Was ist eine Datenschutz-Folgenabschätzung (DPIA)?

Die DPIA beschreibt Verarbeitung, Zweck und berechtigtes Interesse, beurteilt Notwendigkeit und Verhältnismäßigkeit und analysiert Risiken sowie vorgesehene Abhilfemaßnahmen. Sie soll vor der risikoreichen Verarbeitung beginnen und wird aktualisiert, wenn sich Technik, Umfang, Daten, Empfänger oder Risikolage wesentlich ändern. Sie ist keine allgemeine Freigabe und ersetzt weder Rechtsgrundlage noch Betroffeneninformation.

Die schnelle Definition

Eine Datenschutz-Folgenabschätzung, englisch Data Protection Impact Assessment oder DPIA, ist ein dokumentierter Prozess zur Bewertung einer geplanten Verarbeitung personenbezogener Daten. Sie ist nach Artikel 35 DSGVO erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Warum ist Data Protection Impact Assessment wichtig?

Die Folgenabschätzung macht Auswirkungen auf Menschen sichtbar, bevor Entscheidungen schwer umkehrbar werden. Verantwortliche können dadurch Daten minimieren, Zugriff und Aufbewahrung begrenzen, Alternativen vergleichen und Restrisiken nachvollziehbar entscheiden. Bleibt trotz Maßnahmen ein hohes Risiko bestehen, kann eine vorherige Konsultation der Aufsichtsbehörde erforderlich sein.

So wird Data Protection Impact Assessment in der Praxis eingesetzt

1. Schwelle prüfen: Art, Umfang, Umstände und Zweck der Verarbeitung sowie Listen und Kriterien der zuständigen Aufsicht dokumentieren.
2. Informationsfluss erfassen: Datenarten, betroffene Personen, Quellen, Systeme, Empfänger, Speicherorte und Fristen vollständig abbilden.
3. Risiken bewerten: mögliche Schäden, Eintrittswahrscheinlichkeit, Schwere und vorhandene Kontrollen aus Sicht der Betroffenen analysieren.
4. Maßnahmen und Review festlegen: Restrisiko, Verantwortliche, Freigaben, Wirksamkeitstests und konkrete Auslöser für eine Neubewertung festhalten.

Praxisbeispiel

Ein Unternehmen plant eine KI-gestützte Priorisierung eingehender Bewerbungen. Vor dem Einsatz erfasst es Datenquellen, Modellzweck, Zugriffe und Speicherfristen, prüft weniger eingriffsintensive Alternativen und bewertet Fehlentscheidungen, Diskriminierung und unbefugte Offenlegung. Technische und organisatorische Maßnahmen werden getestet; das dokumentierte Restrisiko entscheidet über Anpassung, Konsultation oder Verzicht.

Häufige Fehler

• Die DPIA wird erst nach dem Produktstart als Formular ausgefüllt und kann Architektur oder Datenerhebung nicht mehr wirksam beeinflussen.
• Nur IT-Sicherheitsrisiken für das Unternehmen werden betrachtet, nicht Folgen wie Ausschluss, Kontrollverlust oder Diskriminierung für Menschen.
• Eine einmalige Freigabe gilt unbegrenzt, obwohl neue Datenquellen, Zwecke, Modelle oder Empfänger das Risiko wesentlich verändern.

Bedeutung für Google, Bing und KI-Suchsysteme

Eine DPIA ist kein Rankingfaktor. Sie kann für SEO-, Analyse- und Personalisierungssysteme relevant werden, wenn umfangreiche Profile, sensible Daten oder neue Technologien ein hohes Risiko erzeugen. Reichweiten- oder Conversionziele senken die datenschutzrechtliche Schwelle nicht; Datensparsamkeit und weniger eingriffsintensive Messungen sind echte Gestaltungsoptionen.

Verwandte Begriffe

• Data Subject
• Data Deletion Policy
• Defense in Depth
• Dark Pattern Consent
• Differential Privacy
• CSP Report Only

Zusammenfassung: Die Datenschutz-Folgenabschätzung bewertet vorab eine voraussichtlich risikoreiche Verarbeitung. Sie dokumentiert Zweck, Notwendigkeit, Datenflüsse, Folgen für Betroffene, Schutzmaßnahmen und Restrisiko und muss bei wesentlichen Änderungen erneut geprüft werden.