Datenschutz-Folgenabschätzung nach Art. 35 DSGVO
22. August 2026 · 7 Min. Lesezeit · BetroffenenRecht24 RedaktionDie Pflicht zur Datenschutz-Folgenabschätzung ergibt sich aus Art. 35 Abs. 1 DSGVO und nicht aus dem Katalog des Absatzes 3. Dieser nennt drei Fälle, in denen sie insbesondere erforderlich ist; „keiner der drei Fälle“ ist deshalb kein Ergebnis, sondern eine Zwischenstation.
Die Datenschutz-Folgenabschätzung hat den Ruf eines Großprojekts, das man möglichst vermeidet. Deshalb wird meistens die falsche Frage gestellt: „Fällt unsere Verarbeitung unter einen der drei Fälle?“ Wer sie mit Nein beantwortet, hält sich für befreit und ist es oft nicht. Denn Absatz 3 des Artikels 35 ist eine Liste von Regelbeispielen, keine abschließende Aufzählung, und die eigentliche Pflicht steht in Absatz 1. Dieser Beitrag zeigt, wie die Prüfung wirklich läuft, was in die Abschätzung gehört und welche Quelle im Produkt bewusst fehlt.
Der Auslöser steht in Absatz 1, nicht in Absatz 3
Nach Art. 35 Abs. 1 DSGVO ist eine Datenschutz-Folgenabschätzung vorab durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Das ist der Maßstab. Er ist offen formuliert und verlangt eine eigene Einschätzung. Absatz 3 hilft dabei, indem er drei Fälle nennt, in denen eine DSFA insbesondere erforderlich ist.
| Buchstabe | Fall |
|---|---|
| a) | systematische und umfassende Bewertung persönlicher Aspekte, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und ihrerseits Grundlage für Entscheidungen ist |
| b) | umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 Abs. 1 oder von Daten über strafrechtliche Verurteilungen und Straftaten |
| c) | systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche |
Ein Ergebnis „keiner der drei Fälle trifft zu“ ist keine Entwarnung. Es sagt nur, dass der Katalog der Regelbeispiele nicht greift.
Absatz 1 gilt daneben unverändert weiter und ist eigenständig zu prüfen. Wer den Katalog als Checkliste behandelt und danach abhakt, hat die Prüfung nicht durchgeführt, sondern übersprungen.
Die Listen der Aufsichtsbehörden kommen dazu
Art. 35 Abs. 4 DSGVO verpflichtet die Aufsichtsbehörden, eine Liste der Verarbeitungsvorgänge zu erstellen und zu veröffentlichen, für die eine DSFA durchzuführen ist. In Deutschland sind das die sogenannten Muss-Listen der Länder.
Diese Listen sind in BetroffenenRecht24 nicht hinterlegt, und das gehört ausdrücklich dazugesagt. Sie unterscheiden sich zwischen den Ländern, sie werden fortgeschrieben, und eine im Produkt eingefrorene Fassung wäre für einen Teil der Nutzer falsch. Wer die Prüfung nach Absatz 1 und Absatz 3 durchlaufen hat, muss die Liste seiner zuständigen Aufsichtsbehörde also zusätzlich ansehen.
- Verarbeitung beschreiben Zweck, Datenkategorien, betroffene Personen, Empfänger, Technik. Ohne diese Beschreibung lässt sich nichts bewerten.
- Regelbeispiele prüfen Trifft einer der drei Fälle des Absatzes 3 zu? Wenn ja, ist die DSFA erforderlich und die Prüfung endet hier.
- Absatz 1 eigenständig prüfen Ergibt sich aus Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko? Diese Frage bleibt auch nach einem Nein in Schritt 2 offen.
- Liste der Aufsichtsbehörde ansehen Die Muss-Liste des zuständigen Landes nach Art. 35 Abs. 4 DSGVO. Sie steht nicht im Produkt und muss gesondert geprüft werden.
Was in die Abschätzung hineingehört
Art. 35 Abs. 7 DSGVO nennt vier Mindestinhalte. Sie sind knapp, und jede der vier Positionen beantwortet eine andere Frage.
- a) Systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung.
- b) Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck.
- c) Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen.
- d) Die geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren.
Buchstabe b ist der, der in vielen Dokumenten fehlt oder zu einem Satz zusammenschrumpft. Er verlangt die unbequeme Frage, ob die Verarbeitung in dieser Form überhaupt nötig ist und ob ein milderes Mittel denselben Zweck erreicht. Eine DSFA, die diese Frage nicht stellt, beschreibt nur, statt zu bewerten.
- für jede Verarbeitung
- sieben Angaben, zwei davon nur „wenn möglich“
- beschreibt den Bestand
- der Aufsichtsbehörde auf Anfrage vorzulegen
- nur bei voraussichtlich hohem Risiko
- vier Mindestinhalte nach Abs. 7
- bewertet Notwendigkeit und Risiken
- vorab durchzuführen
Beide Dokumente hängen zusammen: Das Verzeichnis liefert die Beschreibung, auf der die Abschätzung aufsetzt. Wie schlank ein Verzeichnis sein darf und welche zwei Angaben nur Sollangaben sind, steht in Das Verarbeitungsverzeichnis schlank halten.
Wie oft wird überprüft
Art. 35 Abs. 11 DSGVO verlangt eine Überprüfung „erforderlichenfalls“, zumindest aber, wenn sich das mit den Verarbeitungsvorgängen verbundene Risiko ändert. Eine feste Frist nennt der Artikel nicht.
Das ist ein Punkt, an dem Produkte und Beratungsangebote gern nachschärfen und einen Jahresturnus zur Pflicht erklären. Ein Turnus ist eine sinnvolle Empfehlung und eine praktikable Arbeitsweise. Eine gesetzliche Vorgabe ist er nicht, und er wird auch nicht dadurch zu einer, dass ihn viele empfehlen.
- Das Risiko hat sich geändert. Neue Datenkategorien, neue Empfänger, neue Technik oder ein Vorfall. Absatz 11 nennt genau diesen Fall ausdrücklich.
- Die Verarbeitung ist gewachsen. Mehr betroffene Personen oder ein erweiterter Zweck. Die Abschätzung beschreibt dann nicht mehr das, was tatsächlich läuft.
- Unverändert seit der letzten Prüfung. Keine Pflicht zur Wiederholung aus Art. 35 Abs. 11 DSGVO. Ein selbst gesetzter Turnus bleibt eine Empfehlung.
Eine Verbindung, die häufig übersehen wird: Wer ein Hochrisiko-KI-System einsetzt, soll nach Art. 26 Abs. 9 der KI-Verordnung die vom Anbieter bereitgestellten Informationen für die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nutzen. Zwei Rechtsakte, ein Dokument.
Was BetroffenenRecht24 dabei leistet
Das Produkt führt die Verarbeitungen, hält je Verarbeitung fest, ob eine DSFA erforderlich ist, und dokumentiert die vier Mindestinhalte des Absatzes 7 mit Stand und Bearbeiter. Es erstellt keinen Rechtstext und trifft die Risikobewertung nicht für Sie.
Diese Grenze ist keine Bescheidenheit, sondern die Konsequenz aus Absatz 1: Ob eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, hängt an Umständen, die nur Ihr Haus kennt. Eine Software, die daraus ein Ampelergebnis macht, würde die Verantwortung verschieben, die nach der Verordnung beim Verantwortlichen bleibt.
Und die Muss-Listen der Aufsichtsbehörden fehlen bewusst. Ein Produkt, das sie einfriert, erweckt den Eindruck der Vollständigkeit an genau der Stelle, an der die Rechtslage nach Land verschieden ist. Der ehrlichere Weg ist der Hinweis, dass dieser Schritt außerhalb der Software stattfindet.
Wo eine Fristenrechnung dagegen belastbar ist, rechnet das Produkt sie aus: bei der Antwortfrist auf Betroffenenanfragen und bei der Meldefrist nach einer Datenpanne. Wie die 72 Stunden dort laufen, steht in Die 72-Stunden-Frist bei einer Datenpanne.
Häufige Fragen
Wann ist eine Datenschutz-Folgenabschätzung Pflicht?
Wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund von Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Die drei Fälle des Absatzes 3 sind Regelbeispiele, in denen sie insbesondere erforderlich ist.
Sind die drei Fälle in Absatz 3 abschließend?
Nein. Das Wort „insbesondere“ macht sie zu Regelbeispielen. Ein Ergebnis „keiner der drei Fälle“ ist deshalb keine Entwarnung: Absatz 1 gilt daneben weiter und ist eigenständig zu prüfen. Zusätzlich kommen die Listen der Aufsichtsbehörden nach Absatz 4 hinzu.
Was muss in einer DSFA stehen?
Vier Inhalte nach Art. 35 Abs. 7 DSGVO: eine systematische Beschreibung der Verarbeitungsvorgänge und Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen und die geplanten Abhilfemaßnahmen einschließlich Garantien und Verfahren.
Muss die DSFA jährlich wiederholt werden?
Eine Jahresfrist nennt Art. 35 DSGVO nicht. Absatz 11 verlangt eine Überprüfung erforderlichenfalls, zumindest aber bei einer Änderung des mit der Verarbeitung verbundenen Risikos. Ein fester Turnus ist eine Empfehlung und keine gesetzliche Vorgabe.
Ist das Verarbeitungsverzeichnis dasselbe wie eine DSFA?
Nein. Das Verzeichnis nach Art. 30 DSGVO beschreibt den Bestand aller Verarbeitungen mit sieben Angaben. Die Folgenabschätzung nach Art. 35 DSGVO bewertet vorab eine einzelne Verarbeitung mit voraussichtlich hohem Risiko. Das Verzeichnis liefert die Beschreibung, auf der die Abschätzung aufsetzt.
Das Wichtigste in Kürze
Die Pflicht zur Datenschutz-Folgenabschätzung ergibt sich aus Art. 35 Abs. 1 DSGVO und nicht aus dem Katalog des Absatzes 3. Dieser nennt drei Fälle, in denen sie insbesondere erforderlich ist; „keiner der drei Fälle“ ist deshalb kein Ergebnis, sondern eine Zwischenstation.
Vier Inhalte sind nach Absatz 7 Pflicht, darunter die Bewertung von Notwendigkeit und Verhältnismäßigkeit. Überprüft wird nach Absatz 11 erforderlichenfalls und jedenfalls bei geändertem Risiko, nicht nach einer gesetzlichen Jahresfrist. Und die Muss-Listen der Aufsichtsbehörden nach Absatz 4 sind zusätzlich zu prüfen.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.