16. Juli 2026 · Morten Babakhani · Aktualisiert am 5. November 2026
Eine Datenschutz-Folgenabschätzung (DSFA) gehört früh in die Planung eines HR-IT-Vorhabens, wenn die vorgesehene Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Menschen mit sich bringt. Maßgeblich sind Art, Umfang, Umstände und Zweck der Verarbeitung — nicht allein der Produktname.
Wann eine DSFA erforderlich ist
Artikel 35 DSGVO nennt unter anderem die systematische, umfassende automatisierte Bewertung persönlicher Aspekte mit darauf gestützten erheblichen Entscheidungen sowie die umfangreiche Verarbeitung besonderer Datenkategorien. Hinzu kommen die einschlägigen Listen und Kriterien der Aufsichtsbehörden.
Bei Bewerberbewertung, Anwesenheitsauswertungen oder umfangreichen Personalakten sollten Sie den konkreten Datenfluss und die Risiken mit den zuständigen Stellen prüfen. Aus der Bezeichnung „Bewerbermanagement“ oder „Personalakte“ folgt noch keine pauschale Einordnung. Dokumentieren Sie auch, wenn die Prüfung ergibt, dass keine DSFA erforderlich ist.
Drei Arbeitsschritte für die Vorbereitung
Verarbeitung beschreiben. Der Fachbereich benennt Zweck, Ablauf, betroffene Personen und benötigte Daten. Die IT ergänzt Systeme, Empfänger, Zugriffe und Speicherfristen.
Risiken und Maßnahmen prüfen. Welche Auswirkungen hätte ein unberechtigter Zugriff, eine falsche Zuordnung oder eine unzulässige Auswertung? Beschreiben Sie die passenden Maßnahmen konkret und prüfen Sie, ob sie im System tatsächlich umgesetzt werden können.
Restrisiken und Freigaben klären. Der Verantwortliche bewertet die verbleibenden Risiken unter Einbeziehung des Datenschutzbeauftragten. Bleibt ohne ausreichende Abhilfemaßnahmen ein hohes Risiko bestehen, ist die vorherige Konsultation nach Artikel 36 zu prüfen.
Die Ergebnisse im Projekt nutzen
Die Prüfung kann beeinflussen, welche Daten erhoben werden, wer sie sehen darf und welche Funktionen freigegeben werden. Übernehmen Sie vereinbarte Maßnahmen in Anforderungen, Berechtigungen, Tests und Betriebsdokumentation.
Planen Sie den Aufwand anhand von Verarbeitung und offenen Fragen. Ein fester Zeitplan von wenigen Wochen lässt sich nicht für jedes Vorhaben zusagen. Brandmonks unterstützt bei der technischen und organisatorischen Beschreibung Ihrer HR-IT-Abläufe; die rechtliche Bewertung bleibt bei den zuständigen Fachleuten.