DPIA-Template (Datenschutz-Folgenabschätzung)

Eine DSFA (engl. DPIA) ist nach Art. 35 DSGVO eine vorab durchzuführende Risikoanalyse für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen darstellen. Sie dokumentiert die Verarbeitung, bewertet Risiken und definiert Schutzmaßnahmen.

Pflicht ist sie u. a. bei: systematischer Bewertung oder Profiling, umfangreicher Verarbeitung besonderer Datenkategorien, systematischer Überwachung öffentlich zugänglicher Bereiche. Zusätzlich veröffentlicht die BfDI / DSK eine verbindliche Liste — wer auf dieser Liste eine Verarbeitung durchführt, muss DSFA machen. Die Leitlinien WP248 nennen 9 Kriterien — bei Erfüllung von 2+ Kriterien gilt die DSFA regelmäßig als pflichtig.

Verantwortlich ist der Verantwortliche (Geschäftsführung, vertreten durch die zuständige Fachabteilung). Der/die Datenschutzbeauftragte ist verpflichtend zu konsultieren (Art. 35 Abs. 2 DSGVO). Bei verbleibendem hohen Restrisiko ist die Aufsichtsbehörde vorher zu konsultieren (Art. 36 DSGVO).

Daten zu rassischer/ethnischer Herkunft, politischer Meinung, religiöser/weltanschaulicher Überzeugung, Gewerkschaftszugehörigkeit, genetische und biometrische Daten zur Identifizierung, Gesundheitsdaten, Sexualleben und sexueller Orientierung. Verarbeitung ist grundsätzlich verboten, außer es greift ein Erlaubnistatbestand (Einwilligung, Beschäftigungsverhältnis, öffentliches Interesse etc.).

Standardmodell: Eintrittswahrscheinlichkeit × Schadenshöhe (jeweils niedrig/mittel/hoch). Daraus ergibt sich ein Risiko-Score, dem Schutzmaßnahmen gegenübergestellt werden. Das verbleibende Restrisiko muss "akzeptabel" sein — sonst greift Art. 36 (Konsultation Aufsichtsbehörde). Beispiel: Cloud-CRM ohne 2FA = Eintrittswahrscheinlichkeit mittel, Schadenshöhe hoch → mit 2FA + Verschlüsselung → Restrisiko niedrig.

Dann ist die Aufsichtsbehörde nach Art. 36 DSGVO vor Beginn der Verarbeitung zu konsultieren. Praktisch bedeutet das: schriftliche Vorlage der DSFA, Beantwortung von Rückfragen, ggf. Anpassung der Verarbeitung. Eine Verarbeitung ohne Konsultation, obwohl das Restrisiko hoch bleibt, ist rechtswidrig.

Nein. Die Vorlage bietet eine strukturierte Grundlage und einen Pflicht-Check. Bei komplexen Verarbeitungen — KI/ML-Systeme, internationale Konzern-Verarbeitungen, Gesundheitsdaten, großflächige Profiling-Systeme — empfehlen wir eine fachliche Begleitung durch Datenschutzbeauftragte oder externe Spezialist:innen. Keine Rechtsberatung iSd § 2 RDG.