Wann ist eine DSGVO-Folgenabschätzung (DPIA) Pflicht?

Die drei Fix-Auslöser nach Art. 35 Abs. 3

Art. 35 Abs. 3 DSGVO listet drei Verarbeitungen, bei denen DPIA stets Pflicht ist, ohne weitere Einzelfallprüfung:

• lit. a, Systematische und umfassende Bewertung persönlicher Aspekte, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und als Grundlage für Entscheidungen dient, die Rechtswirkung entfalten oder Betroffene in ähnlich erheblicher Weise beeinträchtigen. Klassisch: Credit Scoring, automatisierte HR-Bewerberauswahl, automatisierte Versicherungsbeitragsberechnung.
• lit. b, Verarbeitung besonderer Kategorien (Art. 9) oder strafrechtsbezogener Daten (Art. 10) in großem Umfang. "Großer Umfang" ist nicht zahlmäßig definiert; WP248 empfiehlt die Bewertung anhand der Zahl betroffener Personen, des Datenvolumens bzw. der Bandbreite der Datenarten, der Verarbeitungsdauer und der geografischen Reichweite.
• lit. c, Systematische Überwachung öffentlich zugänglicher Bereiche in großem Umfang. Klassisch: Videoüberwachung großer Plätze, Smart-City-Sensorik, automatisierte Personenverfolgung in Einkaufszentren.

Bei einem dieser drei Auslöser ist die DPIA unabhängig von WP248-Kriterien Pflicht. Die Prüfung beginnt direkt mit Schritt 2, Inhaltsanforderungen nach Art. 35 Abs. 7.

Die neun WP248-Kriterien

Außerhalb der drei Fix-Auslöser hat die Art.-29-Gruppe in ihrer Leitlinie WP248 (revidiert 2017) neun Risikokriterien definiert, ab denen "voraussichtlich hohes Risiko" anzunehmen ist. Daumenregel aus WP248: Eine Verarbeitung, die zwei Kriterien erfüllt, erfordert in den meisten Fällen eine DPIA; in manchen Fällen kann schon ein einziges Kriterium genügen.

Die neun Kriterien:

1. Bewerten oder Einstufen (Scoring, Profiling): Bonitätsbewertung, Verhaltensanalyse, Vorhersagen.
2. Automatisierte Entscheidung mit Rechtswirkung: Entscheidungen, die rechtliche oder vergleichbar erhebliche Wirkung haben.
3. Systematische Überwachung: kontinuierliche Beobachtung des Verhaltens.
4. Vertrauliche oder höchstpersönliche Daten: einschließlich Art. 9, Art. 10, Finanzen, Kommunikationsinhalte.
5. Datenverarbeitung in großem Umfang: zahl- und volumenmäßig groß.
6. Verknüpfung oder Zusammenführung von Datensätzen: aus unterschiedlichen Quellen, zu einem Zweck, der nicht ursprünglich vorhergesehen war.
7. Daten zu schutzbedürftigen betroffenen Personen: Kinder, Patienten, Arbeitnehmer, Asylsuchende.
8. Innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen: etwa kombinierte Fingerabdruck- und Gesichtserkennung zur Zutrittskontrolle, bestimmte Internet-of-Things-Anwendungen.
9. Verhinderung einer Rechts- oder Vertragsausübung: Verarbeitungen, die über den Zugang zu einem Dienst oder den Abschluss eines Vertrags entscheiden (Beispiel aus WP248: Eine Bank gleicht Kunden mit einer Auskunftei-Datenbank ab, um über einen Kredit zu entscheiden).

Die deutsche Muss-Liste

Die Datenschutzkonferenz (DSK) hat für den nicht-öffentlichen Bereich nach Art. 35 Abs. 4 DSGVO eine „Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist" veröffentlicht (Version 1.1 vom 17.10.2018, 17 Nummern). Für öffentliche Stellen des Bundes führt die BfDI eine eigene Liste. Auszug aus der DSK-Liste:

• Nr. 1: Verarbeitung von biometrischen Daten zur eindeutigen Identifizierung natürlicher Personen, wenn mindestens ein weiteres Kriterium aus WP 248 Rev. 01 zutrifft (Beispiel der Liste: flächendeckende Fingerabdrucksensoren zur Zutrittskontrolle).
• Nr. 4: Umfangreiche Verarbeitung von personenbezogenen Daten über den Aufenthalt von natürlichen Personen (Einsatzfelder laut Liste: Fahrzeugdatenverarbeitung bei Car-Sharing und Mobilitätsdiensten, Offline-Tracking von Kundenbewegungen).
• Nr. 5: Zusammenführung von Daten aus verschiedenen Quellen in großem Umfang, mit für die Betroffenen nicht nachvollziehbaren Algorithmen, zur Erzeugung von Datengrundlagen für Entscheidungen mit Rechtswirkung (Einsatzfelder: Fraud-Prevention-Systeme, Scoring durch Auskunfteien, Banken oder Versicherungen).
• Nr. 8: Umfangreiche Verarbeitung von personenbezogenen Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeitstätigkeit derart eingesetzt werden können, dass sich Rechtsfolgen für die Betroffenen ergeben oder diese in anderer Weise erheblich beeinträchtigt werden (Einsatzfelder: Data-Loss-Prevention-Systeme, Geolokalisierung von Beschäftigten).
• Nr. 10: Big-Data-Analyse von Kundendaten, die mit Angaben aus Drittquellen angereichert wurden, sofern die Zusammenführung in großem Umfang erfolgt und der Entdeckung vorher unbekannter Zusammenhänge für nicht im Vorhinein bestimmte Zwecke dient.
• Nr. 11: Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person (Einsatzfeld: Kundensupport mittels künstlicher Intelligenz).
• Nr. 14: Erstellung umfassender Profile über die Bewegung und das Kaufverhalten von Betroffenen (Beispiel der Liste: Kundenkarten mit Treuepunkten).
• Nr. 16: Verarbeitung von Daten nach Art. 9 Abs. 1 und Art. 10 DSGVO, auch wenn nicht umfangreich, sofern eine nicht einmalige Datenerhebung mittels innovativer Nutzung von Sensoren oder mobilen Anwendungen stattfindet und die Daten von einer zentralen Stelle empfangen und aufbereitet werden (Einsatzfeld: Telemedizin-Lösungen).
• Nr. 17: Verarbeitung von Daten nach Art. 9 Abs. 1 und Art. 10 DSGVO, auch wenn nicht umfangreich, sofern die Anbieter neuer Technologien sie verwenden, um die Leistungsfähigkeit der Personen zu bestimmen (Einsatzfeld: Messdaten aus Fitnessarmbändern oder Smartphones).

Wer eine Verarbeitung plant, die einen der Listenpunkte erfüllt, muss vorab eine DSFA durchführen. Die Liste ist nach ihren eigenen Hinweisen nicht abschließend, sondern ergänzt Art. 35 Abs. 1 und 3 DSGVO.

Gibt es eine Liste für den DSFA-Verzicht?

Art. 35 Abs. 5 DSGVO erlaubt den Aufsichtsbehörden, zusätzlich eine Liste der Verarbeitungen zu veröffentlichen, für die keine DSFA erforderlich ist. Die BfDI verweist auf ihrer Übersichtsseite ausschließlich auf die beiden Listen nach Art. 35 Abs. 4 (BfDI für öffentliche Stellen des Bundes, DSK für den nicht-öffentlichen Bereich); eine deutsche Liste nach Art. 35 Abs. 5 ist dort nicht aufgeführt. Ob eine DSFA entfallen kann, ist deshalb im Einzelfall nach Art. 35 Abs. 1 und 3 sowie anhand der DSK-Liste zu prüfen und das Ergebnis zu dokumentieren.

Eine gesetzliche Ausnahme enthält Art. 35 Abs. 10 DSGVO: Beruht eine Verarbeitung nach Art. 6 Abs. 1 lit. c oder e auf einer Rechtsgrundlage im Unions- oder mitgliedstaatlichen Recht und wurde bereits beim Erlass dieser Rechtsgrundlage eine Datenschutz-Folgenabschätzung durchgeführt, gelten Art. 35 Abs. 1 bis 7 nur, wenn der Mitgliedstaat dies für erforderlich hält.

Inhalte der DPIA: was muss drin stehen?

Art. 35 Abs. 7 DSGVO listet vier Pflichtbestandteile:

• Systematische Beschreibung der Verarbeitungsvorgänge und ihrer Zwecke, einschließlich des verfolgten berechtigten Interesses, sofern relevant.
• Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung in Bezug auf die Zwecke.
• Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen.
• Geplante Abhilfemaßnahmen einschließlich technischer und organisatorischer Maßnahmen.

In der Praxis kommen weitere Bestandteile hinzu: Konsultation der betroffenen Personen oder ihrer Vertreter (Art. 35 Abs. 9), Stellungnahme des Datenschutzbeauftragten, Verweis auf die einschlägigen WP248-Kriterien, Wiedervorlage-Termin.

Konsultation der Aufsicht (Art. 36)

Wenn die DPIA ein verbleibendes hohes Risiko ergibt, also auch nach allen Abhilfemaßnahmen, muss der Verantwortliche die Aufsicht vorab konsultieren (Art. 36 DSGVO).

Hält die Aufsicht die geplante Verarbeitung für nicht rechtskonform, unterbreitet sie innerhalb von bis zu acht Wochen nach Erhalt des Ersuchens schriftliche Empfehlungen; die Frist kann je nach Komplexität um sechs Wochen verlängert werden (Art. 36 Abs. 2 DSGVO). Möglich sind:

• Keine Beanstandung, Verarbeitung kann starten.
• Empfehlungen, Aufsicht schlägt zusätzliche Maßnahmen vor.
• Untersagung, Aufsicht verbietet die Verarbeitung in der vorgesehenen Form.

Der Konsultation sind nach Art. 36 Abs. 3 DSGVO unter anderem die Datenschutz-Folgenabschätzung, die Zwecke und Mittel der Verarbeitung, die vorgesehenen Maßnahmen und Garantien sowie die Kontaktdaten des Datenschutzbeauftragten beizufügen.

Praxis: Schritt-für-Schritt-Entscheidungsbaum

Entscheidungsbaum in dieser Reihenfolge:

1. Fix-Auslöser nach Art. 35 Abs. 3? Ja → DPIA Pflicht. Nein → weiter.
2. DSK-Liste nach Art. 35 Abs. 4? Ja → DPIA Pflicht. Nein → weiter.
3. WP248-Kriterien: Wie viele erfüllt? Zwei oder mehr → DPIA in der Regel erforderlich. Eines → Einzelfallprüfung, auch ein Kriterium kann genügen; einen Verzicht begründet dokumentieren. Keines → DPIA nicht Pflicht, aber Schriftliche Negativ-Prüfung dokumentieren.
4. Bei DPIA-Pflicht: alle vier Pflichtbestandteile nach Art. 35 Abs. 7 abarbeiten, DSB einbeziehen.
5. Bei verbleibendem hohem Risiko: Aufsicht nach Art. 36 konsultieren.
6. Wiedervorlage: jährlich oder bei wesentlicher Änderung.

FAQ

Wer ist verantwortlich für die DPIA-Durchführung?

Der Verantwortliche (Art. 4 Nr. 7 DSGVO), also typischerweise das Unternehmen oder die Behörde. Der Datenschutzbeauftragte (DSB) berät auf Anfrage und überwacht die Durchführung der DPIA (Art. 39 Abs. 1 lit. c); die Verantwortung für sie trägt er nicht. Auftragsverarbeiter unterstützen den Verantwortlichen mit Informationen, die Verantwortung bleibt beim Verantwortlichen.

Wie lange dauert eine DPIA?

Das hängt vom Einzelfall ab: Komplexität der Verarbeitung, Zahl der Beteiligten, eingesetzte Technik und Drittland-Bezüge bestimmen den Aufwand; eine gesetzliche Frist gibt es nicht. Wichtig ist, dass die DPIA vor Beginn der Verarbeitung abgeschlossen ist, Art. 35 Abs. 1 verlangt sie „vorab".

Was passiert, wenn ich keine DPIA durchführe, obwohl ich müsste?

Verstoß gegen Art. 35 DSGVO. Bußgelder nach Art. 83 Abs. 4 lit. a, bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Hinzu kommt, dass die Aufsicht nach Art. 58 Abs. 2 lit. f DSGVO eine Beschränkung oder ein Verbot der Verarbeitung verhängen kann, was operationelle Folgen hat.

Kann ich eine DPIA für mehrere ähnliche Verarbeitungen kombinieren?

Ja. Art. 35 Abs. 1 letzter Satz lässt eine einzige DPIA für mehrere ähnliche Verarbeitungen zu, sofern die Risikolagen vergleichbar sind. Klassischer Anwendungsfall: ein Konzern, der dasselbe HR-System in mehreren Tochterfirmen einsetzt, eine DPIA reicht, mit Anhang für lokale Spezifika.