Kurzantwort: Eine Datenschutz-Folgenabschätzung (DPIA) ist gemäß Artikel 35 DSGVO gesetzlich vorgeschrieben, wenn eine Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen birgt. Dies gilt für Aktivitäten wie umfangreiches Profiling, systematische Überwachung öffentlicher Bereiche und die Verarbeitung besonderer Kategorien von Daten. Wenn eine DPIA bei Bedarf nicht durchgeführt wird, kann dies Ihr Unternehmen erheblichen behördlichen Strafen und Reputationsschäden aussetzen.
Wichtigste Erkenntnisse
- Eine DPIA ist gemäß Artikel 35 DSGVO für Verarbeitungstätigkeiten obligatorisch, die „voraussichtlich ein hohes Risiko“ für die Rechte und Freiheiten von Personen bergen [3].
- Drei Verarbeitungsarten erfordern immer eine DPIA: systematische Bewertung von Personen, umfangreiche Verarbeitung sensibler Daten und systematische Überwachung öffentlich zugänglicher Bereiche [3].
- Nationale Datenschutzbehörden veröffentlichen Listen von Verarbeitungsvorgängen, die eine DPIA erfordern, und bieten damit jurisdiktionsspezifische Leitlinien [3].
- Das Auslassen einer erforderlichen DPIA kann gemäß DSGVO zu Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes führen.
- Der EDSA hat im April 2026 eine standardisierte DPIA-Vorlage angenommen, um die Konsistenz in den EU-Mitgliedstaaten zu verbessern [1].
- KI-Systeme und Modelle des maschinellen Lernens, die automatisierte Entscheidungen mit erheblichen Auswirkungen auf Personen treffen, erfordern fast immer eine DPIA [2].
- Kleine Unternehmen sind nicht automatisch ausgenommen; der Auslöser ist die Art der Verarbeitung, nicht die Größe der Organisation [5].
- Eine DPIA ist ein lebendes Dokument, das überprüft und aktualisiert werden muss, wenn sich die Verarbeitungstätigkeiten wesentlich ändern [3].
- Wenn nach der Risikominderung hohe Restrisiken bestehen bleiben, müssen Organisationen ihre Aufsichtsbehörde konsultieren, bevor sie fortfahren [3].
- Eine DPIA unterscheidet sich von einer Privacy Impact Assessment (PIA) hauptsächlich in ihrer Rechtsgrundlage und den obligatorischen Konsultationspflichten.
Was ist eine DPIA und warum benötigen Sie eine?
Eine Datenschutz-Folgenabschätzung ist ein strukturierter Prozess, der Organisationen dabei hilft, Risiken für Personen, die sich aus Datenverarbeitungstätigkeiten ergeben, zu identifizieren, zu bewerten und zu mindern. Gemäß DSGVO ist sie keine optionale Richtlinie, sondern eine gesetzliche Verpflichtung für die Verarbeitung mit hohem Risiko [3].
Der Hauptzweck einer DPIA ist die Rechenschaftspflicht. Sie zwingt Organisationen dazu, systematisch darüber nachzudenken, welche Daten sie sammeln, warum sie sie sammeln, wer Zugriff hat und was schiefgehen könnte. Die irische Datenschutzkommission beschreibt sie als ein Werkzeug, das zeigt, dass eine Organisation Datenschutzrisiken vor Beginn der Verarbeitung berücksichtigt hat, anstatt erst nach einer Verletzung [5].
Eine DPIA umfasst typischerweise:
- Eine Beschreibung der Verarbeitung und ihrer Zwecke
- Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit
- Eine Bewertung der Risiken für die betroffenen Personen
- Geplante Maßnahmen zur Bewältigung dieser Risiken
Der EDSA hat im April 2026 eine standardisierte DPIA-Vorlage angenommen, um Organisationen dabei zu helfen, diesen Prozess in der gesamten EU konsistent zu strukturieren [1].
Wann ist eine DPIA gemäß DSGVO erforderlich?
Artikel 35 DSGVO verlangt eine DPIA vor jeder Verarbeitung, die „voraussichtlich ein hohes Risiko“ für die Rechte und Freiheiten natürlicher Personen birgt [3]. Drei spezifische Szenarien lösen diese Verpflichtung immer aus:
- Systematische und umfassende Profilerstellung mit erheblichen Auswirkungen, einschließlich automatisierter Entscheidungsfindung
- Umfangreiche Verarbeitung besonderer Kategorien von Daten (Gesundheit, Biometrie, rassische Herkunft usw.) oder personenbezogener Daten über strafrechtliche Verurteilungen
- Systematische Überwachung öffentlich zugänglicher Bereiche in großem Umfang
Über diese drei hinaus veröffentlichen nationale Aufsichtsbehörden Listen von Verarbeitungsvorgängen, die in ihrer Gerichtsbarkeit eine DPIA erfordern. Organisationen, die in mehreren EU-Mitgliedstaaten tätig sind, sollten jede relevante nationale Liste überprüfen.
Entscheidungsregel: Wenn Ihre Verarbeitung zwei oder mehr der neun Risikokriterien des EDSA (neue Technologie, großer Umfang, sensible Daten, systematische Überwachung, Abgleich oder Kombination von Datensätzen, schutzbedürftige betroffene Personen, innovative Nutzung, Risiko der Dienstverweigerung oder automatisierte Entscheidungsfindung) erfüllt, ist eine DPIA mit ziemlicher Sicherheit erforderlich [4].
Was gilt als hochrisikoreiche Datenverarbeitung?
Hochrisikoreiche Verarbeitung wird durch die Art, den Umfang, den Kontext und den Zweck der Aktivität definiert, nicht nur durch das Volumen der beteiligten Daten. Der EDSA bietet Richtlinien zur Identifizierung spezifischer Merkmale, die die Verarbeitung in den Status eines hohen Risikos erheben [4].
Wichtige Indikatoren sind:
| Risikoindikator | Beispiel |
|---|---|
| Automatisierte Entscheidungsfindung | Kreditwürdigkeitsprüfung, Versicherungsrisikomodelle |
| Sensible Datenkategorien | Gesundheitsakten, biometrische Authentifizierung |
| Umfangreiche Verarbeitung | Nationale Kundenbindungsprogramm-Datenbanken |
| Überwachung öffentlicher Bereiche | Videoüberwachung mit Gesichtserkennung |
| Datenabgleich oder -kombination | Querverweise von sozialen Medien mit Kaufhistorie |
| Schutzbedürftige betroffene Personen | Kinder, Patienten, Mitarbeiter |
| Neue oder unbewährte Technologie | Generative KI, Emotionserkennungstools |
Ein einzelner Indikator schreibt nicht automatisch eine DPIA vor, aber zwei oder mehr in Kombination tun dies fast immer. Eine Verarbeitung, die sowohl sensible Daten als auch automatisierte Entscheidungsfindung beinhaltet, überschreitet beispielsweise die Schwelle ohne Frage.
Woher weiß ich, ob mein Unternehmen eine DPIA benötigt?
Die Antwort hängt davon ab, was Ihre Organisation tatsächlich mit personenbezogenen Daten macht, nicht von Ihrer Branche oder Unternehmensgröße. Jeder Verantwortliche, ob Startup, Krankenhaus oder Marketingagentur, muss eine DPIA durchführen, wenn seine Verarbeitung die Hochrisikoschwelle erreicht [5].
Ein praktischer Screening-Prozess:
- Alle aktuellen Datenverarbeitungstätigkeiten abbilden
- Die neun Risikokriterien des EDSA auf jede Aktivität anwenden
- Die veröffentlichte „Must-do“-Liste Ihrer nationalen Aufsichtsbehörde prüfen
- Für jede Aktivität, die zwei oder mehr Kriterien erfüllt, eine DPIA einleiten
- Die Screening-Entscheidung dokumentieren, auch wenn keine DPIA erforderlich ist
Häufiger Fehler: Organisationen gehen davon aus, dass sie, weil sie klein sind, ausgenommen sind. Die Größe ist irrelevant. Ein Zwei-Personen-Startup, das ein KI-basiertes Einstellungstool betreibt, das automatisierte Entscheidungen über Bewerber trifft, muss eine DPIA durchführen.
Was passiert, wenn Sie eine erforderliche DPIA nicht durchführen?
Das Versäumnis, eine erforderliche DPIA durchzuführen, ist selbst ein Verstoß gegen die DSGVO, unabhängig davon, ob den betroffenen Personen tatsächlich Schaden entsteht. Aufsichtsbehörden können für diesen spezifischen Verstoß Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen [3].
Neben finanziellen Strafen gehören zu den Konsequenzen:
- Obligatorische Aussetzung der Verarbeitungstätigkeit
- Reputationsschäden durch öffentliche Durchsetzungsentscheidungen
- Erhöhte Kontrolle und Prüfpflichten durch die Aufsichtsbehörde
- Persönliche Haftung für Datenschutzbeauftragte, die es versäumt haben, korrekt zu beraten
Wenn nach der Anwendung von Minderungsmaßnahmen hohe Restrisiken bestehen bleiben, müssen Organisationen ihre Aufsichtsbehörde konsultieren, bevor die Verarbeitung beginnt. Das Fortfahren ohne diese Konsultation ist ein zusätzlicher Verstoß [3].
DPIA vs. Privacy Impact Assessment: Was ist der Unterschied?
Eine Privacy Impact Assessment (PIA) ist ein breiterer, freiwilliger Best-Practice-Rahmen, der der DSGVO vorausgeht. Eine DPIA ist ihr gesetzlich vorgeschriebener Nachfolger im EU-Datenschutzrecht. Die beiden Begriffe werden manchmal synonym verwendet, aber sie beinhalten unterschiedliche Verpflichtungen.
| Merkmal | PIA | DPIA |
|---|---|---|
| Rechtsgrundlage | Best Practice | DSGVO Artikel 35 |
| Obligatorisch | Nein | Ja, bei hohem Risiko |
| Konsultation der Aufsichtsbehörde | Nicht erforderlich | Erforderlich, wenn das Restrisiko hoch ist |
| Standardisierte Vorlage | Variiert | EDSA-Vorlage (2026) [1] |
| Dokumentationspflicht | Empfohlen | Gesetzlich vorgeschrieben |
Organisationen, die vor Inkrafttreten der DSGVO PIAs durchgeführt haben, sollten prüfen, ob diese Bewertungen den strengeren DPIA-Standard erfüllen.
DPIA-Anforderungen für KI und maschinelles Lernen
KI-Systeme, die Entscheidungen über Personen treffen oder maßgeblich beeinflussen, erfordern fast immer eine DPIA. Automatisierte Entscheidungsfindung mit rechtlichen oder ähnlich erheblichen Auswirkungen ist einer der drei Kernauslöser gemäß Artikel 35 DSGVO [4].
Der EU AI Act, der am 2. August 2026 vollständig in Kraft trat, führt eine zusätzliche Ebene ein: die Fundamental Rights Impact Assessment (FRIA) für Hochrisiko-KI-Systeme. Organisationen werden dringend ermutigt, ihre DPIA- und FRIA-Prozesse zu integrieren, um Doppelarbeit zu vermeiden und eine umfassende Abdeckung sowohl des Datenschutzes als auch der Grundrechtsrisiken zu gewährleisten [2].
Spezifische KI-Anwendungsfälle, die eine DPIA erfordern, sind:
- Rekrutierungsalgorithmen, die Kandidaten filtern oder bewerten
- Kredit- und Versicherungsbewertungsmodelle
- Vorausschauende Polizeiarbeit oder Betrugserkennungssysteme
- Tools zur Gesundheitsdiagnose oder Behandlungsempfehlung
- Verhaltensbasierte Werbeplattformen, die abgeleitete Profile verwenden
Grenzfall: Auch KI-Systeme, die keine endgültigen Entscheidungen treffen, aber menschliche Entscheidungsträger erheblich beeinflussen, können die DPIA-Anforderung auslösen, wenn die zugrunde liegende Datenverarbeitung umfangreich ist oder sensible Kategorien umfasst.
Müssen kleine Unternehmen DPIAs durchführen?
Kleine und mittlere Unternehmen sind nicht von den DPIA-Verpflichtungen ausgenommen. Der rechtliche Auslöser ist die Art und das Risikoniveau der Verarbeitungstätigkeit, nicht die Größe oder der Umsatz der Organisation [5].
Allerdings führen viele kleine Unternehmen risikoarme Verarbeitungen durch, z. B. die Verwaltung einer Kunden-E-Mail-Liste, die keine DPIA erfordert. Die Verpflichtung entsteht nur, wenn die Verarbeitung selbst die Hochrisikoschwelle überschreitet.
Wählen Sie eine DPIA, wenn Ihr kleines Unternehmen:
- Automatisierte Profilerstellung zur Personalisierung von Inhalten oder Preisen verwendet
- Gesundheits-, Finanz- oder biometrische Daten verarbeitet
- Eine Plattform betreibt, auf der Kinder wahrscheinlich Nutzer sind
- Tracking-Technologien einsetzt, die Verhaltensprofile in großem Umfang erstellen
Eine Consent Management Platform wie Biscotti CMP kann kleinen Unternehmen helfen, Einwilligungsdatensätze zu verwalten und Rechenschaftspflicht nachzuweisen, was den breiteren Compliance-Rahmen unterstützt, in dem eine DPIA angesiedelt ist.
Was sollte ein DPIA-Bericht enthalten?
Ein vollständiger DPIA-Bericht muss gemäß Artikel 35 Absatz 7 DSGVO mehrere obligatorische Elemente enthalten [3]:
- Systematische Beschreibung der Verarbeitungsvorgänge und ihrer Zwecke, einschließlich des gegebenenfalls verfolgten berechtigten Interesses
- Bewertung der Notwendigkeit und Verhältnismäßigkeit im Verhältnis zum angegebenen Zweck
- Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
- Vorgesehene Maßnahmen zur Bewältigung der Risiken, einschließlich Schutzmaßnahmen, Sicherheitsmaßnahmen und Mechanismen zur Gewährleistung des Datenschutzes
Die standardisierte Vorlage des EDSA von 2026 strukturiert diese Elemente in einem konsistenten Format, das von den Aufsichtsbehörden in der gesamten EU anerkannt wird [1]. Die Verwendung reduziert das Risiko, dass eine DPIA bei einer Prüfung als unvollständig angesehen wird.
Zusätzliche Best-Practice-Elemente umfassen Konsultationsprotokolle mit dem Datenschutzbeauftragten, Stakeholder-Input von betroffenen Personen oder deren Vertretern, wo dies machbar ist, und eine Freigabe des Restrisikos.
Wie viel kostet eine DPIA und können Sie sie selbst durchführen?
Die Kosten einer DPIA variieren stark je nach Komplexität. Eine unkomplizierte interne Bewertung für eine gut dokumentierte Verarbeitungstätigkeit kann intern innerhalb weniger Tage abgeschlossen werden. Komplexe Bewertungen, die KI-Systeme, grenzüberschreitende Datenflüsse oder mehrere Datenverantwortliche betreffen, können Wochen dauern und externe rechtliche oder technische Expertise erfordern.
Ungefähre Kostenbereiche (Schätzungen basierend auf Marktstandards):
- Interne DPIA für geringe Komplexität der Verarbeitung: minimale Kosten, hauptsächlich Personalzeit (8-20 Stunden)
- Beratergeführte DPIA für moderate Komplexität: typischerweise 2.000-8.000 Euro
- Umfassende rechtliche und technische Überprüfung für hochkomplexe KI-Systeme: 10.000 Euro oder mehr
Organisationen mit einem bestellten Datenschutzbeauftragten sollten diesen von Anfang an einbeziehen. Die Rolle des Datenschutzbeauftragten umfasst die Beratung, ob eine DPIA erforderlich ist, und die Überprüfung der abgeschlossenen Bewertung [3]. Für Organisationen ohne interne Expertise ist die Beauftragung eines spezialisierten Beraters ratsam für jede Verarbeitung, die neue Technologie oder sensible Datenkategorien beinhaltet.
Wie oft sollten Sie eine DPIA aktualisieren oder wiederholen?
Eine DPIA ist keine einmalige Übung. Es ist ein lebendes Dokument, das überprüft werden muss, wenn sich die von ihr abgedeckte Verarbeitungstätigkeit wesentlich ändert [3].
Auslöser für eine Überprüfung oder vollständige Neubewertung sind:
- Einführung neuer Technologien oder eines neuen Anbieters in der Verarbeitungskette
- Erweiterung des Umfangs oder Volumens der gesammelten Daten
- Änderung des Verarbeitungszwecks
- Eine Datenpanne oder ein Beinahe-Vorfall, der zuvor unidentifizierte Risiken aufdeckt
- Neue Leitlinien einer Aufsichtsbehörde, die die Risikobewertung beeinflussen
- Wesentliche Änderungen im rechtlichen oder regulatorischen Umfeld
Als Basis sollten Organisationen eine regelmäßige Überprüfung aller DPIAs mindestens alle zwei bis drei Jahre planen, auch wenn keine spezifischen Änderungen vorliegen. Der EDSA behandelt DPIAs als Rechenschaftspflichtinstrumente, die die aktuelle Realität widerspiegeln müssen, nicht historische Momentaufnahmen [3].
DPIA-Entscheidungsprüfer
Häufig gestellte Fragen
Muss eine DPIA vor Beginn der Verarbeitung abgeschlossen sein? Ja. Artikel 35 DSGVO verlangt, dass die DPIA vor der Verarbeitungstätigkeit durchgeführt wird, nicht nachdem sie begonnen hat. Das Beginnen einer hochrisikoreichen Verarbeitung ohne abgeschlossene DPIA ist selbst ein Verstoß [3].
Wer ist für die Durchführung einer DPIA verantwortlich? Der Datenverantwortliche ist rechtlich verantwortlich. Wenn ein Datenschutzbeauftragter ernannt wurde, muss dieser während des Prozesses konsultiert werden. Auftragsverarbeiter können unterstützen, aber die Rechenschaftspflicht liegt beim Verantwortlichen [3].
Muss eine DPIA veröffentlicht werden? Nein. Es gibt keine gesetzliche Verpflichtung zur Veröffentlichung einer DPIA. Organisationen müssen sie jedoch auf Anfrage ihrer Aufsichtsbehörde zur Verfügung stellen, und die allgemeinen Schlussfolgerungen können den betroffenen Personen im Rahmen der Transparenzpflichten mitgeteilt werden.
Was ist eine vorherige Konsultation und wann findet sie Anwendung? Wenn eine DPIA zu dem Schluss kommt, dass nach Anwendung aller Minderungsmaßnahmen hohe Restrisiken bestehen bleiben, muss der Verantwortliche seine Aufsichtsbehörde konsultieren, bevor er fortfährt. Die Behörde hat dann bis zu acht Wochen Zeit, um zu antworten [3].
Kann eine DPIA mehrere ähnliche Verarbeitungstätigkeiten abdecken? Ja. Der EDSA bestätigt, dass eine einzelne DPIA eine Reihe ähnlicher Verarbeitungsvorgänge abdecken kann, die vergleichbare hohe Risiken darstellen. Dies ist üblich für Organisationen, die mehrere Kampagnen oder Produkte mit derselben zugrunde liegenden Datenarchitektur betreiben [4].
Gilt die DSGVO, wenn mein Unternehmen außerhalb der EU ansässig ist? Die DSGVO gilt für jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet, unabhängig davon, wo die Organisation ihren Sitz hat. Nicht-EU-Unternehmen, die EU-Nutzer ansprechen, müssen die DPIA-Verpflichtungen genauso erfüllen wie EU-basierte Unternehmen.
Ist eine DPIA für bestehende Verarbeitungstätigkeiten erforderlich? Eine DPIA ist primär für neue Verarbeitungen erforderlich. Wenn sich jedoch eine bestehende Aktivität wesentlich ändert oder wenn sie nie bewertet wurde und ein hohes Risiko birgt, ist eine retrospektive DPIA dringend ratsam und kann von einer Aufsichtsbehörde verlangt werden [3].
Welche Rolle spielt eine Consent Management Platform bei der DPIA-Compliance? Eine Consent Management Platform wie Biscotti CMP hilft Organisationen, die Einwilligung der Nutzer so zu sammeln, aufzuzeichnen und zu verwalten, dass die Rechenschaftspflichtanforderungen unterstützt werden, die der DPIA-Compliance zugrunde liegen, insbesondere für Cookie-basiertes Tracking und verhaltensbasierte Profiling-Aktivitäten.
Fazit
Zu verstehen, wann eine DPIA erforderlich ist, und einen Leitfaden für Risikobewertungen bei Daten mit hohem Risiko mit echter Sorgfalt durchzuführen, ist eines der klarsten Merkmale eines ausgereiften Datenschutzprogramms. Die Verpflichtung ist keine bürokratische Pflichterfüllung: Es ist eine strukturierte Methode zur Identifizierung von Schäden, bevor sie die betroffenen Personen erreichen.
Umsetzbare nächste Schritte für 2026:
- Alle Verarbeitungstätigkeiten abbilden und jede anhand der neun Risikokriterien des EDSA prüfen [4].
- Die im April 2026 angenommene standardisierte DPIA-Vorlage des EDSA herunterladen und verwenden [1].
- Die veröffentlichte Liste der obligatorischen DPIA-Aktivitäten Ihrer nationalen Aufsichtsbehörde prüfen.
- Für jede KI- oder maschinelle Lernanwendung Ihre DPIA mit dem FRIA-Prozess des EU AI Act integrieren [2].
- Kalendererinnerungen einrichten, um bestehende DPIAs mindestens alle zwei Jahre oder nach wesentlichen Änderungen zu überprüfen.
- Wenn nach der Risikominderung hohe Restrisiken bestehen bleiben, konsultieren Sie Ihre Aufsichtsbehörde, bevor Sie fortfahren [3].
- Stellen Sie sicher, dass Ihre Infrastruktur für das Einwilligungsmanagement, einschließlich Tools wie Biscotti CMP, die Rechenschaftspflichtnachweise unterstützt, auf die Ihr DPIA-Programm angewiesen ist.
Organisationen, die DPIAs als lebendige Rechenschaftspflichtinstrumente und nicht als einmalige Compliance-Aufgaben behandeln, werden besser positioniert sein, sich anzupassen, wenn sich die regulatorischen Erwartungen weiterentwickeln.
Referenzen
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai