Datenschutz-Folgenabschätzung

Die Datenschutz-Folgenabschätzung, häufig als DSFA abgekürzt, ist ein in Art. 35 DSGVO geregeltes Verfahren. Es ist durchzuführen, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Die DSFA beschreibt die geplante Verarbeitung, prüft ihre Erforderlichkeit und Verhältnismäßigkeit, bewertet die Risiken und hält fest, mit welchen Maßnahmen diese Risiken verringert werden. Sie ist eine Vorabprüfung, kein Nachweis im Nachhinein.

Für Handwerks- und Baubetriebe wird sie nicht bei jedem KI-Werkzeug fällig. Ein Sprachmodell, mit dem Angebotstexte ohne Personenbezug entworfen werden, löst sie in der Regel nicht aus. Anders sieht es bei Systemen aus, die Beschäftigtendaten umfangreich auswerten, etwa eine Kombination aus mobiler Zeiterfassung, Fahrzeugortung und automatischer Leistungsauswertung, oder bei einer Videoüberwachung des Baustellenzugangs mit automatischer Bilderkennung.

Was das im Betrieb bedeutet

Der erste Schritt ist eine Einschätzung, keine vollständige Prüfung. Sinnvolle Leitfragen: Werden Beschäftigte oder Kunden systematisch bewertet? Werden Daten aus mehreren Quellen zusammengeführt, die getrennt harmlos wären? Werden besondere Datenkategorien verarbeitet? Findet Beobachtung öffentlich zugänglicher Bereiche statt? Bei mehrfachem Ja lohnt sich die formelle DSFA, im Zweifel gemeinsam mit dem Datenschutzbeauftragten. Die Aufsichtsbehörden veröffentlichen zudem Listen von Verarbeitungen, für die sie eine DSFA verlangen.

Der Aufwand hält sich in Grenzen, wenn die Grundlagen stehen. Vieles lässt sich aus dem Verzeichnis von Verarbeitungstätigkeiten übernehmen, ergänzt um die Risikobewertung und die getroffenen Maßnahmen. Typische Maßnahmen im Baukontext sind Zugriffsbeschränkungen auf die Bauleitung, Auswertung nur auf Baustellenebene statt je Person, kurze Speicherfristen und das ausdrückliche Verbot der individuellen Leistungs- und Verhaltenskontrolle.

Ein Ergebnis der Prüfung kann auch sein, dass eine Verarbeitung so nicht stattfindet. Wenn sich ein hohes Risiko mit vertretbarem Aufwand nicht senken lässt, ist der Verzicht auf die Funktion die einfachere Antwort, etwa auf eine automatische Gesichtserkennung am Baustellentor. Sinnvoll ist außerdem, Betriebsrat und betroffene Beschäftigte früh einzubeziehen. Wer die Bedenken der Kolonne kennt, bevor das System läuft, kommt schneller zu einer Lösung, die im Alltag akzeptiert wird.

Die DSFA ist kein einmaliges Dokument. Wenn sich das System ändert, etwa durch neue Auswertungsfunktionen im Update der Handwerkersoftware, gehört sie überprüft. Praktisch bewährt sich, das Ergebnis auf wenigen Seiten zu halten und in derselben Ablage zu führen wie Verträge und Systemliste, damit bei Rückfragen alles an einer Stelle liegt.