Die Datenschutz-Folgenabschätzung hat einen schlechten Ruf als Formalie. Tatsächlich ist sie das einzige Verfahren, das systematisch zwingt, ein geplantes Vorhaben aus der Sicht der betroffenen Personen zu betrachten — und sie ist damit oft der Punkt, an dem ein Projekt sinnvoll umgebaut wird, statt später repariert zu werden.
Die praktische Schwierigkeit liegt weniger im Ausfüllen als in zwei Vorfragen: Ist sie überhaupt erforderlich, und wann muss sie vorliegen.
Wann eine Folgenabschätzung erforderlich ist
Die Pflicht entsteht, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die DSGVO nennt drei Regelbeispiele: die systematische und umfassende Bewertung persönlicher Aspekte auf automatisierter Grundlage, auf der Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung beruhen; die umfangreiche Verarbeitung besonderer Datenkategorien; und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Darüber hinaus führen die Aufsichtsbehörden Listen von Verarbeitungen, für die eine Folgenabschätzung stets erforderlich ist. Diese Listen unterscheiden sich zwischen den Mitgliedstaaten — wer in mehreren Ländern tätig ist, prüft sie einzeln.
Als Faustregel hat sich etabliert, bei Erfüllung von zwei der von der Aufsicht formulierten Kriterien von einem hohen Risiko auszugehen. Diese Kriterien umfassen unter anderem Bewertung und Scoring, automatisierte Entscheidungen mit erheblicher Wirkung, systematische Überwachung, besondere Datenkategorien, umfangreiche Verarbeitung, Datenabgleich, Daten schutzbedürftiger Personen sowie den Einsatz innovativer Technologien.
Das revidierte Schweizer Datenschutzgesetz kennt die Folgenabschätzung ebenfalls, mit einer eigenen Auslösung und der Besonderheit, dass eine Konsultation der Aufsicht entfallen kann, wenn eine Datenschutzberaterin oder ein Datenschutzberater konsultiert wurde.
Der Zeitpunkt entscheidet über den Nutzen
Die Folgenabschätzung ist vor Beginn der Verarbeitung durchzuführen. Das ist keine Formvorschrift, sondern der Punkt, an dem sie überhaupt etwas bewirken kann: Wenn das System fertig ist, sind die Massnahmen, die sie nahelegt, entweder teuer oder unmöglich.
In der Praxis bedeutet das, sie in der Entwurfsphase anzusetzen — nicht wenn die Architektur steht, sondern wenn über Datenmodell, Speicherorte und Automatisierungsgrad noch verhandelt wird.
Was drinstehen muss
Der Rechtsakt gibt vier Bestandteile vor. Erstens eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und ihrer Zwecke, einschliesslich des verfolgten berechtigten Interesses, soweit einschlägig.
Zweitens eine Bewertung der Notwendigkeit und Verhältnismässigkeit in Bezug auf den Zweck. Das ist der Teil, der am häufigsten zu dünn ausfällt — die ehrliche Frage lautet hier, ob der Zweck auch mit weniger Daten oder weniger Automatisierung erreichbar wäre.
Drittens eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen. Massstab ist nicht das Risiko für das Unternehmen, sondern das für die Personen. Diese Perspektivverschiebung ist der eigentliche Kern des Verfahrens.
Viertens die geplanten Abhilfemassnahmen einschliesslich Garantien, Sicherheitsvorkehrungen und Verfahren, die den Schutz sicherstellen und den Nachweis ermöglichen.
Hinzu kommt: Der Rat der Datenschutzbeauftragten ist einzuholen, sofern eine solche Person benannt ist. Und wo angemessen, ist der Standpunkt der betroffenen Personen oder ihrer Vertreter einzuholen — ein Punkt, der fast durchgängig übergangen wird.
Die vorherige Konsultation
Bleibt nach den geplanten Massnahmen ein hohes Risiko bestehen, ist die Aufsichtsbehörde vor der Verarbeitung zu konsultieren. Diese Konstellation ist selten, aber sie ist der Grund, warum eine Folgenabschätzung, die zu einem hohen Restrisiko kommt, nicht einfach abgelegt werden kann.
Praktisch führt eine gut gemachte Folgenabschätzung meist dazu, dass Massnahmen ergänzt werden, bis das Restrisiko vertretbar ist. Genau das ist ihr Zweck.
Abgrenzung zur Risikobewertung nach dem AI Act
Wo ein KI-System im Spiel ist, entsteht regelmässig Verwirrung zwischen zwei Verfahren. Die Folgenabschätzung nach der DSGVO fragt nach dem Risiko für die Rechte betroffener Personen durch die Verarbeitung personenbezogener Daten. Die Einstufung nach dem AI Act fragt nach Einsatzbereich und Zweck des Systems und knüpft daran einen Pflichtenkatalog.
Beide sind erforderlich, wenn beide Voraussetzungen vorliegen, und keines ersetzt das andere. Für bestimmte Hochrisiko-Systeme sieht der AI Act zusätzlich eine Grundrechte-Folgenabschätzung vor, die vor allem öffentliche Stellen und bestimmte private Betreiber trifft — wieder ein eigenes Verfahren mit eigenem Fokus.
Sinnvoll ist, die Verfahren organisatorisch zu verbinden und die Beschreibung des Systems nur einmal zu erstellen. Sinnlos ist, sie inhaltlich zu vermengen: Sie beantworten unterschiedliche Fragen.
Was jetzt sinnvoll ist
Erstens: Eine Vorprüfung etablieren, die bei jedem neuen Vorhaben in wenigen Minuten beantwortet, ob eine Folgenabschätzung nötig ist. Ohne diesen Filter wird sie entweder immer oder nie gemacht.
Zweitens: Die Beschreibung der Verarbeitung aus dem Verzeichnis übernehmen statt neu zu schreiben. Wenn das Verzeichnis gepflegt ist, ist der erste Bestandteil weitgehend erledigt.
Drittens: Das Ergebnis als lebendes Dokument führen. Ändert sich das Vorhaben wesentlich, ist die Bewertung zu überprüfen — ein Punkt, der in der ursprünglichen Fassung selten vorgesehen wird.
Was offen bleibt
Die Listen der Aufsichtsbehörden zu zwingend erforderlichen Folgenabschätzungen werden fortgeschrieben, und für KI-gestützte Verarbeitungen entsteht die Praxis erst. Wer eine Bewertung vornimmt, sollte die Begründung so festhalten, dass sie einer späteren Verschärfung standhält oder nachvollziehbar angepasst werden kann.