Die Datenschutz-Folgenabschätzung (DSFA) ist eine vorab durchgeführte Prüfung, ob eine Datenverarbeitung ein hohes Risiko für Betroffene hat und wie es sich senken lässt. Sie ist nach Art. 35 DSGVO Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt, insbesondere bei neuen Technologien. Typische Auslöser sind umfangreiche Verarbeitung von Gesundheitsdaten, systematische Überwachung und KI, die mit Menschen interagiert oder sie bewertet. Die DSFA muss vor dem Start erfolgen, nicht danach.
Ein Beispiel aus dem Alltag
Die Klinik Muster (ein erfundenes Beispiel) will einen KI-Assistenten einführen, der aus Diktaten Entlassbriefe entwirft. Betroffen sind Tausende Patientinnen und Patienten im Jahr, die Daten sind Gesundheitsdaten nach Art. 9 DSGVO, und die Technik ist neu. Das sind mehrere Risikokriterien zugleich. Die Klinik führt deshalb vor dem Start eine DSFA durch, bezieht ihren Datenschutzbeauftragten ein und dokumentiert, welche Maßnahmen das Risiko senken.
Die Einzelpraxis Dr. Muster (ebenfalls erfunden) nutzt dasselbe Werkzeug für ihre eigenen Patienten. Für sie ist die Verarbeitung nach Erwägungsgrund 91 DSGVO in der Regel nicht „umfangreich“. Ob trotzdem eine DSFA nötig ist, hängt von den weiteren Kriterien ab und sollte kurz geprüft und dokumentiert werden.
Die DSFA im Einzelnen
Wann sie Pflicht ist
Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen eine DSFA immer nötig ist:
- Systematische und umfassende Bewertung persönlicher Aspekte, einschließlich Profiling, auf deren Grundlage Entscheidungen mit Rechtswirkung getroffen werden.
- Umfangreiche Verarbeitung besonderer Kategorien nach Art. 9, etwa Gesundheitsdaten, oder von Daten über Straftaten.
- Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Dazu kommen die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4. Die Datenschutzkonferenz (DSK) hat eine solche „Muss-Liste“ für den nicht-öffentlichen Bereich beschlossen. Für Praxen, Kanzleien und Unternehmen sind besonders relevant:
- Umfangreiche Verarbeitung von Daten, die einem Berufsgeheimnis unterliegen (die Liste nennt als Beispiel eine große Anwaltssozietät).
- Einsatz von künstlicher Intelligenz, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten, etwa ein System, das Kunden im Gespräch berät.
- Telemedizin, bei der Gesundheitsdaten über Apps oder Sensoren laufend erhoben und zentral ausgewertet werden.
- Anonymisierung von Gesundheitsdaten in größerem Umfang, um sie an Dritte weiterzugeben.
Die Liste ist nicht abschließend. Als Faustregel nennt die DSK: Treffen zwei oder mehr der neun Risikokriterien der europäischen Leitlinien zu, etwa sensible Daten, großer Umfang, schutzbedürftige Betroffene oder innovative Technik, ist meist eine DSFA durchzuführen. Das Ergebnis der Vorprüfung ist in jedem Fall zu dokumentieren.
Was mindestens hinein muss (Art. 35 Abs. 7)
- Eine systematische Beschreibung der Verarbeitung und ihrer Zwecke.
- Eine Bewertung, ob die Verarbeitung notwendig und verhältnismäßig ist.
- Eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen.
- Die geplanten Abhilfemaßnahmen, Garantien und Sicherheitsvorkehrungen.
Bleibt das Risiko trotz Maßnahmen hoch, muss die Aufsichtsbehörde vorher konsultiert werden (Art. 36). Ist ein Datenschutzbeauftragter benannt, holt der Verantwortliche seinen Rat ein (Art. 35 Abs. 2). In Deutschland gilt zusätzlich: Wer eine DSFA durchführen muss, braucht unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten (§ 38 BDSG).
Sanktion
Eine fehlende oder mangelhafte DSFA kann mit bis zu zehn Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO).
Gliederung zum Anpassen
- 1. Verarbeitung: [Name des Werkzeugs], [Zweck, z. B. Entwürfe für Arztbriefe], [betroffene Personen], [Datenkategorien], [Empfänger und Auftragsverarbeiter], [Speicherort und Löschfristen].
- 2. Notwendigkeit: Rechtsgrundlage nach Art. 6 und Art. 9, Datenminimierung, Alternativen.
- 3. Risiken: unbefugter Zugriff, Weiterverwendung durch Anbieter, Training mit Eingaben, falsche Inhalte, Wiedererkennung.
- 4. Maßnahmen: AVV, Verschlüsselung, Zugriffsrechte, Freigabe durch Menschen, Schulung, Löschkonzept. Siehe Technische und organisatorische Maßnahmen.
- 5. Ergebnis: Restrisiko, Stellungnahme des Datenschutzbeauftragten, Termin für die Überprüfung.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was die DSFA nicht schützt
Eine DSFA bewertet das Risiko für erkennbare Menschen. Was danach mit Daten geschieht, die ihren Personenbezug verloren haben, liegt außerhalb ihres Blickfelds. Nach Erwägungsgrund 26 DSGVO gilt das Datenschutzrecht für anonyme Informationen nicht. Werden Befunde oder Akten wirksam anonymisiert, dürfen sie rechtmäßig gebündelt, lizenziert und verkauft werden.
Bemerkenswert ist, dass die DSK genau diesen Schritt auf ihre Muss-Liste gesetzt hat: Die Anonymisierung von Gesundheitsdaten zur Weitergabe an Dritte ist so riskant, dass sie selbst eine DSFA auslöst. Pseudonymisierte Daten bleiben ohnehin personenbezogen, und Wiedererkennung wird mit KI billiger. Prüfen Sie in der DSFA deshalb nicht nur die Sicherheit, sondern auch, ob der Anbieter Ihre Inhalte überhaupt weiterverwenden darf. Wie das abläuft, zeigt Die Datenspur, die Quellen stehen auf Legal verkäuflich.
Was das für KI-Werkzeuge bedeutet
- Vorprüfung dokumentieren: Gesundheitsdaten, Berufsgeheimnis und KI sind jeweils Kriterien. Halten Sie fest, warum Sie eine DSFA durchführen oder nicht.
- Rolle des Anbieters: Ein Auftragsverarbeiter nach Art. 28 DSGVO senkt das Risiko deutlich, ein Anbieter mit eigener Lizenz an Ihren Daten erhöht es.
- Training und Speicherung: Klären Sie, ob mit Eingaben trainiert wird und wie lange Modellanbieter Daten behalten.
- Menschliche Freigabe: Planen Sie ein, wer KI-Ergebnisse prüft, bevor sie in die Akte oder an Dritte gehen.
- Verzeichnis aktualisieren: Die Verarbeitung gehört auch in Ihr Verarbeitungsverzeichnis.
Wysor macht viele Punkte dieser Prüfung einfach zu beantworten. Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet Ihre Inhalte nur, um den Dienst für Sie zu erbringen. Wir nehmen uns keine Lizenz zur Weiterverwendung, trainieren nicht mit Ihren Inhalten und verkaufen sie nicht, weder personenbezogen noch anonymisiert. Das steht im Vertrag und bindet auch jeden, dem Wysor künftig gehören könnte. Ihre Daten sind bei der Übertragung und im Ruhezustand verschlüsselt und werden in der EU gehostet. Bei jedem angebundenen Modellanbieter gilt Zero Data Retention. Sie arbeiten in einem Arbeitsbereich mit mehreren Modellen, darunter GPT, Claude und Gemini.
Häufige Fragen
Wann ist eine Datenschutz-Folgenabschätzung Pflicht? Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat. Immer bei den drei Fällen in Art. 35 Abs. 3 DSGVO und bei den Verarbeitungen auf der Muss-Liste der Aufsichtsbehörden. Treffen zwei oder mehr Risikokriterien zu, ist sie meist nötig.
Braucht eine Arztpraxis eine DSFA für KI? Nicht automatisch. Die Verarbeitung von Patientendaten durch einen einzelnen Arzt gilt nach Erwägungsgrund 91 nicht als umfangreich. Je nach Werkzeug können aber andere Kriterien greifen, etwa neue Technik oder Bewertung von Personen. Die Vorprüfung sollte dokumentiert werden.
Was ist der Unterschied zwischen DSFA und Verarbeitungsverzeichnis? Das Verarbeitungsverzeichnis listet alle Verarbeitungen auf. Die DSFA ist eine vertiefte Risikoprüfung für einzelne Verarbeitungen mit hohem Risiko.
Wer führt die DSFA durch? Der Verantwortliche, also die Praxis, Kanzlei oder das Unternehmen. Der Datenschutzbeauftragte berät. Der KI-Anbieter liefert als Auftragsverarbeiter die nötigen Informationen.
Gibt es eine Vorlage für die DSFA? Die Mindestinhalte stehen in Art. 35 Abs. 7 DSGVO. Die Gliederung oben folgt ihnen und lässt sich an jedes Werkzeug anpassen.
Weiterlesen
- Verarbeitungsverzeichnis nach Art. 30 DSGVO. Mit Mustereintrag für einen KI-Assistenten.
- Technische und organisatorische Maßnahmen (TOM). Die Maßnahmen, die eine DSFA verlangt.
- Art. 9 DSGVO: Gesundheitsdaten einfach erklärt. Warum Gesundheitsdaten besonders geschützt sind.
- Legal verkäuflich. Die Quellen hinter dem Markt für anonymisierte Daten.
Fragen zur DSFA oder zum AVV mit Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
