Auf den Punkt: Die Datenschutz-Folgenabschätzung ist bei hohem Risiko für personenbezogene Daten gesetzlich verpflichtend, wird von Unternehmen aber häufig zu oberflächlich durchgeführt oder ganz ausgelassen.
Viele Unternehmen empfinden die Datenschutzdokumentation als reine Kostenlast – besonders die Datenschutz-Folgenabschätzung (DSFA) gilt als aufwendig und schwer umzusetzen. Dabei ist sie in bestimmten Fällen keine Option, sondern gesetzliche Pflicht.
Regelmäßige Umfragen des Digitalverbands Bitkom bestätigen, dass Unternehmen die Datenschutzdokumentation überwiegend als lästige Pflicht und erheblichen Kostenfaktor wahrnehmen. Besonders die Durchführung und Dokumentation der Datenschutz-Folgenabschätzung (DSFA, im Englischen DPIA) gilt dabei als problematisch: Sie kostet Zeit und stellt viele Verantwortliche vor praktische Schwierigkeiten bei der Umsetzung.
Die DSFA leidet unter einem Problem, das viele Risikobewertungsverfahren teilen: Die Identifikation und Einschätzung von Risiken erscheint so komplex, dass Unternehmen die Analyse entweder nur oberflächlich durchführen oder ganz auslassen. Im Datenschutzrecht ist eine solche Vorgehensweise jedoch riskant, denn die DSFA ist in bestimmten Konstellationen zwingend vorgeschrieben und keine freiwillige Zusatzmaßnahme.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit stellt klar: Eine DSFA ist immer dann erforderlich, wenn eine Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Folgenabschätzung muss dabei die betroffenen Verarbeitungstätigkeiten beschreiben, deren Notwendigkeit und Verhältnismäßigkeit bewerten sowie geeignete Maßnahmen zur Minderung der identifizierten Risiken festlegen.
Für die praktische Umsetzung greifen viele Verantwortliche auf Vorlagen zurück, die von den Datenschutzaufsichtsbehörden bereitgestellt werden. Solche Muster helfen, die erforderlichen Bewertungsschritte strukturiert und nachvollziehbar zu dokumentieren, ersetzen jedoch nicht die inhaltliche Auseinandersetzung mit den konkreten Risiken der jeweiligen Verarbeitungstätigkeit im Unternehmen.
Quelle: www.computerweekly.com · Erschienen 6. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.