Was eine Datenschutz-Folgenabschätzung ist und wozu sie dient
Die Datenschutz-Folgenabschätzung ist das zentrale Instrument der DSGVO, um Risiken einer Datenverarbeitung vor ihrem Start systematisch zu bewerten und zu mindern (DSK Kurzpapier Nr. 5). Sie ist kein einmaliges Formular, sondern ein dokumentierter Prozess: Der Verantwortliche beschreibt die geplante Verarbeitung, prüft ihre Notwendigkeit, bewertet die Risiken für die betroffenen Personen und legt Abhilfemaßnahmen fest. Das Ziel ist nicht Bürokratie um ihrer selbst willen, sondern nachweisbarer Datenschutz — die DSFA ist gelebte Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Im Web-Kontext betrifft das vor allem Analyse-, Tracking- und Personalisierungstechnik. Viele Websitebetreiber setzen Tools ein, die erfassen, welche Links geklickt werden, wie lange Nutzer bleiben, wie häufig sie wiederkehren und wie sie navigieren — und reichern diese Daten zu Profilen einzelner Nutzer an (LfD Niedersachsen). Sobald aus reiner Reichweitenmessung eine individuelle Profilbildung wird, verschiebt sich die rechtliche Bewertung erheblich. Die Aufsichtsbehörden sehen genau diesen Übergang kritisch.
Dass Datenschutz im Web kein Randthema mehr ist, zeigen die Zahlen: Seit 2018 wurden DSGVO-Bußgelder von über 7,1 Milliarden Euro verhängt, davon allein 1,2 Milliarden Euro im Jahr 2025 (CMS GDPR Enforcement Tracker). Bis Anfang 2026 dokumentiert der Tracker 2.245 verhängte Bußgelder (CMS GDPR Enforcement Tracker). Eine fehlende oder fehlerhafte DSFA fällt dabei in die untere Bußgeldstufe — was sie aber nicht harmlos macht, denn sie ist oft das erste, was Behörden bei einer Prüfung verlangen. Wer die DSGVO-Anforderungen für Websites 2026 im Blick hat, behandelt die DSFA als festen Bestandteil, nicht als Kür.
Verwechseln Sie die DSFA nicht mit dem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Das Verzeichnis listet alle Verarbeitungen auf — die DSFA ist eine vertiefte Risikoanalyse für genau die Verarbeitungen mit voraussichtlich hohem Risiko. Das Verzeichnis ist die Inventarliste, die DSFA das Gutachten für die kritischen Posten darauf.
Die drei Fälle mit ausdrücklicher DSFA-Pflicht
Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele, bei denen eine DSFA „insbesondere" verpflichtend ist. Diese Liste ist nicht abschließend, aber sie markiert die klaren Fälle. Im Tracking-Kontext ist vor allem das erste Beispiel relevant, weil systematisches Profiling häufig genau dort beginnt, wo Werbung und Personalisierung ins Spiel kommen.
Umfangreiche Bewertung persönlicher Aspekte auf automatisierter Grundlage, die als Basis für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung dient (Art. 35 Abs. 3 lit. a). Verhaltens- und Werbeprofile fallen typischerweise hierunter.
Umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 — Gesundheit, Religion, politische Meinung, Sexualleben — oder von Daten über Straftaten (Art. 35 Abs. 3 lit. b). Heikel etwa bei Gesundheitsportalen.
Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 3 lit. c). Klassisch die Videoüberwachung, im Web übertragbar auf großflächiges, dauerhaftes Verhaltens-Monitoring.
Der Knackpunkt liegt im Wort „umfangreich". Eine kleine Reichweitenmessung der eigenen Blog-Artikel ist etwas anderes als ein netzwerkweites Tracking über viele Domains hinweg. Regulatorische Orientierungswerte für „large scale" schlagen Schwellen vor: rund 5.000 Personen bei sensiblen Daten, 10.000 Personen bei Standort-, Kommunikations- oder Profilingdaten und 50.000 Personen bei sonstigen Verarbeitungen (Legiscope). Diese Zahlen sind keine harten Grenzwerte, geben aber eine belastbare Hausnummer, ab wann ein Tracking nicht mehr als „klein" durchgeht.
Die neun EDPB-Kriterien und die Zwei-Kriterien-Regel
Über die drei Regelbeispiele hinaus hat der Europäische Datenschutzausschuss in WP248 neun Kriterien definiert, die das hohe Risiko indizieren. Die Faustregel: Treffen zwei oder mehr Kriterien zu, ist eine DSFA in der Regel durchzuführen — in besonderen Fällen kann bereits ein einziges Kriterium genügen (EDPB WP248). Für Web-Tracking ist diese Schwelle schnell erreicht, weil mehrere Kriterien gleichzeitig greifen.
| EDPB-Kriterium (WP248) | Tracking-Bezug | Beim Web-Tracking relevant? |
|---|---|---|
| Evaluation oder Scoring | Verhaltens- oder Marketingprofil eines Nutzers | Ja, sobald Profile gebildet werden |
| Automatisierte Entscheidung | Ausspielung mit Rechts- oder erheblicher Wirkung | Möglich, z. B. dynamische Preise |
| Systematische Beobachtung | Dauerhaftes Monitoring des Nutzerverhaltens | Ja, bei flächigem Tracking |
| Sensible oder höchstpersönliche Daten | Gesundheits-, Religions- oder Finanzkontext | Je nach Branche (z. B. Gesundheit) |
| Verarbeitung in großem Umfang | Hohe Nutzerzahl, viele Datenpunkte | Ja, bei reichweitenstarken Seiten |
| Zusammenführen von Datensätzen | Verknüpfung über Geräte oder Domains | Ja, bei Cross-Site-Tracking |
| Schutzbedürftige Betroffene | Kinder, Beschäftigte, Patienten | Je nach Zielgruppe |
| Innovative Technologien | Fingerprinting, neue Tracking-Verfahren | Ja, bei Device-Fingerprinting |
| Verhinderung von Rechten | Ausschluss von Diensten oder Verträgen | Selten, aber denkbar |
Rechnen Sie für ein typisches Cross-Site-Werbetracking nach: Evaluation und Scoring (1), systematische Beobachtung (2), Zusammenführen von Datensätzen über Domains (3), oft noch Verarbeitung in großem Umfang (4). Damit liegen Sie weit über der Zwei-Kriterien-Schwelle — die DSFA-Pflicht ist hier kein Grenzfall, sondern die Regel. Das ist auch der Grund, warum die Aufsichtsbehörden Profilbildung zu Werbezwecken besonders kritisch sehen (LfD Niedersachsen).
Selbst wenn Sie nach Prüfung zum Ergebnis kommen, dass keine DSFA nötig ist, sollten Sie diese Einschätzung schriftlich festhalten. Diese sogenannte Schwellwertanalyse zeigt der Behörde im Prüfungsfall, dass Sie die Frage bewusst und begründet beantwortet haben — sie ist Teil Ihrer Rechenschaftspflicht. Eine undokumentierte Bauchentscheidung ist im Streitfall wertlos.
Die Muss-Listen der Aufsichtsbehörden
Nach Art. 35 Abs. 4 DSGVO veröffentlicht jede Aufsichtsbehörde eine Liste von Verarbeitungsvorgängen, für die stets eine DSFA durchzuführen ist — die sogenannte Muss-Liste oder Blacklist (LfD Niedersachsen). Für nicht-öffentliche Stellen hat die Datenschutzkonferenz eine gemeinsame Liste abgestimmt, auf die sich auch der Landesbeauftragte für den Datenschutz Niedersachsen bezieht (LfD Niedersachsen). Wer in Niedersachsen oder bundesweit eine Website betreibt, sollte diese Liste kennen.
Die Listen nennen konkrete tracking-nahe Beispiele. Ausdrücklich aufgeführt sind etwa Verarbeitungen „zur Profilbildung und Kundenbindung mithilfe von Preisen, Rabatten und Boni" (LfD Niedersachsen). Auch das Erfassen und Auswerten der Internetnutzung mit dem Ziel der Profilbildung einzelner Nutzer wird in den begleitenden Orientierungshilfen als kritischer Anwendungsfall behandelt (LfD Niedersachsen). Wenn Ihre Verarbeitung einem Eintrag entspricht, ist die DSFA verpflichtend — ohne weitere Einzelfallprüfung.
Wichtig: Steht Ihre Verarbeitung nicht auf der Muss-Liste, bedeutet das nicht, dass keine DSFA nötig ist (LfD Niedersachsen). Die Liste enthält nur die eindeutigen Pflichtfälle. Für alles andere greifen weiterhin die allgemeine Risikoschwelle aus Art. 35 Abs. 1 und die neun EDPB-Kriterien. Die Muss-Liste verkürzt die Prüfung in klaren Fällen — sie ersetzt sie nicht.
Neben der Muss-Liste betreiben manche Behörden eine ergänzende Orientierungshilfe für Anbieter von Telemedien, die die Position der Datenschutzkonferenz vertieft (LfD Niedersachsen). Diese Dokumente sind für Websitebetreiber besonders wertvoll, weil sie die abstrakten Kriterien auf konkrete Web-Technik herunterbrechen — von Reichweitenmessung über Conversion-Tracking bis zur seitenübergreifenden Profilbildung. Wer hier sauber arbeitet, vermeidet die häufigsten Abmahn- und Bußgeldrisiken und stärkt zugleich seine DSGVO-konforme Website-Analyse.
Die DSFA in vier Schritten durchführen
Art. 35 Abs. 7 DSGVO schreibt den Mindestinhalt einer DSFA vor. Daraus ergeben sich vier Pflichtbestandteile, die jede DSFA enthalten muss (DSK Kurzpapier Nr. 5). Der Prozess ist iterativ: Sie durchlaufen die Schritte, dokumentieren das Ergebnis und wiederholen die Bewertung, sobald sich die Verarbeitung ändert.
- Beschreibung der Verarbeitung: Dokumentieren Sie systematisch, was verarbeitet wird — welche Tracker und Dienste laden, welche Datenkategorien erhoben werden, zu welchem Zweck, auf welcher Rechtsgrundlage und für wie lange. Ohne vollständige Bestandsaufnahme bleibt jede weitere Bewertung Stückwerk.
- Notwendigkeit und Verhältnismäßigkeit: Prüfen Sie, ob die Verarbeitung für den Zweck wirklich erforderlich ist und ob ein milderes Mittel ausreichen würde. Hier entscheidet sich oft, ob ein invasives Tracking durch eine datensparsame Alternative ersetzt werden kann.
- Bewertung der Risiken: Beurteilen Sie die Risiken für die Rechte und Freiheiten der betroffenen Personen — typischerweise über eine Risiko-Matrix aus Eintrittswahrscheinlichkeit und Schwere der möglichen Folgen. Aus dieser Kombination ergibt sich die Risikohöhe.
- Abhilfemaßnahmen festlegen: Definieren Sie technische und organisatorische Maßnahmen, die das Risiko senken — Pseudonymisierung, Datensparsamkeit, kurze Speicherfristen, Zugriffskontrollen, cookielose Verfahren. Erst wenn das Restrisiko vertretbar ist, darf die Verarbeitung starten.
Verbleibt trotz aller Maßnahmen ein hohes Risiko, schreibt Art. 36 DSGVO eine vorherige Konsultation der Aufsichtsbehörde vor. In der Praxis ist das selten — meist lässt sich das Risiko durch die richtige Technikwahl so weit senken, dass es vertretbar wird. Genau an diesem Hebel setzt die Entscheidung für ein datensparsames Tracking an: Sie reduziert nicht nur das Risiko in der Matrix, sondern oft schon die Zahl der zutreffenden Kriterien.
verarbeitung:
zweck: "Reichweitenmessung der eigenen Website"
rechtsgrundlage: "Art. 6 Abs. 1 lit. f / ggf. Einwilligung"
datenkategorien: ["gekürzte IP", "Seitenaufrufe", "Verweildauer"]
speicherdauer: "aggregiert, keine Einzelprofile"
notwendigkeit:
erforderlich: true
milderes_mittel_geprüft: "cookieless statt Cross-Site-Tracking"
risiko_matrix:
eintrittswahrscheinlichkeit: "gering" # gering | mittel | hoch
schwere_der_folgen: "gering" # gering | mittel | schwer
ergebnis: "geringes Risiko"
abhilfemaßnahmen:
- "keine Cookies, keine Wiedererkennung über Sessiongrenzen"
- "Datensparsamkeit, Aggregation statt Einzelprofile"
- "kurze Speicherfristen, Zugriffskontrolle"Wie cookieloses Tracking das Risiko und den Aufwand senkt
Der wirksamste Hebel, um die DSFA-Pflicht zu entschärfen, ist die Wahl der Technik. Klassisches Cross-Site-Tracking mit Cookies erfüllt schnell mehrere EDPB-Kriterien zugleich: Es bildet Profile, beobachtet systematisch und führt Datensätze zusammen. Cookieloses Tracking ohne Wiedererkennung über Sessiongrenzen hinweg vermeidet genau diese Eskalation — es bildet keine geräteübergreifenden Einzelprofile und reduziert damit sowohl die Zahl der zutreffenden Kriterien als auch die Schwere der Risiken in der Matrix.
Das ist mehr als ein juristischer Trick: Wer weniger personenbezogene Daten erhebt, muss weniger absichern, weniger dokumentieren und kann oft sogar die Einwilligungspflicht reduzieren. Eine DSGVO-konforme Analytics-Lösung ohne Cookies liefert belastbare Reichweitenzahlen, ohne in die Hochrisiko-Kategorie zu fallen. Der Unterschied ist erheblich: Aus einer aufwendigen, konsultationspflichtigen Verarbeitung wird eine, die häufig ganz ohne DSFA auskommt — weil sie die Schwelle gar nicht erst überschreitet.
| Aspekt | Cookie-Tracking (Cross-Site) | Cookieloses Tracking |
|---|---|---|
| Einzelprofile | geräteübergreifend möglich | keine dauerhaften Einzelprofile |
| EDPB-Kriterien erfüllt | oft drei bis vier | deutlich weniger |
| Risiko in der Matrix | tendenziell hoch | tendenziell gering |
| DSFA-Wahrscheinlichkeit | in der Regel Pflicht | häufig entbehrlich |
| Consent-Bedarf | regelmäßig erforderlich | je nach Ausgestaltung reduziert |
Auch verwandte Verfahren profitieren von dieser Logik. Wer Session-Recording datenschutzkonform mit First-Party-Infrastruktur betreibt, maskiert Eingaben und vermeidet die Übertragung an Dritte — und senkt damit das Risiko, das sonst in die DSFA einfließen würde. Datensparsamkeit ist die beste Vorbereitung auf jede Datenschutzprüfung.
Bußgelder und reale Durchsetzung
Eine fehlende DSFA ist nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bewehrt — je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Das ist die untere von zwei Bußgeldstufen, doch die Behörden setzen sie zunehmend durch. In Frankreich verhängte die Aufsichtsbehörde CNIL 2025 insgesamt 83 Sanktionen über rund 486,8 Millionen Euro, wobei Cookie-Verstöße und Werbe-Tracker den Großteil dieser Summe ausmachten (CNIL).
Die prominentesten Fälle betrafen genau das Tracking-Umfeld: 2025 verhängte die CNIL 325 Millionen Euro gegen einen Großkonzern wegen Werbecookies ohne wirksame Einwilligung und 150 Millionen Euro gegen einen Online-Händler, der Werbecookies bereits beim Seitenaufruf setzte — noch bevor Nutzer zustimmen oder ablehnen konnten (CNIL/EDPB). Diese Verfahren zeigen das Muster: Wer Tracking ohne saubere rechtliche Grundlage und ohne dokumentierte Risikoanalyse betreibt, wird zum Ziel.
Bei der Bußgeldbemessung wirkt eine dokumentierte, sorgfältige DSFA als mildernder Faktor — sie belegt, dass das Unternehmen die Risiken erkannt und adressiert hat. Umgekehrt startet ein Verantwortlicher ohne DSFA, ohne Verarbeitungsverzeichnis und ohne dokumentierte Rechtsgrundlage bei der Mitwirkungsbewertung praktisch bei null. Die DSFA ist damit nicht nur Pflicht, sondern Absicherung.
Für deutsche KMU ist der Aufwand spürbar, aber beherrschbar. Laut Bitkom bewerten 97 % der Unternehmen den Datenschutzaufwand als hoch, davon 44 % als sehr hoch (Bitkom 2025). Gleichzeitig sagen 81 %, die DSGVO mache ihre Geschäftsprozesse komplizierter (Bitkom 2025). Diese Belastung lässt sich genau dort senken, wo man sie an der Wurzel packt: durch datensparsame Technik, die Verarbeitungen gar nicht erst in die Hochrisiko-Zone treibt. Wer DSGVO-Bußgelder vermeiden will, beginnt bei der Risikoreduktion, nicht beim Krisenmanagement.
Die DSFA als laufenden Prozess verankern
Eine DSFA ist kein Dokument, das man einmal schreibt und ablegt. Art. 35 Abs. 11 DSGVO verlangt eine Überprüfung, wenn sich das Risiko der Verarbeitung ändert. Bei Websites passiert das ständig: Ein neues Plugin lädt einen zusätzlichen Tracker, ein Marketing-Tool wird eingebunden, ein Dienstleister wechselt seine Subprozessoren. Jede dieser Änderungen kann die Risikobewertung verschieben — und damit die DSFA-Grundlage entwerten.
Genau hier verbinden sich Datenschutz und Monitoring. Ohne kontinuierliche Überwachung merken Sie erst Monate später, dass Ihre Website plötzlich Tracker lädt, die in der ursprünglichen DSFA nicht auftauchten. Das ist nicht nur ein Compliance-Problem, sondern auch ein Sicherheitsthema: Unbekannte eingebundene Skripte können Daten unbemerkt abfließen lassen. Wer parallel die Integrität eingebundener Skripte per Subresource Integrity überwacht, erkennt veränderte Drittanbieter-Ressourcen, bevor sie zum Datenschutz- oder Sicherheitsrisiko werden.
Der praktische Ansatz: Behandeln Sie die DSFA wie Backups oder Server-Logs — als festen Bestandteil der Betriebsroutine. Eine automatisierte Bestandsaufnahme der geladenen Tracker, Cookies und Dienste liefert die belastbare Datengrundlage, auf der die Beschreibung der Verarbeitung aufsetzt. Der XICTRAQ DSGVO-Compliance-Scan erfasst genau das und meldet Veränderungen — so bleibt die DSFA aktuell, statt nach dem nächsten Website-Update still zu veralten. Damit Abweichungen nicht untergehen, sollte jede relevante Änderung eine Benachrichtigung über alle eingerichteten Kanäle auslösen. Routinearbeiten wie geplante Updates lassen sich dabei über Wartungsfenster ausblenden, um Fehlalarme zu vermeiden.
Dieser Artikel basiert auf Daten von: Art. 35 DSGVO (Datenschutz-Folgenabschätzung, Abs. 1, 3, 4, 7, 11), Art. 36 DSGVO (vorherige Konsultation), Art. 83 Abs. 4 DSGVO (Bußgeldrahmen), EDPB WP248 rev.01 (neun Kriterien, Zwei-Kriterien-Regel), DSK Kurzpapier Nr. 5 (DSFA-Bestandteile, Definition), Landesbeauftragter für den Datenschutz Niedersachsen (Muss-Listen, Web-Tracking, Profilbildung), CMS GDPR Enforcement Tracker 2025/2026 (Bußgeldsummen, Fallzahlen), CNIL (Sanktionen 2025, Cookie-Bußgelder), EDPB (CNIL-Verfahren), Bitkom 2025 (Datenschutzaufwand, Umsetzungsstand), Legiscope (Large-Scale-Schwellenwerte).