Eine Datenschutz-Folgenabschätzung (DPIA) nach Artikel 35 DSGVO ist immer dann erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Artikel-29-Datenschutzgruppe (heute EDPB) hat neun Kriterien aufgestellt – treffen zwei oder mehr zu, führen Sie eine DPIA durch.

Eine belastbare DPIA hat fünf Stufen: Verarbeitung beschreiben, Notwendigkeit und Verhältnismäßigkeit bewerten, Risiken identifizieren, Minderungsmaßnahmen identifizieren und anschließend formell freigeben sowie eine Überprüfung planen. Die ICO-Methodik und die EDPB-Leitlinien stimmen in dieser Struktur eng überein.

Gut gemacht ist eine DPIA ein produktprägendes Artefakt – kein Compliance-Ritual. Sie deckt Risiken frühzeitig auf und erzwingt Entscheidungen über Datenminimierung, Speicherung und Zugriff. Die besten DPIAs werden vor der ersten Codezeile abgeschlossen.

Artikel 35(1) verlangt eine DPIA, wenn die Verarbeitung "voraussichtlich ein hohes Risiko zur Folge hat". Artikel 35(3) listet drei verpflichtende Fälle auf:

1. Systematische und umfassende Bewertung persönlicher Aspekte auf der Grundlage automatisierter Verarbeitung, einschließlich Profiling, die rechtliche Wirkung oder ähnlich erhebliche Wirkung entfaltet.
2. Verarbeitung besonderer Kategorien von Daten (Artikel 9) oder von Daten über strafrechtliche Verurteilungen (Artikel 10) in großem Umfang.
3. Systematische Überwachung eines öffentlich zugänglichen Bereichs in großem Umfang.

Die meisten Aufsichtsbehörden veröffentlichen nationale Listen (Artikel 35(4)) zusätzlicher Verarbeitungen, die stets eine DPIA erfordern. Prüfen Sie die Listen Ihrer federführenden Aufsichtsbehörde sowie aller Aufsichtsbehörden, deren Mitgliedstaatsbewohner Sie verarbeiten.

Wo Unklarheit besteht, führen Sie den Test mit neun Kriterien durch. Zwei oder mehr = DPIA erforderlich.

1. Bewertung oder Scoring – Profiling, Verhaltensanalyse.
2. Automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung.
3. Systematische Überwachung – Beobachtung öffentlicher Bereiche, Mitarbeiterüberwachung, Web-Tracking.
4. Sensible oder höchst persönliche Daten – besondere Kategorien, strafrechtliche Daten, aber auch Finanz-, Standort- und elektronische Kommunikationsdaten.
5. In großem Umfang verarbeitete Daten.
6. Abgleich oder Zusammenführung von Datensätzen – einschließlich von verschiedenen Verantwortlichen oder für verschiedene Zwecke.
7. Daten über schutzbedürftige betroffene Personen – Kinder, Beschäftigte, psychisch Kranke, Asylsuchende.
8. Innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer Lösungen – KI, Biometrie, IoT.
9. Hindert betroffene Personen daran, ein Recht auszuüben oder einen Dienst / Vertrag zu nutzen.

Die Grundlage jeder DPIA ist eine präzise Beschreibung dessen, was Sie tatsächlich mit Daten tun. Erfassen Sie:

• Art — Kategorien personenbezogener Daten, Quellen, Empfänger, Aufbewahrung, technische Sicherheit, grenzüberschreitende Übermittlungen.
• Umfang — Datenvolumen, Anzahl der betroffenen Personen, geografische und zeitliche Ausdehnung.
• Kontext — Art der Beziehung zu den betroffenen Personen, der ihnen zustehende Kontrollumfang, Sensibilität des Kontexts (Arbeitsplatz, Gesundheit).
• Zwecke — was Sie erreichen möchten, beabsichtigte Ergebnisse, geschäftlicher Nutzen.

Kombinieren Sie dies mit einem Datenflussdiagramm. Frei formulierte Beschreibungen übersehen Dinge, die Datenflussdiagramme aufdecken.

• Rechtsgrundlage — Artikel 6 Abs. 1 lit. a–f. Bei besonderen Kategorien zusätzlich eine Bedingung nach Artikel 9 Abs. 2.
• Geprüfte weniger eingriffsintensive Alternativen — könnten Sie den Zweck mit weniger Daten, anonymisierten Daten, aggregierten Daten oder kürzerer Aufbewahrung erreichen?
• Zweckbindung — unterstützt jede Datenkategorie tatsächlich den angegebenen Zweck?
• Datenminimierung — eine explizite Liste der Felder und eine dokumentierte Begründung für jedes einzelne.
• Qualität & Richtigkeit — welche Mechanismen halten die Daten aktuell?
• Aufbewahrung & Löschung — exakte Fristen, mit der rechtlichen/geschäftlichen Begründung.
• Information & Rechte — wie informieren Sie die betroffenen Personen und wie nehmen diese ihre Rechte wahr?

Dokumentieren Sie für jedes erkennbare Risiko:

• Beschreibung des Risikos (klar, in einfacher Sprache).
• Quelle des Risikos.
• Eintrittswahrscheinlichkeit der Bedrohung (niedrig / mittel / hoch).
• Schwere des Schadens für die betroffenen Personen (niedrig / mittel / hoch).
• Gesamtrisikobewertung.

Routinemäßig zu berücksichtigende Bedrohungsarten: unbefugter Zugriff (Insider, externer Angreifer), Veränderung (Integritätsverlust), Verlust (Zerstörung, Nichtverfügbarkeit), Diskriminierung, Identitätsdiebstahl, finanzieller Schaden, Reputationsschaden, Verlust der Vertraulichkeit, Verlust der Kontrolle über Daten, Re-Identifizierung pseudonymisierter Daten.

Bestimmen Sie für jedes Risiko die geplante Behandlung:

• Akzeptieren — das Restrisiko ist hinnehmbar. Dokumentieren Sie das Warum und wer es genehmigt hat.
• Reduzieren — angewandte Maßnahmen (Verschlüsselung, Zugriffsverwaltung, Schulung, Verkürzung der Aufbewahrung).
• Vermeiden — die Verarbeitung ändern, um das Risiko zu beseitigen (stattdessen anonymisierte Daten verwenden, eine Funktion weglassen).
• Übertragen — vertragliche Zuweisung (selten bei primären Risiken; üblich für Restverbindlichkeiten über Versicherungen oder Lieferantenbedingungen).

Bewerten Sie das Restrisiko nach den geplanten Maßnahmen neu. Bleibt das Restrisiko hoch, müssen Sie vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren (Artikel 36).

• Stellungnahme des DPO (Artikel 35 Abs. 2) — der DPO muss konsultiert werden; der Verantwortliche darf von der Stellungnahme abweichen, muss jedoch die Begründung dokumentieren.
• Konsultation der Beteiligten — Artikel 35 Abs. 9 empfiehlt, betroffene Personen oder ihre Vertreter gegebenenfalls zu konsultieren.
• Freigabebefugnis — typischerweise die ranghohe rechenschaftspflichtige Person des Verantwortlichen (CISO, COO oder CEO bei unternehmenskritischer Verarbeitung).
• Veröffentlichung — nicht durch die DSGVO vorgeschrieben, aber die ICO und viele Aufsichtsbehörden empfehlen die Veröffentlichung geschwärzter DPIA-Zusammenfassungen als Vertrauenssignal.
• Überprüfungszyklus — Artikel 35 Abs. 11 verlangt eine Überprüfung, wenn sich das mit den Verarbeitungsvorgängen verbundene Risiko ändert. Legen Sie eine kalendarische Überprüfung mindestens jährlich fest.

Eine vorherige Konsultation nach Artikel 36 ist erforderlich, wenn nach Anwendung von Abhilfemaßnahmen das Restrisiko für die Rechte und Freiheiten hoch bleibt.

Die Aufsichtsbehörde erhält:

• Die DPIA selbst.
• Verantwortlichkeiten des Verantwortlichen sowie etwaiger gemeinsam Verantwortlicher / Auftragsverarbeiter.
• Zwecke und Mittel der beabsichtigten Verarbeitung.
• Maßnahmen und Garantien.
• Kontaktdaten des DPO.
• Alle weiteren von der Aufsichtsbehörde angeforderten Informationen.

Antwortfrist der Aufsichtsbehörde: 8 Wochen (bei komplexen Fällen um 6 Wochen verlängerbar). Die Verarbeitung darf während dieses Zeitraums nicht ohne Genehmigung beginnen.

Szenario: Ein Logistikunternehmen plant die Einführung einer auf Gesichtserkennung basierenden Zeiterfassung (Kommen/Gehen) für 4.500 Lagerarbeiter an 12 Standorten in Deutschland und Spanien.

Schwellenwerttest: Sensible Daten (biometrische Daten zur Identifizierung nach Artikel 9) + großer Umfang + schutzbedürftige Personen (Beschäftigte) + innovative Nutzung = eindeutig DPIA-pflichtig. Die deutschen und spanischen Aufsichtsbehörden-Listen führen die biometrische Identifizierung am Arbeitsplatz ebenfalls als verpflichtende DPIA auf.

Beschreibung (Phase 1): Gesichtsvorlagen werden aus einer nach vorne gerichteten Kamera am Standorteingang abgeleitet; Abgleich mit der erfassten, auf einer standortbezogenen Appliance gespeicherten Vorlage; Treffer werden mit Zeitstempel und Mitarbeiter-ID protokolliert; biometrische Vorlagen werden für die Dauer des Beschäftigungsverhältnisses + 30 Tage aufbewahrt; Abgleichprotokolle werden 3 Jahre aufbewahrt.

Erforderlichkeit (Phase 2): Rechtsgrundlage Artikel 6 Abs. 1 lit. b Arbeitsvertrag + Artikel 9 Abs. 2 lit. b arbeitsrechtliche Verpflichtung (Deutschland) und ausdrückliche Einwilligung (Spanien, mit Mitbestimmung des Betriebsrats). Geprüfte Alternativen: PIN-Karten-Durchzug (verworfen — Stechen für andere), Ausweis mit NFC (verworfen — dasselbe), Fingerabdruck (verworfen — Hygiene). Begründete Erforderlichkeit der Gesichtsvorlagen gegenüber den Alternativen.

Risiken (Phase 3): (a) Die Zentralisierung biometrischer Vorlagen schafft einen Honeypot für Datenschutzverletzungen. (b) Falscher Nichtabgleich, der zu Lohnabzügen führt. (c) Funktionserweiterung — Zeiterfassungsdaten werden zur Leistungsbeurteilung genutzt. (d) Zwang gegenüber Beschäftigten: Die Verweigerung der biometrischen Erfassung erzwingt einen Opt-out in schlechtere Bedingungen.

Behandlung (Phase 4): (a) On-Premise-Appliance je Standort; Vorlagen mit HSM-verwalteten Schlüsseln verschlüsselt; keine Cloud-Kopie. (b) Manueller Override-Workflow bei Nichtabgleich; die Lohnbuchhaltung darf nicht allein aufgrund eines fehlgeschlagenen Stempelvorgangs Abzüge vornehmen. (c) Vertragliches Verbot + technische Trennung zwischen Zeiterfassungsdaten und HR-Leistungssystemen. (d) Echter Opt-out-Pfad (Ausweis als Rückfalloption) ohne Nachteil, dokumentiert in der Betriebsvereinbarung.

Freigabe: Stellungnahme des DPO eingeholt — empfahl die Löschung der Gesichtsvorlagen 7 Tage nach Beschäftigungsende statt nach 30 Tagen. Der Verantwortliche stimmte zu. Mitbestimmung des Betriebsrats eingeholt. Restrisiko: mittel-niedrig. Keine Konsultation der Aufsichtsbehörde erforderlich.

• Den Schwellenwerttest überspringen. Eine DPIA wurde frühzeitig durchgeführt; später stellte sich heraus, dass keine erforderlich war. Der umgekehrte Fall (keine durchgeführt, die Durchsetzung deckt den Bedarf auf) ist weitaus schlimmer.
• Die Erforderlichkeit als reine Formsache behandeln. „Geprüfte weniger eingriffsintensive Alternativen“ ist der Abschnitt, den die Aufsichtsbehörden am sorgfältigsten lesen. Pro-forma-Erwähnungen überstehen kein Audit.
• Unklarheit über die Risikoeigentümerschaft. Risiken ohne eine benannte verantwortliche Person bleiben tendenziell unbehandelt.
• Das Auslassen des Konsultationsschritts mit betroffenen Personen. Wo angemessen (Beschäftigte, große Nutzerbasis), stärkt die Konsultation nach Artikel 35 Abs. 9 die Verteidigungsfähigkeit.
• Keine Neubewertung des Restrisikos. Wenn Sie nach der Behandlung keine Neubewertung vornehmen, können Sie nicht nachweisen, ob Artikel 36 ausgelöst wird.
• Die DPIA als einmaliges Artefakt behandeln. Wesentliche Änderungen (neue Datenkategorie, neuer Auftragsverarbeiter, neue Rechtsordnung, neuer Zweck) lösen die Bewertung erneut aus.
• Das Engineering die DPIA selbst abschließen lassen. Die Einbindung von Datenschutzfachleuten ist nach Artikel 35 Abs. 2 vorgeschrieben. Ohne sie fehlt der Bewertung die rechtliche Grundlage.