DPIA-Pflicht im Jahr 2026: Wann und wie?
Die Datenschutz-Folgenabschätzung (DPIA) ist eine wichtige rechtliche Verpflichtung der DSGVO. Erfahren Sie, wann sie obligatorisch ist und wie sie umgesetzt wird.
Die DPIA-Folgenabschätzung: ein unverzichtbares Instrument zur DSGVO-Konformität
Die Datenschutz-Folgenabschätzung, gemeinhin als DPIA (Data Protection Impact Assessment) bezeichnet, stellt eine der wichtigsten Neuerungen der Datenschutz-Grundverordnung (DSGVO) dar. Dieses präventive Bewertungsverfahren ermöglicht es Unternehmen, Risiken im Zusammenhang mit der Verarbeitung personenbezogener Daten vor deren Umsetzung zu identifizieren und zu minimieren.
Obwohl in bestimmten Fällen fakultativ, wird die DPIA in spezifischen, durch Artikel 35 der DSGVO definierten Situationen obligatorisch. Diese rechtliche Verpflichtung gilt für jeden Verantwortlichen, sei es ein privates Unternehmen, eine öffentliche Verwaltung oder ein Verein. Die Nichtbeachtung dieser Anforderung setzt Organisationen administrativen Sanktionen aus, die bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen können, wie die CNIL mit einem Rekord von 486 Mio. € im Jahr 2026 in Erinnerung gerufen hat.
Die zunehmende Komplexität der Datenverarbeitungen, insbesondere mit dem Aufkommen von künstlicher Intelligenz und neuen Technologien, macht die Beherrschung der DPIA für Unternehmen im Jahr 2026 besonders strategisch.
Die Kriterien für die Verpflichtung zur Durchführung einer DPIA-Folgenabschätzung
Die drei Fälle der gesetzlichen Verpflichtung gemäß Artikel 35 der DSGVO
Die DSGVO legt drei Situationen fest, in denen die Durchführung einer DPIA zwingend ist:
1. Die systematische und umfassende Bewertung Wenn die Verarbeitung eine systematische und umfassende Bewertung persönlicher Aspekte von natürlichen Personen beinhaltet, die auf einem automatisierten Profiling basiert. Diese Verpflichtung betrifft insbesondere Scoring-Systeme, Empfehlungsalgorithmen oder automatisierte Entscheidungsfindungstools. Für Organisationen, die KI-Systeme implementieren, fällt diese Anforderung in den breiteren Rahmen der KI-Gesetz-Konformität im Jahr 2026.
2. Die umfangreiche Verarbeitung sensibler Daten Die umfangreiche Verarbeitung besonderer Kategorien von Daten (Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen) oder von Daten über strafrechtliche Verurteilungen erfordert systematisch eine DPIA.
3. Die systematische Überwachung eines öffentlich zugänglichen Bereichs Jede Verarbeitung, die eine systematische und umfangreiche Überwachung eines öffentlich zugänglichen Bereichs beinhaltet, wie intelligente Videoüberwachung oder Gesichtserkennungssysteme, erfordert eine Folgenabschätzung.
Haben Sie eine rechtliche Frage zu diesem Thema? Maître Pierre-Louis Roquet, Rechtsanwalt für Wirtschaftsrecht in Lyon, begleitet Sie reaktiv und kompetent. Kontaktieren Sie die Kanzlei für eine Beratung.
Die nationalen Listen der DPIA-pflichtigen Verarbeitungen
Jede nationale Datenschutzbehörde kann ergänzende Listen von Verarbeitungen erstellen, die der DPIA-Pflicht unterliegen. In Frankreich hat die CNIL eine detaillierte Liste veröffentlicht, die insbesondere Folgendes umfasst:
- Die Verarbeitung biometrischer Daten zu eindeutigen Identifikationszwecken
- Die Verarbeitung genetischer Daten
- Die Verarbeitung von Geolokalisierungsdaten zur Überwachung von Personen
- Die Verarbeitung von Daten, die schutzbedürftige Personen betreffen (Minderjährige, ältere Menschen, Patienten)
- Algorithmen für maschinelles Lernen oder künstliche Intelligenz, insbesondere im Kontext der Klassifizierung von Hochrisiko-KI-Systemen
Der Begriff „großen Umfangs“: praktische Auslegung
Der Begriff „großen Umfangs“ ist in der DSGVO nicht zahlenmäßig definiert. Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) präzisieren mehrere Beurteilungskriterien:
- Die Anzahl der betroffenen Personen (absolut oder in Prozent der Bevölkerung)
- Das Volumen der verarbeiteten Daten
- Die Dauer oder Beständigkeit der Verarbeitungstätigkeit
- Der geografische Umfang der Verarbeitung
Eine Verarbeitung, die mehr als 10.000 Personen betrifft, wird im Allgemeinen als „großen Umfangs“ angesehen, diese Beurteilung muss jedoch den spezifischen Kontext berücksichtigen.
Besonders betroffene Wirtschaftszweige
Der Gesundheits- und Versicherungssektor
Gesundheitseinrichtungen, Krankenversicherungen und Krankenkassen müssen systematisch eine DPIA für jede Verarbeitung medizinischer Daten durchführen. Die besondere Sensibilität dieser Daten und die Anzahl der betroffenen Personen rechtfertigen diese verschärfte Anforderung.
Der Finanz- und Bankensektor
Finanzinstitute verarbeiten sensible Daten (Kredithistorie, Vermögensinformationen) in großem Umfang. Jedes Kredit-Scoring-System, Risikobewertungssystem oder Verhaltensanalysesystem erfordert eine vorherige DPIA.
Der öffentliche Sektor und die Gebietskörperschaften
Öffentliche Verwaltungen, Stadtverwaltungen, Präfekturen und zentrale Dienste verarbeiten Daten in großem Umfang. Die DPIA wird für die Mehrheit ihrer Verarbeitungen obligatorisch, insbesondere für solche, die eine Überwachung oder Profiling von Bürgern beinhalten.
Der Bereich des digitalen Marketings und E-Commerce
Unternehmen des digitalen Marketings, E-Commerce-Plattformen und Werbetreibende, die verhaltensbasiertes Targeting nutzen, müssen eine DPIA durchführen, sobald sie Profiling- oder Empfehlungsalgorithmen in großem Umfang einsetzen.
Das Verfahren zur Durchführung einer DPIA
Die vorbereitenden Schritte: Bedarfsanalyse
Bevor mit der vollständigen Durchführung einer DPIA begonnen wird, müssen Unternehmen prüfen, ob ihre Verarbeitung tatsächlich dieser Verpflichtung unterliegt. Diese vorläufige Phase ist entscheidend und muss dokumentiert werden. Es gibt verschiedene Tools, insbesondere die von den nationalen Datenschutzbehörden angebotenen Fragebögen zur Schnellbewertung.
Die technische Durchführung der Folgenabschätzung
Wenn die DPIA obligatorisch ist, umfasst ihre Durchführung im Allgemeinen:
1. Die Beschreibung der Verarbeitung
- Der Zweck der Verarbeitung
- Die Kategorien der verarbeiteten Daten
- Die Kategorien der Empfänger
- Die Speicherdauer
- Die geplanten Sicherheitsmaßnahmen
2. Die Risikobewertung
- Identifizierung der Risiken für die Rechte und Freiheiten der betroffenen Personen
- Bewertung der Wahrscheinlichkeit und Schwere jedes Risikos
- Berücksichtigung des technologischen und organisatorischen Kontexts
3. Die Identifizierung von Minderungsmaßnahmen
- Technische Maßnahmen (Verschlüsselung, Pseudonymisierung, Anonymisierung)
- Organisatorische Maßnahmen (Beschränkung des Datenzugriffs, Schulung des Personals)
- Governance-Maßnahmen (Verarbeitungsverzeichnis, Dokumentation durch Konsultation des vollständigen Leitfadens zum DSGVO-Verarbeitungsverzeichnis)
Die vorherige Konsultation der CNIL
Wenn die Risikobewertung ergibt, dass die Verarbeitung selbst nach Anwendung von Minderungsmaßnahmen hohe Risiken für die Rechte und Freiheiten darstellt, muss der Verantwortliche die Datenschutzbehörde (in Frankreich die CNIL) vor der Durchführung der Verarbeitung konsultieren.
Diese vorherige Konsultation ist keine Genehmigung, sondern ein Prüfverfahren durch die zuständige Behörde, die Empfehlungen abgeben oder Änderungen an der Verarbeitung verlangen kann.
Fristen und Zeitplan für die Konformität im Jahr 2026
Die Beschleunigung der CNIL-Kontrollen
Seit 2023 hat die CNIL ihre Kontrollen zur Einhaltung der DPIA verstärkt. Die Anzahl der Prüfungen dieser Anforderung ist jährlich um 40 % gestiegen. Diese Bewegung ist Teil einer umfassenderen Strategie der Kontrolle und Sanktionen der CNIL im Jahr 2026.
Die Überschneidungen mit der NIS2-Richtlinie und dem AI Act
Der Konformitätszeitplan 2026 kombiniert mehrere konvergierende Verpflichtungen:
- Die schrittweise Anwendung des AI Act für Hochrisiko-Systeme
- Das Inkrafttreten der NIS2-Richtlinie und ihrer Cybersicherheitspflichten
- Die Anforderungen an die Algorithmenprüfung für KI-Systeme
Diese drei Vorschriften erfordern alle eine DPIA oder eine gleichwertige Folgenabschätzung, wodurch mögliche Synergien bei ihrer Umsetzung entstehen.
Empfehlungen für Unternehmen
Vor dem 31. März 2026:
- Durchführung eines internen Audits der bestehenden Verarbeitungen
- Identifizierung aller Verarbeitungen, die der DPIA-Pflicht unterliegen
- Aktualisierung des DSGVO-Verarbeitungsverzeichnisses
- Beginn der Durchführung der vorrangigen DPIA
Vor dem 30. Juni 2026:
- Abschluss aller obligatorischen DPIA
- Dokumentation der Konsultationen mit der CNIL bei Bedarf
- Umsetzung der identifizierten Minderungsmaßnahmen
- Schulung der Teams in Bezug auf die aus den DPIA resultierenden Pflichten
Vor dem 31. Dezember 2026:
- Durchführung der abschließenden Anpassungen
- Vorbereitung der Dokumentation für die Kontrollen der CNIL
- Implementierung eines dauerhaften Prozesses zur Überwachung der DPIA
Häufige Fehler, die vermieden werden sollten
Die Verwechslung von DPIA und IT-Risikostudien
Eine DPIA ist kein einfaches IT-Audit. Es handelt sich um eine Bewertung, die sich spezifisch auf die Auswirkungen der Verarbeitung auf die Rechte und Freiheiten der betroffenen Personen konzentriert und nicht auf die allgemeine IT-Sicherheit des Systems. Obwohl sie voneinander abhängig sind, müssen diese beiden Analysen parallel durchgeführt werden, können sich aber nicht gegenseitig ersetzen.
Die fehlende Konsultation bei hohem Risiko
Viele Unternehmen führen eine DPIA korrekt durch, vergessen aber, die CNIL zu konsultieren, wenn hohe Risiken bestehen bleiben. Dieses Versäumnis stellt einen Verstoß gegen Artikel 36 der DSGVO dar und kann zu erheblichen Strafen führen.
Der Mangel an dokumentarischer Nachvollziehbarkeit
Die DPIA muss vollständig und detailliert dokumentiert werden. Ein einfacher, teilweise ausgefüllter Fragebogen erfüllt die gesetzlichen Anforderungen nicht. Die Dokumentation muss es einem Dritten (CNIL-Inspektor) ermöglichen, die angewandte Argumentation zu verstehen.
Das Fehlen regelmäßiger Aktualisierungen
Eine DPIA ist kein statisches Dokument. Sie muss bei Änderungen der Verarbeitung, technologischen Entwicklungen oder nach Vorfällen mit personenbezogenen Daten überarbeitet werden.
Verwandte Artikel
Ein Fall zu diesem Thema? Meine Tätigkeitsschwerpunkte — Kanzlei kontaktieren