Datenschutz-Folgenabschätzung (DSFA)

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Art. 35 DSGVO verpflichtet zur Durchführung einer Datenschutz-Folgenabschätzung, wenn eine Form der Verarbeitung – insbesondere unter Verwendung neuer Technologien – aufgrund von Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Für Digitalisierungsprojekte relevant sind vor allem drei Regelbeispiele: die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, die systematische und umfangreiche Bewertung persönlicher Aspekte sowie die umfangreiche Überwachung öffentlich zugänglicher Bereiche.

In der Praxis bedeutet das: Wer große Bestände an Patientenakten, Personalakten mit Gesundheitsdaten oder Sozialakten digitalisiert, überschreitet häufig die Schwelle zur DSFA-Pflicht. Die Datenschutzaufsichtsbehörden der Länder und des Bundes veröffentlichen sogenannte Positivlisten mit konkreten Regelbeispielen, an denen sich die Einschätzung im Einzelfall orientieren lässt.

Nicht jede Digitalisierung sensibler Daten löst automatisch die DSFA-Pflicht aus – entscheidend ist das Zusammenspiel aus Umfang, Sensibilität der Daten und Neuartigkeit des eingesetzten Verfahrens. Die Digitalisierung einer überschaubaren Anzahl von Personalakten in einem kleinen Unternehmen mit etablierten, risikoarmen Prozessen erreicht die Schwelle in der Regel nicht, während die Massendigitalisierung von Patientenakten in einer Klinik mit neuen KI-gestützten Auswerteverfahren fast immer eine DSFA erfordert.

Welche Schritte umfasst eine DSFA konkret?

Eine vollständige Datenschutz-Folgenabschätzung nach Art. 35 Abs. 7 DSGVO enthält mindestens folgende Elemente:

1. Systematische Beschreibung der Verarbeitung: Welche Daten werden wie, wo und zu welchem Zweck verarbeitet – beim Digitalisierungsprojekt etwa Umfang der Akten, beteiligte Systeme, Dienstleister und Speicherorte.
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit: Ist die Verarbeitung für den verfolgten Zweck erforderlich, oder gibt es datensparsamere Alternativen?
3. Risikobewertung für Betroffene: Welche konkreten Risiken bestehen, etwa unbefugter Zugriff auf Gesundheitsdaten während Transport oder Zwischenlagerung?
4. Abhilfemaßnahmen: Welche technisch-organisatorischen Maßnahmen mindern die identifizierten Risiken – Verschlüsselung, Zugriffsprotokollierung, Zutrittskontrolle beim Dienstleister, vertragliche Absicherung über den AVV?

Das Ergebnis wird dokumentiert und dient als Nachweis gegenüber der Aufsichtsbehörde im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Ergibt die Bewertung trotz Abhilfemaßnahmen ein weiterhin hohes Restrisiko, schreibt Art. 36 DSGVO eine vorherige Konsultation der zuständigen Aufsichtsbehörde vor. Diese prüft dann, ob die Verarbeitung in der geplanten Form zulässig ist oder zusätzliche Maßnahmen verlangt werden. In der Praxis kommt es bei sorgfältig geplanten Digitalisierungsprojekten selten so weit, weil die identifizierten Risiken meist bereits durch technisch-organisatorische Maßnahmen ausreichend gemindert werden können.

Welche Rolle spielt der Scandienstleister in der DSFA?

Auch wenn die rechtliche Pflicht beim Verantwortlichen liegt, ist der beauftragte Dienstleister ein wesentlicher Risikofaktor in der Bewertung. Für die DSFA relevante Fragen an den Dienstleister sind unter anderem:

• Wie ist der physische Zugang zu Scanzentren und Zwischenlagern gesichert?
• Werden Daten während Transport und Verarbeitung verschlüsselt?
• Wie werden Mitarbeitende des Dienstleisters auf Vertraulichkeit verpflichtet und geschult?
• Existiert ein dokumentiertes Löschkonzept für Digitalisate und Papieroriginale nach Projektabschluss?
• Werden Unterauftragsverarbeiter eingesetzt, und wie sind diese abgesichert?

Ein Dienstleister mit Zertifizierung nach ISO 27001 und dokumentierten Prozessen erleichtert die DSFA erheblich, weil viele der abgefragten technisch-organisatorischen Maßnahmen bereits nachweisbar belegt sind, statt im Einzelfall neu geprüft werden zu müssen.

Praktisch empfiehlt sich, diese Informationen bereits im Rahmen der Ausschreibung oder Angebotsanfrage strukturiert abzufragen, statt sie erst nach Vertragsschluss nachzureichen. Ein standardisierter Fragebogen zu technisch-organisatorischen Maßnahmen spart Zeit und stellt sicher, dass die DSFA auf einer vollständigen Informationsgrundlage basiert, bevor das eigentliche Digitalisierungsprojekt beginnt.

Wie unterscheidet sich die DSFA von der Auftragsverarbeitung?

Beide Instrumente ergänzen sich, adressieren aber unterschiedliche Ebenen: Der Auftragsverarbeitungsvertrag (AVV) regelt die vertragliche Beziehung zum Dienstleister – Pflichten, Weisungen, Kontrollrechte. Die DSFA bewertet dagegen das Risiko der Verarbeitung insgesamt, unabhängig davon, ob sie intern oder extern erfolgt, und legt fest, welche Schutzmaßnahmen angemessen sind. In der Praxis fließen die im AVV vereinbarten technisch-organisatorischen Maßnahmen als Eingabe in die DSFA ein.

Zeitlich betrachtet sollte die DSFA idealerweise vor Abschluss des AVV vorliegen, da ihre Ergebnisse bestimmen, welche konkreten technisch-organisatorischen Maßnahmen vertraglich mit dem Dienstleister vereinbart werden müssen. In der Praxis laufen beide Prozesse häufig parallel, wobei erste Erkenntnisse aus Gesprächen mit potenziellen Dienstleistern bereits in die DSFA einfließen und die endgültige Vertragsgestaltung anschließend auf den identifizierten Risiken aufbaut.

Wie gehen Kanzleien, Behörden und Unternehmen die DSFA praktisch an?

Ein pragmatisches Vorgehen für ein Digitalisierungsprojekt mit sensiblen Aktenbeständen:

1. Vorprüfung: Anhand der Positivlisten der Aufsichtsbehörden klären, ob eine DSFA-Pflicht besteht.
2. Verantwortlichkeiten festlegen: Wer erstellt die DSFA, wer wird konsultiert – Datenschutzbeauftragter, IT-Sicherheit, Fachabteilung.
3. Dienstleisterdaten einholen: Technisch-organisatorische Maßnahmen, Zertifizierungen und Prozessbeschreibungen des Scandienstleisters anfordern.
4. Risiken und Maßnahmen dokumentieren: Ergebnis schriftlich festhalten, auch als Nachweis für spätere Prüfungen.
5. Regelmäßig aktualisieren: Bei wesentlichen Änderungen an Prozess, System oder Dienstleister die DSFA überarbeiten.

Für Kanzleien mit Mandantenakten, die besondere Kategorien personenbezogener Daten enthalten können, etwa in Familien- oder Strafrechtssachen, empfiehlt sich zusätzlich eine enge Abstimmung mit dem Datenschutzbeauftragten über die berufsrechtliche Verschwiegenheitspflicht, die neben der DSGVO eigenständig zu beachten ist. Behörden wiederum sollten prüfen, ob interne Vorgaben oder Verwaltungsvorschriften zusätzliche Anforderungen an die Risikobewertung stellen, die über die DSGVO-Mindestanforderungen hinausgehen.

Wer ein Digitalisierungsprojekt mit sensiblen Daten plant, sollte die DSFA frühzeitig einplanen, nicht erst nach Auftragsvergabe – Nachbesserungen sind aufwendiger als eine saubere Erstbewertung. Fragen zu den technisch-organisatorischen Maßnahmen unseres Scanprozesses beantwortet unser Team über die Kontaktseite.