Was ist eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA)?

Die DSGVO legt in Artikel 35fest, dass ein DPIA mindestens vier Dinge enthalten muss:

1. Eine klare Beschreibung der geplanten Datenverarbeitung und der Zwecke der Verarbeitung.
    

2. Eine Bewertung von Notwendigkeit und Verhältnismäßigkeit (das heißt, ist der Umfang der Datenverarbeitung im Verhältnis zu den Zielen des Unternehmens?).
    

3. Eine Analyse der Datenschutzrisiken für die beteiligten Personen (in der Verordnung als „Datensubjekte“ bezeichnet).
    

4. Dokumentierte Maßnahmen zur Reduzierung dieser Risiken.

Obwohl die DSGVO relativ neu ist, führen Unternehmen schon seit Jahrzehnten Bewertungen und Risikoanalysen verschiedenster Art durch, oft um gesetzliche Vorgaben zu erfüllen.

Seit den 1970er Jahren schreibt das US-Recht Umweltverträglichkeitsprüfungen vor; die Datenschutzgesetze der 1990er Jahre erweiterten die Idee auf den Begriff der Datenschutz-Folgenabschätzung (PIAs). Datenschutzgesetze erweitern nun die Idee, dass Unternehmen mögliche Schäden im Bereich Daten und Datenschutz vorhersehen und abmildern sollten .

Die EU nimmt die DSGVO und die damit verbundenen DPIA-Anforderungen ernst und verhängt Bußgelder gegen Unternehmen, die die DPIAs nicht umsetzen oder anderweitig nicht einhalten.

Im Jahr 2019 wurde beispielsweise einer Highschool in Nordschweden eine Geldstrafe auferlegt – es war Schwedens erste –, als sie ein Pilotprojekt zur Durchführung von Appellieren mithilfe biometrischer Gesichtserkennungstechnologie einführte. Dies geschah ohne Durchführung einer Datenschutz-Folgenabschätzung. Die Schule wurde schließlich mit einer Geldstrafe von 19.000 EUR belegt, obwohl Beobachter feststellten, dass die Höchststrafe fast 1 Million Euro hätte belaufen können.¹ (Strafen nach DSGVO betragen bis zu 20 Millionen Euro oder 4 % des jährlichen globalen Unternehmensumsatzes – je nachdem, was höher ist.)

Eine Website verfolgt DSGVO-Bußgelder. Bis April 2026 wurden über 3.000 Bußgelder verhängt. Bei vielen dieser Bußgelder wird ausdrücklich auf Artikel 35 der DSGVO (der sich mit Datenschutz-Folgenabschätzungen befasst) als Grund für die Höhe des Bußgeldes verwiesen. In einem Beispiel vom Dezember 2025 wurde ein französisches Unternehmen wegen eines Verstoßes gegen Artikel 35 mit einer Geldstrafe von 3,5 Millionen Euro belegt. Die höchste DSGVO-Geldbuße der Geschichte wurde Meta 2023 von der irischen Datenschutzkommission in Höhe von 1,2 Mrd. EUR auferlegt, obwohl sich dieser Fall auf Datenübertragungen konzentrierte, nicht auf Bewertungen. 

GDPR.eu bietet eine Anleitung zur ordnungsgemäßen Durchführung einer DPIA, komplett mit einer Vorlage. Es sollte jedoch beachtet werden, dass die Durchführung einer DPIA oft nur der Anfang eines gründlichen Risikomanagementprozesses ist. Manchmal ergeben sich Ergebnisse, wenn eine Datenschutzbehörde potenzielle Risiken und Sicherheitslücken identifiziert, aber das Fehlen echter Abhilfemaßnahmen macht die DPIA zu einer bloßen Übung. 

In den schlimmsten Fällen kann eine DPIA als Nachweis dienen, dass ein Unternehmen die Risiken kannte und sie nicht angemessen darauf reagiert hat. Bei France Travail, der nationalen Arbeitsvermittlungsagentur, wurden die in den DPIAs festgelegten Sicherheitsmaßnahmen nie umgesetzt, was zu einer schweren Data Breach führte. Im Januar 2026 verhängten die Aufsichtsbehörden gegen France Travail eine Geldstrafe in Höhe von 5 Mio. EUR.²

Gemäß der DSGVO lösen drei Situationen immer eine DPIA aus. 

Erstens: Wenn die automatisierte Entscheidungsfindung den Menschen erheblich betrifft. Ein Beispiel wäre der Algorithmus einer Bank, der eine Anwendung aufgrund von Profiling automatisch ablehnt, wobei die rechtliche Grundlage für die Entscheidung hinterfragt wird.  

Zweitens: Großflächige Verarbeitung sensibler Daten, darunter biometrische Daten, politische Meinungen und andere Arten von Daten, die intime Details aus dem Leben einer Person offenbaren. 

Drittens: Systematische Überwachung öffentlicher Bereiche in großem Umfang (wie z. B. große Kameranetze in Bahnhöfen oder Einkaufszentren). 

Über diese automatischen Auslöser hinaus legt der EU-Leitfaden neun Kriterien zur Identifizierung von Aktivitäten der Datenverarbeitung mit hohem Risiko fest, die möglicherweise DPIAs erfordern. Zu diesen Kriterien gehören die Bewertung oder Bewertung von Personen, der innovative Einsatz neuer Technologien, die Verarbeitung von Daten über gefährdete Personen (wie Kinder) sowie die Kombination von Datensätzen aus verschiedenen Quellen. 

Viele Unternehmen folgen einer grundlegenden Richtlinie: Wenn Verarbeitungsvorgänge zwei oder mehr dieser Kriterien erfüllen, wäre es ratsam, eine DPIA durchzuführen. 

Der DPIA-Prozess beginnt mit der Feststellung, ob eine vollständige Bewertung gerechtfertigt ist – in der Regel in einem frühen Stadium der Projektplanung. 

Wenn eine Bewertung erforderlich ist, zeichnen Unternehmen in der Regel ihre relevanten Datenverarbeitung detailliert auf. Diese Karten erfassen, wie personenbezogene Daten erhoben werden, von wem, die Zwecke der Verarbeitung und wie lange die Daten aufbewahrt werden. 

Anschließend folgt eine Risikoanalyse, bei der jeder potenzielle Schaden, der sich aus den Daten ergeben könnte (finanzieller Verlust, Diskriminierung, Reputationsschaden oder sogar physische Gefahr), hinsichtlich seiner Wahrscheinlichkeit und Schwere bewertet wird. 

Für jedes identifizierte Risiko dokumentiert das Unternehmen eine Minderung. Minderungsmaßnahmen können technische Schutzmaßnahmen wie Verschlüsselung oder Zugriffskontrollen sowie organisatorische Schritte wie Schulungen des Personals oder die Entscheidungen des Gesamtprojektdesigns umfassen. Die DSGVO verpflichtet Unternehmen, den Grundsatz des Datenschutzes durch Technikgestaltung anzuwenden. Anders ausgedrückt: Datenschutz sollte in alle Unternehmensprozesse integriert werden und nicht erst nachträglich hinzugefügt werden.   

Nach der Risikominderung bleibt ein sogenanntes „Restrisiko“ bestehen, also das Risiko, das auch nach angemessenen Maßnahmen fortbesteht. Bleibt das Restrisiko hoch, muss das Unternehmen seine nationale Aufsichtsbehörde informieren. 

Gemäß der DSGVO müssen einige Organisationen einen Datenschutzbeauftragten (DSB) ernennen – einen unabhängigen Unternehmensbeauftragten, der für die Einhaltung der DSGVO verantwortlich ist. Wo es DPOs gibt, steuern sie oft den DPIA-Prozess oder werden zumindest währenddessen konsultiert. 

Die von der Verarbeitung betroffenen Stakeholder bringen sich im Allgemeinen, soweit möglich, zu Wort. Einige Aufsichtsbehörden verfügen über Tools, die helfen, den DPIA-Prozess zu optimieren. Im Fall des britischen Information Commissioner's Office (ICO) gibt es beispielsweise eine kostenlose und herunterladbare DPIA-Vorlage, die in sieben Schritten strukturiert ist. (Obwohl das Vereinigte Königreich kein EU-Mitgliedstaat mehr ist, verfügt es über eine Gesetzgebung, die der EU-Datenschutz-Grundverordnung (DSGVO) sehr ähnlich ist und als UK GDPR bezeichnet wird.) Das französische Pendant (CNIL, für „Commission nationale de l'informatique et des libertés“) hat Open-Source-Software veröffentlicht. Die spanische Behörde hat auf ihrer Website unterschiedliche Vorlagen für öffentliche Behörden und private Unternehmen sowie einen ausführlichen Leitfaden zum Risikomanagement veröffentlicht. 

Im Großen und Ganzen unterstreichen solche Tools und Leitfäden, dass ein effektives DPIA-Verfahren früh beginnt und die Privatsphäre und die Datenschutzrisiken von Einzelpersonen von Anfang an Adresse.