Compliance-Praxis · DSGVO

Datenschutz-Folgenabschätzung: Wann sie Pflicht ist und wie sie in fünf Schritten gelingt

Redaktion · 29. September 2026 · 7 Min. Lesezeit

Die Datenschutz-Folgenabschätzung gilt als aufwendiges Pflichtdokument. Tatsächlich scheitert sie selten an der Methode. Sie scheitert am Zeitpunkt: Wer sie erst schreibt, wenn das System steht, dokumentiert nur noch, was ohnehin nicht mehr zu ändern ist.

Ausgangslage: Ein Werkzeug der Planung, benutzt als Protokoll

Artikel 35 der Datenschutz-Grundverordnung verlangt eine Folgenabschätzung, bevor eine Verarbeitung beginnt, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Das Wort "voraussichtlich" verweist nach vorn. Gemeint ist eine Prognose, kein Bericht.

In der Beratungspraxis begegnet einem regelmäßig das Gegenteil. Das Verfahren ist ausgeschrieben, der Dienstleister ausgewählt, die Schnittstellen sind gebaut, und dann fragt jemand nach der Folgenabschätzung. Was in diesem Moment entsteht, ist eine Rechtfertigung. Sie erfüllt die Form und verfehlt den Zweck, denn die Maßnahmen, die das Risiko wirksam senken würden, hätten in die Architektur gehört.

Der Unterschied ist nicht akademisch. Eine Folgenabschätzung, die vor der Beschaffung entsteht, verändert Anforderungen. Eine, die danach entsteht, verändert nur noch Formulierungen.

Wer ist betroffen?

Die Pflicht trifft den Verantwortlichen, nicht den Auftragsverarbeiter. Drei Fälle nennt Artikel 35 Absatz 3 ausdrücklich: die systematische und umfassende Bewertung persönlicher Aspekte mittels automatisierter Verarbeitung, auf die sich Entscheidungen mit Rechtswirkung stützen; die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über Straftaten; sowie die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Diese Liste ist nicht abschließend. Die Aufsichtsbehörden führen nach Artikel 35 Absatz 4 eigene Listen von Verarbeitungsvorgängen, für die eine Folgenabschätzung durchzuführen ist. Für Deutschland hat die Datenschutzkonferenz eine abgestimmte Fassung veröffentlicht, die von den Landesbehörden übernommen wurde. Wer eine Verarbeitung plant, die dort auftaucht, braucht keine weitere Prüfung mehr. Die Pflicht steht fest.

Für alle übrigen Verarbeitungen gelten die neun Kriterien aus den Leitlinien der früheren Artikel-29-Datenschutzgruppe, die der Europäische Datenschutzausschuss übernommen hat. Treffen zwei davon zu, ist nach Auffassung der Aufsicht in der Regel von einem hohen Risiko auszugehen. Die Kriterien reichen von Bewertung und Scoring über automatisierte Entscheidungsfindung mit erheblicher Auswirkung, systematische Überwachung, sensible Daten, umfangreiche Verarbeitung, Abgleich von Datensätzen, schutzbedürftige Betroffene und innovative Technologien bis zur Verhinderung der Rechtsausübung.

Wie hoch ist die Priorität?

Ein Verstoß gegen Artikel 35 und Artikel 36 fällt unter Artikel 83 Absatz 4. Der Rahmen reicht bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das ist der niedrigere der beiden Bußgeldrahmen der Verordnung, was gelegentlich zu der Fehleinschätzung führt, die Pflicht sei nachrangig.

Sie ist es nicht, und zwar aus einem praktischen Grund. Die fehlende Folgenabschätzung ist für eine Aufsichtsbehörde leicht festzustellen. Sie liegt vor oder sie liegt nicht vor. Anders als bei Fragen der Verhältnismäßigkeit gibt es keinen Beurteilungsspielraum, über den sich streiten ließe. Wo eine Prüfung beginnt, ist es deshalb häufig der erste Punkt, der auffällt.

Warum ist das wichtig? Die fünf Schritte

Artikel 35 Absatz 7 gibt den Mindestinhalt vor. Daraus lässt sich ein Ablauf ableiten, der in der Praxis trägt.

Schritt 1: Schwellenwertprüfung

Zuerst wird festgestellt, ob überhaupt eine Pflicht besteht. Geprüft wird gegen die drei Regelbeispiele, gegen die Muss-Liste der Aufsichtsbehörde und gegen die neun Kriterien. Das Ergebnis wird schriftlich festgehalten, auch wenn es negativ ausfällt. Diese halbe Seite ist der Nachweis, dass die Frage gestellt wurde. Fehlt sie, steht im Prüfungsfall Aussage gegen Aussage.

Schritt 2: Systematische Beschreibung der Verarbeitung

Beschrieben werden Zweck, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Speicherdauer und die eingesetzte Technik. Wer ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 führt, hat den größeren Teil dieses Schritts bereits erledigt. Wer keines führt, merkt hier, was ihm fehlt.

Ein Datenflussdiagramm ersetzt an dieser Stelle mehrere Seiten Prosa und deckt Übermittlungen auf, die in der Textfassung verschwiegen werden, weil niemand an sie gedacht hat.

Schritt 3: Notwendigkeit und Verhältnismäßigkeit

Der Schritt, der am häufigsten übersprungen wird. Zu begründen ist, warum der Zweck nicht mit weniger Daten, kürzerer Speicherung oder geringerer Eingriffstiefe zu erreichen ist. Wenn die Antwort lautet, das Produkt sehe es so vor, ist die Begründung keine. Die Verordnung fragt nach der Erforderlichkeit der Verarbeitung, nicht nach dem Funktionsumfang der Software.

Schritt 4: Bewertung der Risiken für die Betroffenen

Hier liegt der häufigste Denkfehler. Bewertet wird das Risiko für die betroffenen Personen, nicht für das Unternehmen. Ein Datenabfluss, der das Unternehmen Reputation kostet, kann für die Betroffenen Identitätsmissbrauch bedeuten. Beide Perspektiven führen zu unterschiedlichen Maßnahmen.

Bewährt hat sich eine einfache Einstufung nach Eintrittswahrscheinlichkeit und Schwere, mit ausformulierten Schadensszenarien statt reiner Zahlenwerte. Eine Matrix mit Farben ohne beschriebene Szenarien lässt sich später weder prüfen noch fortschreiben.

Schritt 5: Abhilfemaßnahmen und gegebenenfalls Konsultation

Den Risiken werden Maßnahmen gegenübergestellt: Pseudonymisierung, Zugriffsbeschränkung, Löschkonzept, Protokollierung, Rollenmodell, Auftragsverarbeitungsverträge. Danach wird das verbleibende Risiko erneut bewertet. Bleibt es trotz aller Maßnahmen hoch, greift Artikel 36: Die Aufsichtsbehörde ist vor Beginn der Verarbeitung zu konsultieren. Sie hat dafür acht Wochen, die sich um sechs Wochen verlängern können.

Diese Frist ist der eigentliche Grund, früh anzufangen. Wer im vierten Quartal ein System produktiv setzen will und im November merkt, dass er konsultieren muss, verschiebt den Start ins Folgejahr.

Was muss konkret getan werden?

• Die Folgenabschätzung als Freigabebedingung in den Beschaffungsprozess aufnehmen, nicht in die Inbetriebnahme.
• Eine Vorlage anlegen, die den fünf Schritten folgt, und sie für alle Verfahren verbindlich machen.
• Den Datenschutzbeauftragten nach Artikel 35 Absatz 2 einbeziehen und den Rat dokumentieren, auch wenn ihm nicht gefolgt wird.
• Den Standpunkt der betroffenen Personen oder ihrer Vertreter einholen, soweit angemessen, und das Ergebnis festhalten.
• Einen Überprüfungszeitpunkt setzen. Artikel 35 Absatz 11 verlangt eine Überprüfung, wenn sich das Risiko ändert. Ohne Termin findet sie nicht statt.

Welche Dokumente werden benötigt?

BAM-Mapping: Wo die Folgenabschätzung mehrfach trägt

Vier der sieben Dokumente werden auch von anderen Rahmenwerken verlangt. Das Verzeichnis der Verarbeitungstätigkeiten liefert die Grundlage für das Asset- und Verfahrensinventar, das ISO 27001 in Anhang A erwartet. Das Risikoregister ist strukturell dasselbe Objekt wie die Risikobewertung nach ISO 27005. Der Maßnahmenkatalog überschneidet sich weitgehend mit den technischen und organisatorischen Maßnahmen, die NIS-2 in den Risikomanagementpflichten verlangt.

Genau dafür ist das Brain-Media Audit Model gebaut. Es führt regulatorische Anforderungen auf gemeinsame Nachweisobjekte zurück, statt für jede Verordnung ein eigenes Ablagesystem anzulegen. Wer die Folgenabschätzung als isoliertes Datenschutzdokument behandelt, schreibt dreimal dasselbe auf.

Unsere Empfehlung

Setzen Sie die Schwellenwertprüfung als Pflichtfeld in Ihren Beschaffungsprozess, und zwar vor der Auswahlentscheidung. Eine halbe Seite pro Verfahren genügt. Der Aufwand ist gering, und er ist der einzige Teil des Verfahrens, der sich später nicht nachholen lässt, ohne dass es auffällt.

Für die Verfahren, bei denen die Prüfung positiv ausfällt, planen Sie die vollständige Folgenabschätzung mit vier Wochen Vorlauf ein, bei möglicher Konsultation mit vier Monaten. Das klingt lang. Es ist die Frist, die in Artikel 36 steht.

Häufige Fragen