Resthohes Risiko nach DSFA: Vorabkonsultation vor Verarbeitungsbeginn

Eine Datenschutz-Folgenabschätzung kann zu einem Ergebnis führen, das den Produktivstart stoppt: Bleibt trotz geplanter Schutzmaßnahmen ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen, muss der Verantwortliche die zuständige Aufsichtsbehörde vor Beginn der Verarbeitung konsultieren. Diese Vorabkonsultation nach Art. 36 DSGVO ist ein eigener Entscheidungsschritt und nicht bloß ein weiterer Abschnitt der DSFA.

Dieser Beitrag zeigt, woran Unternehmen den Konsultationsbedarf erkennen, welche Angaben in das Paket gehören und warum eine ausbleibende Antwort der Behörde keine Freigabe ersetzt. Im Mittelpunkt steht die Situation nach der DSFA, nicht die allgemeine Frage, wie eine DSFA aufgebaut wird.

Art. 36 Abs. 1 DSGVO knüpft die Vorabkonsultation an das Ergebnis der DSFA. Der Verantwortliche muss die Aufsichtsbehörde vor Beginn der Verarbeitung konsultieren, wenn die DSFA für die Verarbeitung ein hohes Risiko zeigt, das durch die vom Verantwortlichen vorgesehenen Maßnahmen nicht ausreichend eingedämmt wird.

Entscheidend ist daher nicht, ob irgendein Risiko verbleibt. Datenschutzrechtliche Verarbeitung ist selten risikofrei. Maßgeblich ist, ob nach der objektiven Bewertung weiterhin ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht und die vorgesehenen technischen und organisatorischen Maßnahmen dieses Risiko nicht auf ein vertretbares Niveau senken.

Die Konsultation steht am Ende einer belastbaren Risikoprüfung. Sie ersetzt weder die Beschreibung der Verarbeitung noch die Auswahl von Schutzmaßnahmen. Ebenso wenig darf ein Unternehmen die Konsultation als nachträgliche Bestätigung eines bereits gestarteten Projekts behandeln.

Eine DSFA sollte erkennen lassen, welche Risiken zunächst bestehen und welche Maßnahmen sie mindern sollen. Dazu gehören etwa Zugriffsbeschränkungen, Protokollierung, Löschregeln, Verschlüsselung, menschliche Kontrolle, Tests und Verfahren zur Berichtigung fehlerhafter Ergebnisse. Die Maßnahme muss nicht nur geplant, sondern für den konkreten Einsatz auch realistisch umsetzbar sein.

Bei der Schlussentscheidung sind Ausgangsrisiko, Wirksamkeit der Maßnahmen und verbleibendes Risiko getrennt festzuhalten. Eine allgemeine Zusage des Anbieters oder ein noch nicht getestetes Konzept genügt nicht ohne Weiteres als Nachweis, dass das Risiko tatsächlich gemindert wird.

Ändern sich Zweck, Datenquellen, Empfänger, Personengruppen oder technische Abläufe, kann die frühere Bewertung ihre Grundlage verlieren. Art. 35 Abs. 11 DSGVO verlangt eine Überprüfung, wenn sich das durch die Verarbeitung dargestellte Risiko verändert. Ein Konsultationsentscheid darf deshalb nicht von einer späteren Projektänderung abgekoppelt werden.

Art. 36 Abs. 3 DSGVO nennt die Informationen, die der Verantwortliche der Aufsichtsbehörde zur Verfügung stellt. Dazu gehören die jeweiligen Zuständigkeiten des Verantwortlichen und allfälliger Auftragsverarbeiter, die Zwecke und Mittel der geplanten Verarbeitung, die zum Schutz der Rechte und Freiheiten der betroffenen Personen vorgesehenen Maßnahmen und Garantien sowie die Kontaktdaten des Datenschutzbeauftragten, sofern ein solcher vorhanden ist.

Außerdem gehört die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO in das Paket. Sie sollte nicht nur das Ergebnis nennen, sondern den konkreten Verarbeitungsvorgang, die Notwendigkeit und Verhältnismäßigkeit, die Risiken und die geplanten Abhilfemaßnahmen nachvollziehbar darstellen. Weitere Informationen, die die Aufsichtsbehörde anfordert, sind ebenfalls bereitzustellen.

Praktisch hilfreich ist eine einheitliche Dokumentenstruktur: eine kurze Projektübersicht, ein Rollen- und Verantwortlichkeitsbild, Datenflüsse und Empfänger, die DSFA, ein Maßnahmenverzeichnis und die Kontaktdaten für Rückfragen. Die Begriffe Datenschutz-Folgenabschätzung und Meldepflicht an die Aufsichtsbehörde sind im Lexikon ergänzend erklärt. So bleibt erkennbar, welche Aussage durch welches Dokument belegt wird.

Die Vorabkonsultation ist zeitlich vor die Verarbeitung gelegt. Ein Unternehmen sollte daher einen verbindlichen Haltepunkt im Projektplan vorsehen. Der Einkauf, die IT, die Fachabteilung und die Datenschutzverantwortlichen müssen wissen, dass ein technischer Rollout nicht automatisch ein rechtlich zulässiger Verarbeitungsbeginn ist.

Das gilt auch dann, wenn der Dienstleister bereits eingerichtet, ein Modell trainiert oder ein Pilot erfolgreich abgeschlossen wurde. Ein Pilot kann neue Erkenntnisse über Fehler, Auswirkungen und Betroffene liefern. Diese Erkenntnisse müssen in der DSFA und im Konsultationspaket berücksichtigt werden, bevor der produktive Umfang startet.

Für die Rollenklärung bei externen Anbietern kann der Schwerpunkt zu Auftragsverarbeitung und Dienstleistern ergänzend herangezogen werden. Die Vorabkonsultation bleibt davon getrennt: Sie betrifft den hohen Risikostand der konkreten Verarbeitung, nicht bloß die Vertragsbezeichnung.

Nach Art. 36 Abs. 2 DSGVO gibt die Aufsichtsbehörde dem Verantwortlichen und gegebenenfalls dem Auftragsverarbeiter innerhalb von bis zu acht Wochen nach Eingang des Konsultationsersuchens eine schriftliche Beratung, wenn sie der Auffassung ist, dass die geplante Verarbeitung gegen die Verordnung verstoßen würde. Bei komplexen Verarbeitungsvorgängen kann diese Frist um bis zu sechs Wochen verlängert werden. Die Behörde muss über die Verlängerung informieren.

Die Frist darf nicht als pauschale Zusage verstanden werden, dass nach ihrem Ablauf jede Verarbeitung beginnen kann. Art. 36 Abs. 2 DSGVO stellt ausdrücklich klar, dass das Ausbleiben einer Reaktion innerhalb der Frist weitere Eingriffe der Aufsichtsbehörde nicht ausschließt. Der Produktivstart braucht daher eine eigene, dokumentierte Entscheidung des Verantwortlichen auf Grundlage der tatsächlichen aufsichtsbehördlichen Rückmeldung und des Risikostands.

Stellt die Behörde eine unzureichende Risikoidentifikation oder Risikominderung fest, kann sie ihre Befugnisse nach Art. 58 DSGVO einsetzen. Rückfragen, zusätzliche Unterlagen und Änderungen an den Schutzmaßnahmen sollten deshalb in einer nachvollziehbaren Verfahrensakte festgehalten werden.

Die Projektakte sollte den Anlass der DSFA, die Version der Verarbeitung, die Risikobewertung, die Maßnahmen und die Entscheidung zur Konsultation enthalten. Nach der Einreichung gehören auch das übermittelte Paket, Rückfragen, Antworten, Fristmitteilungen und die abschließende Freigabeentscheidung in diese Akte.

Wird das Projekt verändert, braucht es eine neue Abgleichprüfung. Ein anderer Anbieter, eine neue Datenquelle oder ein größerer Nutzerkreis kann eine erneute Bewertung auslösen. Die Entscheidung sollte deshalb immer an eine konkrete Version der Verarbeitung gebunden sein und nicht nur an einen Produktnamen.

Der bestehende Beitrag zur DSFA bei neuer Software und KI erklärt die vorgelagerte Schwellenprüfung. Für die laufende Governance bietet der Schwerpunkt zu Datenschutz-Governance und Compliance den passenden Rahmen. Bei der Rollenverteilung hilft außerdem der Rollen-Check als erste Orientierung.

Wir prüfen mit Ihnen, ob die DSFA ein weiterhin hohes Risiko ausweist, ob die Maßnahmen ausreichend dokumentiert sind und welche Angaben in das Konsultationspaket gehören. Senden Sie uns die Beschreibung der Verarbeitung, die DSFA, das Maßnahmenverzeichnis, die Rollenverteilung und den geplanten Starttermin, damit der nächste Schritt verlässlich festgelegt werden kann.