontrolle. Maßnahmen: Positionsdaten nur während der Arbeitszeit, keine Auswertung auf Einzelfahrer ohne konkreten Anlass, Zugriff auf zwei Disponenten beschränkt, Löschung nach 30 Tagen, Betriebsvereinbarung mit dem Betriebsrat. Das Restrisiko wird als vertretbar bewertet, eine Vorabkonsultation ist nicht nötig. Die DSFA liegt zwei Jahre später bereit, als ein Fahrer Auskunft verlangt und die Aufsichtsbehörde nachfragt.

Häufige Fragen zur Datenschutz-Folgenabschätzung

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Immer dann, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt – nach Art. 35 Abs. 3 DSGVO bei Profiling mit erheblicher Wirkung, umfangreicher Verarbeitung besonderer Datenkategorien und systematischer Überwachung öffentlicher Bereiche. Die deutschen Aufsichtsbehörden führen zusätzlich eine Liste von Verarbeitungen, für die eine DSFA zwingend ist, etwa Beschäftigtenüberwachung oder Standortverfolgung. Für alle anderen Verarbeitungen sollte eine kurze Schwellwertanalyse dokumentiert werden.

Wer führt die DSFA durch?

Verantwortlich ist das Unternehmen, vertreten durch die Geschäftsführung, die die DSFA freigibt. Erstellt wird sie in der Regel vom Fachbereich, der die Verarbeitung betreibt, zusammen mit der IT; der Datenschutzbeauftragte muss nach Art. 35 Abs. 2 DSGVO beratend einbezogen werden, darf die DSFA aber nicht allein verantworten. Auftragsverarbeiter müssen den Verantwortlichen unterstützen.

Was passiert, wenn trotz Maßnahmen ein hohes Risiko bleibt?

Dann muss der Verantwortliche nach Art. 36 DSGVO vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren. Diese hat acht Wochen Zeit für eine Stellungnahme und kann Empfehlungen geben oder die Verarbeitung untersagen. In der Praxis ist das selten, weil die meisten Risiken durch geeignete Maßnahmen auf ein vertretbares Maß gesenkt werden können.