DSFA (Datenschutz-Folgenabschätzung)

Was die Prüfung erwartet

Sachgebiet 2 prüft die DSFA im Datenschutzrecht des Rahmenplans: Er führt die Datenschutz-Folgenabschätzung mit vorheriger Konsultation der Aufsichtsbehörde als eigenen Prüfungsinhalt. Typische Prüfungsszenarien:

• Wann verlangt das Gesetz zwingend eine Datenschutz-Folgenabschätzung?
• Löst eine großflächige Kameraanlage in einem Einkaufszentrum eine DSFA-Pflicht aus?
• Wann muss die Aufsichtsbehörde vorab einbezogen werden?

So funktioniert es

Art. 35 DS-GVO verpflichtet den Verantwortlichen — bei einem Bewachungsunternehmen meist dein Unternehmen selbst, nicht dich persönlich als Angestellter — vor einer Verarbeitung mit voraussichtlich hohem Risiko für die Rechte und Freiheiten der Betroffenen eine Datenschutz-Folgenabschätzung durchzuführen. Ausdrücklich nennt die Verordnung unter anderem zwei Fälle: die systematische und umfassende automatisierte Bewertung persönlicher Aspekte einschließlich Profiling, wenn sie als Grundlage rechtswirksamer Entscheidungen dient, und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche, wie sie bei großflächiger Videoüberwachung durch ein Bewachungsunternehmen vorliegen kann. Ist ein Datenschutzbeauftragter benannt, holt der Verantwortliche bei der Durchführung dessen Rat ein.

Ergibt die Abschätzung, dass trotz vorgesehener Abhilfemaßnahmen ein hohes Restrisiko bleibt, muss der Verantwortliche die zuständige Aufsichtsbehörde vor Beginn der Verarbeitung konsultieren; reichen die Abhilfemaßnahmen aus, entfällt diese Pflicht.

Beispiel aus dem Dienst

Dein Bewachungsunternehmen soll für ein Einkaufszentrum an allen Eingängen und in der gesamten Verkaufsfläche Kameras installieren, die den kompletten Publikumsverkehr erfassen. Weil das eine systematische, umfangreiche Überwachung eines öffentlich zugänglichen Bereichs bedeutet, muss der Verantwortliche vor dem Start eine Datenschutz-Folgenabschätzung durchführen: Er beschreibt die geplante Verarbeitung, bewertet die Risiken für die Kundinnen und Kunden und legt Maßnahmen zur Risikominderung fest. Ohne diese Abschätzung darf die Anlage nicht in Betrieb gehen.

Nicht zu verwechseln mit …

Das Bußgeld ist die Sanktion, die eine Aufsichtsbehörde nach einem bereits begangenen Datenschutzverstoß verhängt. Die Datenschutz-Folgenabschätzung setzt davor an: Sie soll ein hohes Risiko für Betroffene erst gar nicht entstehen lassen.

Typischer Fehler in der Prüfung

Manche denken, jede einzelne Kamera löse automatisch eine DSFA aus — entscheidend ist die systematische, umfangreiche Überwachung, nicht die Anzahl der Kameras. Ebenso verbreitet ist die Annahme, die Aufsichtsbehörde sei nach jeder DSFA vorab einzubeziehen: Das gilt nur bei einem hohen Restrisiko, das sich nicht abmildern lässt — und trifft jeden Verantwortlichen, nicht nur Behörden.

Quellen

• Art. 35 und 36 DS-GVO – Datenschutz-Folgenabschätzung und vorherige Konsultation · abgerufen 2026-09-04
• DIHK-Rahmenplan Bewachungsgewerbe · abgerufen 2026-09-04