Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO — Leitfaden für die Praxis

Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist das zentrale Instrument, um Risiken für Betroffene frühzeitig zu erkennen. Wer besonders riskante Verfahren einsetzt — etwa großflächige Profilverfahren, KI-gestützte Auswertungen oder die Verarbeitung sensibler Datenmengen —, muss die Risiken systematisch bewerten und Maßnahmen ergreifen. Dieser Leitfaden erklärt, wann eine DSFA erforderlich ist, was sie enthalten muss und wie die automatische Schwärzung von Dokumenten das Risiko wirksam reduziert.

Die Datenschutz-Folgenabschätzung (DSFA, englisch: Data Protection Impact Assessment, DPIA) ist ein strukturierter Prozess nach Art. 35 Abs. 1 DSGVO. Sie dient dazu, die Auswirkungen geplanter oder bestehender Verarbeitungsvorgänge auf die Rechte und Freiheiten natürlicher Personen systematisch zu bewerten und frühzeitig Maßnahmen zur Risikominderung zu definieren.

Anders als das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), das lediglich dokumentiert, was verarbeitet wird, betrachtet die DSFA konkret die Risiken dieser Verarbeitung: Welche Bedrohungen bestehen? Wie wahrscheinlich sind sie? Welche Schäden können eintreten? Und welche technischen und organisatorischen Maßnahmen mildern die Risiken ab? Das Ergebnis ist kein Selbstzweck, sondern eine Entscheidungsvorlage: Bleibt das Restrisiko vertretbar, oder muss die Verarbeitung angepasst — im Zweifel gar nicht erst durchgeführt — werden?

Art. 35 Abs. 1 DSGVO verlangt eine DSFA immer dann, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Konkretisiert wird das in Art. 35 Abs. 3 DSGVO durch drei gesetzliche Kataloge, bei denen eine DSFA zwingend durchzuführen ist:

• Systematische und umfassende Bewertung persönlicher Aspekte: Wenn Verarbeitungsvorgänge auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhen und die Grundlage für Entscheidungen bilden, die Rechtswirkungen für die betroffene Person entfalten oder sie ähnlich erheblich beeinträchtigen.
• Umfassende Verarbeitung besonderer Datenkategorien: Wenn im großen Umfang Daten nach Art. 9 Abs. 1 DSGVO verarbeitet werden — also Gesundheitsdaten, biometrische oder genetische Daten, Daten über sexuelles Leben oder politische Meinungen, Gewerkschaftszugehörigkeit, ethnische Herkunft oder religiöse Überzeugungen.
• Großflächige systematische Überwachung: Wenn öffentlich zugängliche Bereiche großflächlich und systematisch überwacht werden — etwa durch Videoüberwachung, Sensorik oder automatisierte Kennzeichenerfassung.

Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien zu DSFA (WP248 rev.01) zudem eine Reihe von Kriterien definiert, die einzeln oder in Kombination ein hohes Risiko begründen können: Auswertung oder Vorhersage von Verhalten, systematische Überwachung, sensitive Daten oder Daten hoher Intimität, Daten über Schwache (Kinder, Beschäftigte), große Datenmengen, Kombination oder Zusammenführung von Datensätzen, innovative Technologien (z. B. KI, Biometrie), Ausschluss der Wahrnehmung von Rechten und viele mehr. Sobald zwei dieser Kriterien zusammentreffen, ist eine DSFA in der Regel Pflicht.

In Deutschland ergänzt § 35 BDSG die Vorgaben. Für Verarbeitungen, die keinen regelmäßigen Zugang zu Akten oder Körperinformationen erfordern und nicht ganz oder teilweise automatisiert im großen Stil erfolgen, wird eine DSFA nur dann erforderlich, wenn die Verarbeitung für die Rechte und Freiheiten der betroffenen Personen voraussichtlich ein hohes Risiko birgt. In der Praxis wird oft eine Faustregel genannt, nach der ein Risiko-Indikator in der Größenordnung von regelmäßig mindestens 75 Beschäftigten mit automatisierter Verarbeitung als Anhaltspunkt für eine nähere Prüfung dienen kann — eine starre gesetzliche Schwelle ist das jedoch nicht. Die Entscheidung liegt beim Verantwortlichen und muss im Zweifel gegenüber der Aufsichtsbehörde begründet werden.

Nach Art. 35 Abs. 7 DSGVO muss jede Datenschutz-Folgenabschätzung mindestens drei Elemente umfassen:

1. Systematische Beschreibung der Verarbeitungsvorgänge und Zwecke. Was genau wird verarbeitet, woher kommen die Daten, an wen werden sie weitergegeben, wie lange werden sie gespeichert, welche Technik kommt zum Einsatz? Schon diese Bestandsaufnahme zwingt Verantwortliche zur Präzision und deckt oft Verarbeitungsbestandteile auf, die vorher nicht vollständig erfasst waren.

2. Bewertung der Notwendigkeit und Verhältnismäßigkeit. Sind die Verarbeitungsvorgänge für den Zweck wirklich erforderlich? Gibt es datenschutzfreundlichere Alternativen (Datensparsamkeit)? Ist die Verarbeitung angemessen im Verhältnis zum Zweck? Hier greifen die Grundsätze aus Art. 5 DSGVO — insbesondere Datenminimierung (Art. 5 Abs. 1 lit. c) und Speicherbegrenzung.

3. Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen. Welche Bedrohungen sind für Betroffene denkbar — etwa Identitätsdiebstahl, Diskriminierung, finanzieller Schaden, Rufschädigung, Verlust der Kontrolle über eigene Daten? Wie wahrscheinlich ist das Eintreten, und wie schwer wäre der Schaden? Diese Risikobewertung erfolgt typischerweise in einer Matrix aus Eintrittswahrscheinlichkeit und Schweregrad.

Zusätzlich verlangt Art. 35 Abs. 7 lit. d DSGVO die Maßnahmen zur Bewältigung der Risiken — also technische und organisatorische Maßnahmen (TOMs), Garantien und Verfahren. Genau hier setzt die automatische Schwärzung als wirksame Maßnahme an.

Wenn Dokumente mit personenbezogenen Daten im Rahmen eines Hochrisiko-Verfahrens verarbeitet werden — etwa bei Auskunftsersuchen (Art. 15 DSGVO), Akteneinsicht, IFG-Anträgen, Offenlegung von Berichten oder der Herausgabe von Personalakten —, ist die automatische Schwärzung eine der wirksamsten Maßnahmen zur Risikominderung. Sie greift an mehreren Stellen:

Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Wer vor der Weitergabe konsequent schwärzt, reduziert die Menge der offengelegten personenbezogenen Daten auf das für den Zweck zwingend Erforderliche. Damit sinkt das Risiko für Betroffene drastisch — und gleichzeitig die Wahrscheinlichkeit eines Datenschutzverstoßes beim Verantwortlichen.

Datenschutz durch Gestaltung (Art. 25 DSGVO). Privacy by Design verlangt, dass Systeme so gestaltet werden, dass von vornherein nur die notwendigen Daten verarbeitet werden. Die Integration einer automatischen Erkennung und Schwärzung in den Freigabeworkflow ist ein klassisches Beispiel für eine eingebaute Schutzmaßnahme.

Wirksame Maßnahme nach Art. 32 DSGVO. Die DSGVO fordert „angemessene" technische Maßnahmen zur Sicherstellung der Integrität und Vertraulichkeit. Eine irreversible Schwärzung, die den Text physisch aus dem PDF entfernt — und nicht nur optisch verdeckt —, ist eine solche Maßnahme. Ein bloßer schwarzer Balken reicht nicht aus, weil der unterliegende Text im Content-Stream des PDFs erhalten bleibt und mit einfachen Mitteln rekonstruiert werden kann.

Datenmaske unterstützt Verantwortliche an genau diesem Punkt: Die automatische Erkennung personenbezogener Daten (Namen, IBANs, E-Mail-Adressen, Telefonnummern, Adressen, Sozialversicherungsnummern) kombiniert mit der irreversiblen Entfernung aus dem PDF reduziert das Risiko einer unzulässigen Weitergabe im Sinne der DSFA dokumentierbar. Das kryptografisch gesicherte Schwärzungsprotokoll dient dabei als Nachweis für die ergriffenen Maßnahmen gegenüber Aufsichtsbehörden. Im Bedarfsfall lässt sich die Schwärzung so direkt in die Risikoanalyse der DSFA als Kontrollmaßnahme eintragen.

Praxis-Tipp: Verknüpfen Sie die DSFA mit einem klaren Freigabeprozess. Bevor Dokumente nach außen gehen, werden sie automatisch auf PII geprüft, die Vorschläge von einer Fachkraft bestätigt, das geschwärzte PDF exportiert und der Vorgang protokolliert. So entsteht ein nachvollziehbarer Prozess, der sowohl den DSGVO-Anforderungen als auch den Erfordernissen einer DSFA gerecht wird. Testen Sie den Free-Check, um die automatische Erkennung in einem konkreten Dokument zu erleben, und lesen Sie den ausführlichen DSGVO-Leitfaden zur Schwärzung für die Einbettung in Ihren Compliance-Prozess.

Bleibt nach Durchführung der DSFA ein hohes Restrisiko bestehen, das der Verantwortliche nicht durch eigene Maßnahmen mindern kann, verlangt Art. 36 DSGVO die Konsultation der Aufsichtsbehörde. Diese entscheidet, ob die Verarbeitung im Einklang mit der Verordnung steht und welche Auflagen gelten. In der Praxis ist dieser Fall selten, wenn die Risikominderung konsequent umgesetzt wird — etwa durch starke TOMs wie Verschlüsselung, Pseudonymisierung und eben auch Schwärzung. Die DSFA ist also nicht nur Pflicht, sondern auch Schutz: Wer sie sorgfältig durchführt und dokumentiert, hat im Schadensfall ein wichtiges Entlastungsdokument.

Die Datenschutz-Folgenabschätzung ist kein Bürokratie-Übung, sondern ein pragmatisches Werkzeug zur Risikosteuerung. Wer Hochrisiko-Verfahren verantwortet, profitiert von einer klaren Dokumentation der Risiken und der Maßnahmen. Die automatische Schwärzung von Dokumenten spielt dabei eine zentrale Rolle: Sie minimiert die Datenmenge bei Weitergabe, erfüllt Art. 5 Abs. 1 lit. c (Datenminimierung) und Art. 25 DSGVO (Privacy by Design) und ist als technische Maßnahme nach Art. 32 DSGVO dokumentierbar. Damit wird die DSFA zu einem tragfähigen Fundament der Datenschutz-Compliance — und nicht zu einem reinen Papierexercise.