16. Juli 2026 · Morten Babakhani
Die Datenschutz-Folgenabschätzung hat in HR-Projekten einen schlechten Ruf: viel Papier, späte Erkenntnisse, verschobene Termine. Das liegt selten an der Anforderung und meistens am Zeitpunkt.
Wann sie erforderlich ist
Eine DSFA ist durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte betroffener Personen birgt. Im HR-Umfeld treffen typischerweise mehrere Merkmale zusammen, die dieses Risiko begründen.
Bewertung oder Einstufung von Personen. Systematische Überwachung. Verarbeitung besonderer Kategorien — Gesundheitsdaten in der Zeitwirtschaft, Schwerbehinderteneigenschaft, Gewerkschaftszugehörigkeit über Beitragsabzüge. Verarbeitung in großem Umfang. Und die Verarbeitung von Daten schutzbedürftiger Personen — dazu zählen Beschäftigte, weil ihre Einwilligung im Abhängigkeitsverhältnis wenig wert ist.
Dazu kommen die Listen der Aufsichtsbehörden, in denen bestimmte Verarbeitungen ausdrücklich genannt sind. Ein Blick dorthin ersetzt eine lange Diskussion.
Was das praktisch bedeutet
Ein Bewerbermanagement mit Bewertungsfunktion: DSFA. Eine Zeitwirtschaft mit Anwesenheitsauswertung: sehr wahrscheinlich. Eine digitale Personalakte im Konzern: in der Regel ja, allein wegen Umfang und Datenarten. Ein Schulungskatalog ohne Bewertung: in der Regel nicht.
Der übliche Fehler ist die Betrachtung je System statt je Verarbeitung. Ein System kann mehrere Verarbeitungen enthalten, von denen nur eine kritisch ist — und genau die lässt sich oft anders gestalten.
Ein Ablauf, der drei Wochen dauert statt zwei Monate
Woche eins: Verarbeitungen benennen. Nicht das System beschreiben, sondern die Verarbeitungen: Zweck, Datenarten, Betroffene, Empfänger, Speicherdauer. Diese Beschreibung brauchen Sie ohnehin für das Verzeichnis.
Woche zwei: Risiken und Maßnahmen. Je Verarbeitung: Was kann passieren, wie wahrscheinlich, wie schwer, welche Maßnahme senkt es. Konkret werden — „Berechtigungskonzept” ist keine Maßnahme, „Zugriff auf Gesundheitsdaten nur für die zwei benannten Rollen in der Betriebsmedizin” ist eine.
Woche drei: Bewertung und Restrisiko. Was bleibt, und ist es vertretbar. Hier gehört der Datenschutzbeauftragte einbezogen, nicht erst am Ende zur Unterschrift.
Der eigentliche Nutzen
Wenn die DSFA früh läuft, ändert sie das System — und das ist ihr Sinn. Wir haben mehrfach erlebt, dass sich in dieser Runde ein Feld als verzichtbar erwies, das erhebliche Diskussionen ausgelöst hätte. Ein nicht erhobenes Feld braucht kein Berechtigungskonzept, keine Löschfrist und keine Betriebsvereinbarung.
Läuft die DSFA dagegen zwei Wochen vor dem Rollout, wird sie zum Dokument, das die Entscheidung begründet, die längst getroffen ist. Dann ist sie tatsächlich nur Papier.
Wer sie schreibt
Nicht der Datenschutzbeauftragte allein. Er ist zu beteiligen und bewertet, aber wenn er die Verarbeitung auch beschreibt, prüft er am Ende seine eigene Arbeit.
Tragfähig ist eine Dreiteilung: Der Fachbereich beschreibt Zweck und Prozess, weil nur er weiß, wozu die Daten gebraucht werden. Die IT beschreibt Verarbeitung, Speicherung und Zugriffe. Der Datenschutzbeauftragte bewertet Risiken und Maßnahmen und hält das Restrisiko fest.
Diese Trennung dauert eine Woche länger und hält jeder Prüfung stand — die Zusammenschreibung durch eine Person tut das nicht.