Datenschutz-Folgenabschätzung: Wann Ihr Unternehmen eine DSFA braucht und wie Sie sie erstellen

Kaum ein Begriff aus der DSGVO klingt so nach Großkonzern und Aktenordner wie die Datenschutz-Folgenabschätzung. Viele Geschäftsführer im Mittelstand haben den Begriff schon gehört, verbinden damit aber vor allem Aufwand und Unsicherheit: Betrifft mich das überhaupt, und wenn ja, wie mache ich das, ohne einen teuren Berater für Wochen zu buchen?

Die gute Nachricht vorweg: Die meisten Ihrer Verarbeitungen brauchen keine DSFA. Sie ist bewusst als Ausnahme gedacht, nicht als Regel. Die weniger gute Nachricht: Bei bestimmten Verarbeitungen ist sie klar Pflicht, und wer sie dann nicht hat, hat ein echtes Problem. Dieser Artikel zeigt, wie Sie in wenigen Minuten prüfen, ob Sie eine DSFA brauchen, und wie Sie sie danach strukturiert durchführen. Stand: 2026-09-07.

Was eine Datenschutz-Folgenabschätzung ist

Eine Datenschutz-Folgenabschätzung (DSFA, englisch DPIA) ist eine vorab durchgeführte, dokumentierte Risikoprüfung für eine geplante Datenverarbeitung. Sie beschreibt die Verarbeitung, bewertet die Risiken für die betroffenen Personen und legt Maßnahmen fest, um diese Risiken zu senken. Verankert ist sie in Art. 35 DSGVO und Pflicht bei voraussichtlich hohem Risiko.

Der Kern ist das Wort "vorab". Die DSFA ist kein Nachweis, den Sie im Schadensfall vorlegen, sondern ein Instrument der Planung: Bevor Sie eine riskante Verarbeitung starten, denken Sie systematisch darüber nach, was schiefgehen kann und wie Sie es verhindern. Sie schützt damit nicht nur die betroffenen Personen, sondern auch Ihr Unternehmen vor teuren Fehlentscheidungen.

Wichtig zur Einordnung: Die DSFA ist nicht dasselbe wie das Verzeichnis von Verarbeitungstätigkeiten. Das Verzeichnis listet alle Ihre Verarbeitungen auf und ist für fast jeden Betrieb Pflicht. Die DSFA ist eine Tiefenprüfung nur für die wenigen Verarbeitungen mit hohem Risiko. Das Verzeichnis ist die Landkarte, die DSFA die genaue Untersuchung einzelner kritischer Punkte darauf.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Wann eine DSFA Pflicht ist

Eine DSFA ist nach Art. 35 Abs. 1 DSGVO immer dann Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Das ist der Grundsatz. Konkret wird er durch drei Regelfälle im Gesetz, durch die Muss-Listen der Aufsichtsbehörden und durch eine kurze Schwellwertanalyse mit neun Kriterien.

Art. 35 Abs. 3 DSGVO nennt drei Klassen von Verarbeitungen, bei denen eine DSFA in jedem Fall durchzuführen ist:

• Umfangreiches Profiling mit Wirkung. Systematische und umfassende Bewertung persönlicher Aspekte einer Person, die sich auf eine automatisierte Verarbeitung einschließlich Profiling stützt und die als Grundlage für Entscheidungen mit Rechtswirkung dient. Beispiele: Bonitätsprüfung, Scoring, automatisierte Bewerberauswahl.
• Umfangreiche besondere Datenkategorien. Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 (Gesundheit, Herkunft, Religion, Gewerkschaft, Biometrie) oder von Daten über strafrechtliche Verurteilungen nach Art. 10.
• Systematische öffentliche Überwachung. Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, also etwa großflächige Videoüberwachung.

Quelle: BfDI: Datenschutz-Folgenabschätzungen und Listen von Verarbeitungsvorgängen

Die Muss-Liste der Aufsichtsbehörden

Neben den drei Regelfällen gibt es eine zweite, sehr praktische Abkürzung: die Muss-Liste. Nach Art. 35 Abs. 4 DSGVO veröffentlichen die Aufsichtsbehörden Listen von Verarbeitungsvorgängen, für die immer eine DSFA erforderlich ist. Steht Ihre geplante Verarbeitung auf dieser Liste, ist die DSFA Pflicht, ohne dass Sie weiter prüfen müssen.

Für den nicht-öffentlichen Bereich, also für Unternehmen, hat die Datenschutzkonferenz (DSK) eine Liste mit 16 Verarbeitungstätigkeiten erstellt, an der sich die Landesbehörden orientieren. Darauf stehen unter anderem:

• umfangreiche Videoüberwachung von öffentlich zugänglichen und von Beschäftigtenbereichen
• Verarbeitungen zur umfassenden Bewertung oder Überwachung von Beschäftigten (Mitarbeiterüberwachung, Verhaltens- und Leistungskontrolle)
• biometrische Verfahren zur eindeutigen Identifizierung von Personen
• Bonitäts-, Scoring- und Betrugserkennungssysteme
• umfangreiche Verarbeitung von Standortdaten (zum Beispiel GPS-Tracking von Fahrzeugen oder Außendienstmitarbeitern)
• der Einsatz künstlicher Intelligenz zur Verarbeitung personenbezogener Daten mit Steuerungswirkung

Quelle: DSK-Kurzpapier Nr. 5: Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO

Die Schwellwertanalyse: neun Kriterien in wenigen Minuten

Wenn Ihre Verarbeitung weder unter die drei Regelfälle noch auf die Muss-Liste fällt, brauchen Sie eine kurze Vorprüfung, die sogenannte Schwellwertanalyse. Dabei prüfen Sie anhand von neun Kriterien, wie riskant die Verarbeitung ist. Als Faustregel der Aufsichtsbehörden gilt: Treffen zwei oder mehr Kriterien zu, ist eine DSFA in der Regel erforderlich.

Die neun Kriterien gehen auf eine Leitlinie der europäischen Datenschützer zurück und wurden von der DSK übernommen. Eine Verarbeitung ist umso riskanter, je mehr davon zutreffen:

• Bewerten oder Einstufen von Personen (Scoring, Profiling, Prognosen)
• Automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung
• Systematische Überwachung von Personen
• Verarbeitung besonders sensibler Daten oder höchstpersönlicher Daten
• Verarbeitung in großem Umfang
• Zusammenführen oder Abgleichen von Datensätzen aus verschiedenen Quellen
• Daten schutzbedürftiger Personen (Beschäftigte, Kinder, Patienten)
• Einsatz neuer Technologien oder neuartiger organisatorischer Lösungen (zum Beispiel KI, biometrische Systeme)
• Verarbeitung, die betroffene Personen an der Ausübung ihrer Rechte hindert

Typische DSFA-Fälle im Mittelstand

Für den typischen Büro-, Handwerks- oder Mittelstandsbetrieb sind die meisten Verarbeitungen unkritisch. Kundenverwaltung, Angebote, Rechnungen, normale Personalakten und E-Mail lösen keine DSFA-Pflicht aus. Kritisch wird es erst bei bestimmten, klar abgrenzbaren Vorhaben, und genau die häufen sich mit zunehmender Digitalisierung.

Diese Vorhaben führen im Mittelstand am häufigsten zu einer DSFA-Pflicht:

• Videoüberwachung von Betriebsgelände, Lager, Eingangsbereichen oder Verkaufsräumen, besonders wenn Kunden oder Beschäftigte erfasst werden.
• GPS-Ortung von Fahrzeugen und Außendienst. Wer die Standorte von Monteuren, Fahrern oder Vertrieblern laufend erfasst, überwacht Beschäftigte systematisch.
• Zeiterfassung und Zutrittskontrolle mit Biometrie, etwa Fingerabdruck- oder Gesichtserkennung an der Stempeluhr oder Tür.
• KI-gestützte Systeme, die Personen bewerten, Bewerbungen vorsortieren, Kundenverhalten analysieren oder Texte mit Personenbezug automatisiert auswerten. Zum Risiko unkontrollierter KI-Nutzung im Betrieb finden Sie mehr im Beitrag zur Schatten-IT und KI im Unternehmen.
• Umfangreiche Bonitäts- oder Scoring-Prüfungen von Kunden.

Wie Sie eine DSFA praktisch durchführen

Steht fest, dass Sie eine DSFA brauchen, folgen Sie einem festen Ablauf. Art. 35 Abs. 7 DSGVO gibt den Mindestinhalt vor: eine Beschreibung der Verarbeitung, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken und die geplanten Abhilfemaßnahmen. Der folgende Ablauf setzt genau das um und ist für einen Mittelständler an ein bis zwei Arbeitstagen machbar.

1. 1
   Verarbeitung systematisch beschreiben
   Halten Sie fest, was genau verarbeitet wird: Zweck, betroffene Personen, Datenarten, eingesetzte Systeme und Dienstleister, Datenflüsse und Speicherorte. Diese Beschreibung ist die Grundlage und deckt sich in Teilen mit Ihrem Verzeichnis von Verarbeitungstätigkeiten.
2. 2
   Notwendigkeit und Verhältnismäßigkeit prüfen
   Fragen Sie ehrlich: Brauchen Sie diese Verarbeitung wirklich in diesem Umfang, oder geht das Ziel auch mit weniger Daten oder milderen Mitteln? Was sich hier einsparen lässt, muss später nicht abgesichert werden.
3. 3
   Risiken für die betroffenen Personen bewerten
   Denken Sie aus Sicht der betroffenen Personen: Was kann passieren, wenn Daten in falsche Hände geraten, verändert werden oder verloren gehen? Bewerten Sie Eintrittswahrscheinlichkeit und Schwere jedes Risikos, etwa niedrig, mittel oder hoch.
4. 4
   Abhilfemaßnahmen festlegen
   Bestimmen Sie zu jedem Risiko konkrete technische und organisatorische Maßnahmen: Zugriffsbeschränkung, Verschlüsselung, Löschkonzept, Protokollierung, Schulung, Anonymisierung. Halten Sie fest, welches Risiko dadurch wie stark sinkt.
5. 5
   Restrisiko bewerten
   Prüfen Sie, welches Risiko nach den Maßnahmen übrig bleibt. Ist das Restrisiko vertretbar, dokumentieren Sie das Ergebnis und starten die Verarbeitung. Bleibt es trotz aller Maßnahmen hoch, folgt Schritt sechs.
6. 6
   Bei hohem Restrisiko: Aufsichtsbehörde konsultieren
   Nach Art. 36 DSGVO müssen Sie die zuständige Aufsichtsbehörde vor Beginn der Verarbeitung konsultieren, wenn ein hohes Restrisiko bleibt. Die Behörde antwortet in der Regel binnen acht Wochen, bei komplexen Fällen verlängerbar um sechs Wochen.

Ist ein Datenschutzbeauftragter benannt, muss er nach Art. 35 Abs. 2 DSGVO in die DSFA einbezogen werden und gibt eine fachliche Einschätzung ab. Ob und ab wann Sie überhaupt einen Datenschutzbeauftragten brauchen, klärt der Beitrag Datenschutzbeauftragter im Unternehmen.

Die Vorabkonsultation nach Artikel 36

Die Vorabkonsultation ist der Sonderfall, den viele übersehen. Sie greift nur, wenn Ihre DSFA ergibt, dass trotz aller geplanten Maßnahmen ein hohes Restrisiko bleibt. Dann dürfen Sie die Verarbeitung nicht einfach starten, sondern müssen zuerst die zuständige Aufsichtsbehörde nach Art. 36 DSGVO konsultieren.

In der Praxis ist das für die meisten Betriebe die Ausnahme von der Ausnahme. Wenn Sie Ihre DSFA sauber machen und wirksame Schutzmaßnahmen ergreifen, sinkt das Restrisiko in aller Regel auf ein vertretbares Maß, und die Konsultation entfällt. Sie ist ein Signal dafür, dass ein Vorhaben grundsätzlich zu heikel ist und noch einmal überdacht werden sollte.

Kommt es doch dazu, legen Sie der Behörde die DSFA und eine Beschreibung der geplanten Maßnahmen vor. Die Behörde gibt in der Regel binnen acht Wochen eine schriftliche Empfehlung ab, bei komplexen Verarbeitungen verlängerbar um weitere sechs Wochen. Erst danach dürfen Sie starten. Planen Sie diese Zeit ein, wenn ein solches Vorhaben ansteht.

Quelle: Art. 36 DSGVO: Vorherige Konsultation (dejure.org)

Was eine fehlende DSFA kostet

Eine erforderliche, aber fehlende oder mangelhafte DSFA ist ein eigenständiger Verstoß gegen die DSGVO. Nach Art. 83 Abs. 4 DSGVO sind dafür Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist. Dasselbe gilt für eine unterlassene Vorabkonsultation nach Art. 36.

Für den Mittelstand fallen Bußgelder in der Praxis deutlich niedriger aus als der gesetzliche Höchstrahmen. Das eigentliche Risiko ist ein anderes: Die Lücke fällt fast nie bei einer Routinekontrolle auf, sondern im Zusammenhang mit etwas anderem. Nach einer Datenpanne durch Ransomware, nach der Beschwerde eines überwachten Mitarbeiters oder nach einer Anfrage eines Kunden. Dann prüft die Behörde gleich alles mit, und eine fehlende DSFA bei einer klar riskanten Verarbeitung ist ein leicht vermeidbarer, teurer Fehler.

Hinzu kommt der praktische Schaden: Wer eine riskante Verarbeitung ohne DSFA startet und später nachbessern muss, baut Systeme, Verträge und Abläufe unter Umständen doppelt. Die DSFA vorab ist fast immer günstiger als die Reparatur danach.

Wie ITCC dabei unterstützt

ITCC ist Ihr externer IT-Dienstleister, kein Anwalt und keine Datenschutzkanzlei. Die rechtliche Bewertung einer Verarbeitung und die Formulierung der DSFA gehören in die Hände Ihres internen oder externen Datenschutzbeauftragten. Was wir liefern, ist die technische Grundlage, ohne die keine DSFA vollständig wird.

In der Praxis heißt das: Wir beschreiben mit Ihnen die betroffenen Systeme und Datenflüsse, dokumentieren, wo welche Daten liegen und welche Dienstleister Zugriff haben, und setzen die technischen Schutzmaßnahmen um, die aus der DSFA folgen. Zugriffsrechte, Verschlüsselung, Protokollierung, Backup und die saubere Konfiguration von Videoüberwachung, Ortungssystemen oder Microsoft 365. Diese Angaben füllen genau die Teile der DSFA, an denen es sonst hakt, und sind zugleich die Basis für eine belastbare IT-Dokumentation.

Für Betriebe im Raum Pfalz, Rhein-Neckar und Rhein-Main ist ein Erstgespräch der einfachste Weg zu einer ehrlichen Einschätzung, ob bei Ihnen eine DSFA ansteht und was technisch dafür nötig ist.

Gespräch vereinbaren