{ "slug": "dsgvo-dpia-art-35", "titre": "DSGVO Art. 35 (VO 2016/679) – Datenschutz-Folgenabschätzung (DPIA): Pflichtfälle, Inhalt, vorherige Konsultation", "domaine": "datenschutz", "statut_juridique": "in_force", "niveau_autorite": "A", "description": "Die Datenschutz-Folgenabschätzung (DSFA, engl. Data Protection Impact Assessment – DPIA) nach Art. 35 der Verordnung (EU) 2016/679 (DSGVO) ist eine vorab…", "resume_court": "Die **Datenschutz-Folgenabschätzung** (DSFA, engl. *Data Protection Impact Assessment* – **DPIA**) nach **Art. 35 der Verordnung (EU) 2016/679 (DSGVO)** ist eine **vorab** durchzuführende Risikoprüfung. Sie ist immer dann Pflicht, wenn eine Form der Verarbeitung – insbesondere bei Einsatz **neuer Technologien** – aufgrund der Art, des Umfangs, der Umstände und der Zwecke **voraussichtlich ein hohes Risiko** für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1).\n\nArt. 35 Abs. 3 nennt **drei Pflichtfälle**, in denen eine DSFA stets erforderlich ist: (a) **systematische und umfassende Bewertung** persönlicher Aspekte durch automatisierte Verarbeitung einschließlich **Profiling** mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung, (b) **umfangreiche Verarbeitung besonderer Datenkategorien** (Art. 9) oder von Daten über strafrechtliche Verurteilungen (Art. 10) und (c) **systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche** (z. B. Videoüberwachung). Ergänzend veröffentlichen die Aufsichtsbehörden **Muss-Listen** (Art. 35 Abs. 4) – in Deutschland die Liste der **Datenschutzkonferenz (DSK)**.\n\nErgibt die DSFA ein **hohes Restrisiko**, das der Verantwortliche nicht durch Maßnahmen eindämmen kann, ist **vor** der Verarbeitung die **Aufsichtsbehörde zu konsultieren** (Art. 36 „vorherige Konsultation\u0022). Verstöße gegen Art. 35 und 36 können mit **Geldbußen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes** geahndet werden (Art. 83 Abs. 4 lit. a).", "faits": [ { "point": "Rechtsakt", "valeur": "Verordnung (EU) 2016/679 (DSGVO), Artikel 35 [eur-lex.europa.eu, CELEX:32016R0679]", "autorite": "A" }, { "point": "Rechtsnatur", "valeur": "EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)", "autorite": "A" }, { "point": "Geltung seit", "valeur": "25. Mai 2018 [Art. 99 Abs. 2 DSGVO]", "autorite": "A" }, { "point": "Auslöser (Generalklausel)", "valeur": "Verarbeitung mit voraussichtlich hohem Risiko, v. a. bei neuen Technologien [Art. 35 Abs. 1]", "autorite": "A" }, { "point": "Pflichtfall a", "valeur": "systematische, umfassende Bewertung + automatisierte Verarbeitung/Profiling mit Rechtswirkung/erheblicher Beeinträchtigung [Art. 35 Abs. 3 lit. a]", "autorite": "A" }, { "point": "Pflichtfall b", "valeur": "umfangreiche Verarbeitung besonderer Kategorien (Art. 9) oder Straftatdaten (Art. 10) [Art. 35 Abs. 3 lit. b]", "autorite": "A" }, { "point": "Pflichtfall c", "valeur": "systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche [Art. 35 Abs. 3 lit. c]", "autorite": "A" }, { "point": "Muss-Liste (DE)", "valeur": "DSK-Liste nach Art. 35 Abs. 4 (nicht-öffentlicher Bereich) – z. B. Scoring, Videoüberwachung mit Verhaltensanalyse, Beschäftigten-Screening", "autorite": "A" }, { "point": "EDPB-Kriterien", "valeur": "9 Kriterien (Leitlinie WP 248 rev.01); Faustregel: ≥ 2 Kriterien erfüllt → DSFA regelmäßig erforderlich", "autorite": "A" }, { "point": "Mindestinhalt", "valeur": "(a) Beschreibung, (b) Bewertung Notwendigkeit/Verhältnismäßigkeit, (c) Risiken, (d) Abhilfemaßnahmen [Art. 35 Abs. 7]", "autorite": "A" }, { "point": "DSB einzubinden", "valeur": "Rat des Datenschutzbeauftragten ist einzuholen [Art. 35 Abs. 2]", "autorite": "A" }, { "point": "Betroffene anhören", "valeur": "Standpunkt Betroffener „gegebenenfalls\u0022 einholen [Art. 35 Abs. 9]", "autorite": "A" }, { "point": "Vorherige Konsultation", "valeur": "bei hohem Restrisiko ohne Eindämmung → Aufsichtsbehörde vor Verarbeitung konsultieren [Art. 36 Abs. 1]", "autorite": "A" }, { "point": "Frist Aufsichtsbehörde", "valeur": "bis zu 8 Wochen schriftliche Empfehlung, + 6 Wochen Verlängerung möglich [Art. 36 Abs. 2]", "autorite": "A" }, { "point": "Überprüfung", "valeur": "DSFA bei Risikoänderung erneut durchführen [Art. 35 Abs. 11]", "autorite": "A" }, { "point": "Sanktionen", "valeur": "bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Wert) [Art. 83 Abs. 4 lit. a]", "autorite": "A" }, { "point": "Nachweispflicht", "valeur": "Rechenschaftspflicht: DSFA dokumentieren und vorhalten [Art. 5 Abs. 2, Art. 24]", "autorite": "A" }, { "point": "Erfasster Personenkreis", "valeur": "alle Verantwortlichen, die Hochrisiko-Verarbeitungen durchführen (Marktortprinzip, Art. 3)", "autorite": "A" } ], "sources": [ { "titre": "Verordnung (EU) 2016/679 (DSGVO), Volltext (deutsch)", "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679", "autorite": "A" }, { "titre": "Art. 35 DSGVO – Datenschutz-Folgenabschätzung (dejure.org)", "url": "https://dejure.org/gesetze/DSGVO/35.html", "autorite": "A" }, { "titre": "Art. 36 DSGVO – Vorherige Konsultation (dejure.org)", "url": "https://dejure.org/gesetze/DSGVO/36.html", "autorite": "A" }, { "titre": "EDPB – Leitlinien zur Datenschutz-Folgenabschätzung (WP 248 rev.01)", "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/data-protection-impact-assessments-high-risk-processing_en", "autorite": "A" }, { "titre": "DSK – Muss-Liste (Kurzpapier), z. B. BayLDA", "url": "https://www.lda.bayern.de/media/dsfa_muss_liste_dsk_de.pdf", "autorite": "A" }, { "titre": "BfDI – Datenschutz-Folgenabschätzungen und Listen von Verarbeitungsvorgängen", "url": "https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Technik/Datenschutz-Folgenabschaetzungen.html", "autorite": "A" } ], "faq": [ { "question": "Was regelt DSGVO Art. 35 (VO 2016/679) – Datenschutz-Folgenabschätzung (DPIA): Pflichtfälle, Inhalt, vorherige Konsultation?", "reponse": "Die Datenschutz-Folgenabschätzung (DSFA, engl. *Data Protection Impact Assessment* – DPIA) nach Art. 35 der Verordnung (EU) 2016/679 (DSGVO) ist eine vorab durchzuführende Risikoprüfung. Sie ist immer dann Pflicht, wenn eine Form der Verarbeitung – insbesondere bei Einsatz neuer Technologien – aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten…" }, { "question": "Für wen gilt DSGVO Art. 35 (VO 2016/679)?", "reponse": "Art. 35 richtet sich an den Verantwortlichen (Art. 4 Nr. 7) – also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Die Pflicht besteht vor Beginn der Verarbeitung und unabhängig von der Rechtsgrundlage nach Art. 6. Bei gemeinsam Verantwortlichen (Art. 26) ist die Zuständigkeit für die DSFA in der Vereinbarung zu regeln. Der Auftragsverarbeiter (Art." }, { "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 35 (VO 2016/679)?", "reponse": "„Eine DSFA ist immer nötig.\u0022 Nein – nur bei voraussichtlich hohem Risiko. Bei geringem Risiko genügt die Dokumentation im Verzeichnis der Verarbeitungstätigkeiten (Art. 30). „Steht die Verarbeitung nicht auf der DSK-Liste, brauche ich keine DSFA.\u0022 Falsch – die Liste ist nicht abschließend; ergibt die Schwellwertanalyse ein hohes Risiko, ist eine DSFA trotzdem Pflicht." } ], "wikidata": [ "Q1172506", "Q1172074" ], "valid_from": "2018-05-25", "valid_to": null, "derniere_revision": "2026-10-13", "derniere_verification": "2026-10-13", "statut_factcheck": "ok", "url": "https://nexvyra.de/fakten/dsgvo-dpia-art-35" }