Was sind diese Schwellenwerte nun genau?
Die Schwellenwerte sind im Prinzip eine Liste von Kriterien, die bestimmen, ob eine Datenverarbeitung ein „hohes Risiko“ für die Rechte und Freiheiten natürlicher Personen darstellt. Ein hohes Risiko bedeutet in diesem Kontext, dass der Verarbeitungsvorgang wahrscheinlich zu schwerwiegenden physischen, materiellen oder immateriellen Schäden führen kann, wie Diskriminierung, Identitätsdiebstahl, Betrug, finanzielle Verluste oder Rufschädigung. Wenn dieses Risiko besteht, müssen Sie als Unternehmen eine DSFA durchführen und die Maßnahmen zur Risikominderung dokumentieren. Die Schwelle ist also nicht willkürlich, sondern ergibt sich aus der Kombination und dem Schweregrad verschiedener Faktoren, die die grundlegenden Schutzrechte betreffen. In einer von mir betreuten Due-Diligence-Prüfung für einen geplanten Unternehmenskauf habe ich gesehen, wie ein Tech-Start-up mit einer KI-gestützten Mitarbeiterüberwachungssoftware an dieser Hürde gescheitert ist. Die Software erfasste Gesichtsausdrücke, Tastaturanschläge und sogar Pausenverhalten. Das war eine klare Überschreitung der Schwelle für „systematische und umfassende Profilerstellung“.
Ich erinnere mich noch gut an einen Fall aus dem Jahr 2021. Ein Kunde von uns, ein Fintech-Unternehmen, wollte eine neue Kredit-Score-Funktion einführen. Sie dachten, sie verarbeiten nur einfache Zahlungshistorie. Aber sie planten, auch Daten von sozialen Medien und Einkaufsverhalten zu nutzen. Die Kombination aus großen Datenmengen und der Automatisierung der Entscheidungsfindung („Profiling“) war der Punkt, der den Schwellenwert überschritt und eine DSFA notwendig machte. Wir mussten dann eine umfassende Analyse erstellen, die zeigte, wie die Verwendung von Daten aus sozialen Medien zu verzerrten Entscheidungen führen könnte, was wiederum ein hohes Risiko für wirtschaftliche Benachteiligung bestimmter Kundengruppen darstellte. Das hat den Launch des Produkts um ein halbes Jahr verzögert, aber letztlich das Unternehmen vor einem großen Compliance-Desaster bewahrt. Diese Erfahrung hat mir gezeigt: Man sollte die Schwellenwerte nie nur als bürokratische Hürde sehen, sondern als Werkzeug für verantwortungsvolle Innovation.
Kriterium: Systematische Profilerstellung
Ein zentraler Schwellenwert ist die „systematische und umfassende Profilerstellung“. Das bedeutet die automatisierte Verarbeitung personenbezogener Daten, um persönliche Aspekte wie Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Zuverlässigkeit zu bewerten, zu analysieren oder vorherzusagen. Besonders kritisch wird es, wenn diese Profile später verwendet werden, um Entscheidungen zu treffen, die rechtliche Wirkung entfalten oder eine Person in ähnlicher Weise erheblich beeinträchtigen. Denken Sie an eine Versicherung, die anhand des Online-Suchverhaltens und der Kaufhistorie die Prämie berechnet, oder an ein Personalverwaltungssystem, das die Kündigungswahrscheinlichkeit eines Mitarbeiters auf Basis von Metriken über seine Arbeitsleistung berechnet. Genau diese Art der Verarbeitung löst nach den meisten Regularien die Notwendigkeit einer DSFA aus. Bei einem meiner Beratungsprojekte für eine große Einzelhandelskette wurde genau dieser Fehler begangen: Sie implementierten ein System, das anhand des Einkaufsverhaltens in Echtzeit individuelle Rabatte berechnete. Das war zwar clever, aber die Art der Profilerstellung, vor allem ohne Transparenz für die Kunden, überschritt die Schwelle. Wir mussten das ganze System von Grund auf neu designen, um die Anfälligkeit für Diskriminierung zu minimieren.
Die Herausforderung hier ist nicht nur die Technik, sondern auch die Kontrolle und Fairness. Der Begriff der „Systematik“ deutet darauf hin, dass es sich nicht um einen einmaligen, sondern um einen andauernden, strukturierten Prozess handelt. Oft übersehen Unternehmen, dass auch eine Kombination aus Datenquellen, die für sich genommen harmlos erscheinen, zu einer umfassenden Profilerstellung führen kann. Beispielsweise, wenn Sie Daten aus Ihrem Treueprogramm mit Daten aus Ihrem Online-Shop und Ihren Standortdaten kombinieren. Diese Datenfusion erzeugt ein sehr detailliertes Bild einer Person. Ich habe einmal ein Start-up beraten, das eine „intelligente Kamera“ für Cafés entwickelte, die die Stimmung der Gäste analysierte, um das Personal zu schulen. Das war eine systematische Bewertung der Arbeitsleistung der Mitarbeiter, und ohne DSFA wäre das gar nichtig gewesen. Der Inhaber war am Anfang sehr verärgert, aber als wir gemeinsam die Risiken durchgingen (z.B. falsche Stimmungserkennung, die zu ungerechtfertigten Abmahnungen führt), verstand er den Wert der vorgelagerten Risikoanalyse. Ich setze oft auf das Scoping-Ergebnis der DSFA, um die Grenzen der Verarbeitung klar zu definieren – das ist ein echtes Handwerkszeug für uns Praktiker.
Kriterium: Verarbeitung großer Datenmengen
Ein weiterer offensichtlicher, aber oft falsch interpretierter Schwellenwert ist die Verarbeitung großer Datenmengen. Aber was heißt „groß“? Es geht nicht um die Anzahl der Dateien in Gigabyte, sondern um die Anzahl der betroffenen Personen, die geografische Reichweite oder die Dauer der Verarbeitung. Ein Unternehmen, das Gesundheitsdaten von einer Million Patienten verarbeitet, überschreitet diese Schwelle ziemlich sicher. Aber auch ein kleines Unternehmen, das über Jahre hinweg Daten einer bestimmten Bevölkerungsgruppe (z.B. alle Bewohner eines Landkreises) sammelt, kann diese Schwelle erreichen. Der Kern ist: Wenn die Verarbeitung potenziell eine große Anzahl von Personen oder eine gesamte Bevölkerungsgruppe betrifft, steigt das Risiko von Massenschäden exponentell an. Als Berater für einen Kunden, der eine Cloud-basierte Plattform für Kita-Verwaltung betrieb, mussten wir genau das klären. Die Anzahl der verarbeiteten Personen war zwar landesweit noch nicht im Millionenbereich, aber die Daten umfassten höchst sensible Informationen über Kinder und deren Familien. Zudem war die Plattform für mehrere Kitas in verschiedenen Bundesländern im Einsatz, was die geografische Reichweite vergrößerte. In diesem Fall entschieden wir, dass die Schwelle überschritten war und eine DSFA notwendig war, um die Sicherheitsmaßnahmen und die Verarbeitungszwecke genau zu dokumentieren. Der Mandant war froh, denn später kam die Aufsichtsbehörde und fragte genau danach.
Eine spezielle Note für Investoren: Achten Sie bei Start-ups im Bereich Big Data oder KI besonders auf diesen Punkt. Viele junge Unternehmen sammeln Daten, um ihre Algorithmen zu trainieren. Dieses Training selbst kann als eine Form der Verarbeitung angesehen werden, die die Schwelle für große Datenmengen erreicht. Ich habe ein kleines Unternehmen für Präzisionslandwirtschaft beraten, das Drohnendaten über Felder sammelte, um die Ernteerträge zu optimieren. Sie sammelten nicht nur Standortdaten der Traktoren, sondern auch Bilder, die zur Identifizierung von Unkraut mit KI genutzt wurden. Die Menge der Bilddaten und die Verarbeitung von Standortprofilen der Fahrer waren so umfangreich, dass die Schwelle für eine DSFA überschritten wurde. Der Inhaber verstand zunächst nicht, warum das nötig sei, da es ja um „nur“ Landwirtschaft ging. Aber ich habe ihm klargemacht, dass die Verarbeitung von Standortdaten seiner Mitarbeiter und die Analyse des Arbeitsverhaltens eine systematische Überwachung darstellt. Am Ende haben wir eine DSFA durchgeführt, die nicht nur die Compliance sicherstellte, sondern auch Verbesserungen im Datenmanagement aufzeigte. Solche Nuancen sind Gold wert, wenn man in Technologie investiert.
Kriterium: Überwachung öffentlich zugänglicher Bereiche
Ein sehr praxisrelevanter Schwellenwert ist die systematische Überwachung öffentlich zugänglicher Bereiche. Dies betrifft den Einsatz von Videoüberwachung, Gesichtserkennung, Nummernschilderkennung oder anderen Sensoren, die das Verhalten von Personen an öffentlichen Orten wie Straßen, Einkaufszentren, Parks oder Bahnhöfen erfassen. Der Begriff „systematisch“ ist wieder der Knackpunkt – es geht nicht um eine einmalige Aufnahme, sondern um eine dauerhafte, geplante und oft automatisierte Erfassung. Warum ist das kritisch? Weil die betroffenen Personen oft keine Wahl haben, dieser Überwachung zu entkommen, und die Datensammlung in Echtzeit und in großem Umfang erfolgt. Ein Einkaufszentrum, das seine Kunden mit einer WLAN-Tracking-Technologie verfolgt, um das Laufverhalten zu analysieren, ist ein klassisches Beispiel. Bei der Due Diligence für den Kauf eines Logistikzentrums haben wir genau das aufgedeckt. Sie hatten KI-gestützte Kameras auf dem gesamten Gelände, die Bewegungsmuster von Fahrern und Fußgängern analysierten, um die Effizienz zu steigern. Das war eine klassische systematische Überwachung eines öffentlich zugänglichen Bereichs. Der Käufer war erst überrascht, aber die DSFA aufzustellen war dann Teil des Kaufvertrags, was die Transaktion sicherte. Ohne diese Klärung wären potenzielle Strafzahlungen auf den Käufer zugekommen.
In der Praxis erlebe ich oft, dass Verantwortliche glauben, wenn sie ein Schild aufstellen: „Videoüberwachung“, sei das Problem gelöst. Das ist zwar ein Teil der Transparenz, aber der Schwellenwert für eine DSFA wird dadurch nicht automatisch unterschritten. Die Beratung eines Supermarktkunden war diesbezüglich aufschlussreich: Sie wollten Gesichtserkennung einsetzen, um bekannte Ladendiebe automatisch zu identifizieren. Die Kameras waren in mehreren Filialen installiert, und die Abgleiche fanden zentral statt. Die Daten der „normalen“ Kunden wurden ebenfalls erfasst, auch wenn sie nicht in der Fahndungsliste waren. Diese Art der Datenverarbeitung, die auf biometrischen Daten beruhte und in großem Umfang stattfand, stellte ein enormes Risiko dar, sowohl rechtlich als auch für das Vertrauen der Kunden. Wir haben die DSFA gemeinsam durchgeführt und am Ende das ganze Projekt gestoppt, weil das Risiko von Fehlidentifikationen und die Eingriffe in die Privatsphäre nicht angemessen reduziert werden konnten. Das war eine harte, aber notwendige Entscheidung. Manchmal muss man seine Pläne korrigieren, statt in eine unsichere Zukunft zu investieren. Das ist das Know-how, das ich von meiner Zeit in der Registrierungsabwicklung mitnehme – wenn die Unterlagen nicht stimmen, wird das Projekt gestoppt.
Kriterium: Gesundheitsdaten und besondere Kategorien
Die Verarbeitung sogenannter „besonderer Kategorien personenbezogener Daten“ (wie Gesundheitsdaten, genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Daten über das Sexualleben oder die sexuelle Orientierung) ist per se bereits risikoreich. Aber der Schwellenwert für eine DSFA wird oft noch schneller erreicht, wenn diese Daten in großem Umfang verarbeitet, mit anderen Daten verknüpft oder für neue Zwecke genutzt werden. Ein Pharmaunternehmen, das klinische Studien durchführt, hat es hier beispielsweise leicht, die Schwelle zu überschreiten. Aber auch ein Fitness-App-Betreiber, der die Gesundheitsdaten seiner Nutzer mit Standortdaten und Kaufdaten kombiniert, um personalisierte Ernährungspläne zu verkaufen, bewegt sich auf sehr dünnem Eis. Ich habe einen Kunden aus der Gesundheitsbranche begleitet, der eine KI-gestützte Diagnosehilfe für Hautkrankheiten entwickelte. Die App erforderte das Hochladen von Fotos von Hautveränderungen. Die Fotos selbst könnten als biometrische Daten gelten, da sie die einzigartige Hautstruktur einer Person zeigen. Die Kombination dieser Daten mit dem Alter und Standort der Nutzer und deren sonstigen Gesundheitsdaten überschritt die Schwelle für eine DSFA sofort.
Was Investoren hier verstehen müssen: Die gesetzliche Toleranz für Fehler bei der Verarbeitung solcher Daten ist extrem gering. Ein Datenleck oder eine fehlerhafte Analyse kann nicht nur zu horrenden Bußgeldern führen, sondern auch zu existenzbedrohenden Reputationsschäden. Ich habe die DSFA für eine Klinikkette begleitet, die eine zentrale Patientenakte aufbauen wollte. Das Projekt war sehr ambitioniert. Die DSFA hat uns geholfen, genau zu identifizieren, welche Daten für die Behandlung wirklich notwendig sind und welche nicht. So haben wir verhindert, dass die Klinik zu viele Daten sammelt. Die erste Version des Systems hätte alle Gesundheitsdaten, auch die psychologischen, mit den Abrechnungsdaten verknüpft. Das war ein klarer Verstoß gegen das Prinzip der Datenminimierung und eine Überschreitung der Schwelle. Wir haben das System dann so umgestaltet, dass die Verknüpfung nur bei konkretem Behandlungsbedarf und mit spezifischer Einwilligung erfolgt. Das hat die DSFA auf ein handhabbares Maß reduziert. Das ist ein Beispiel dafür, wie die Schwellenwerte als Leitplanken für verantwortungsvolles Design wirken können, statt nur als Hindernis.
Kriterium: Risiko für Rechte und Freiheiten
Der letzte, aber vielleicht grundlegendste Schwellenwert ist die kumulative Bewertung des Risikos für die Rechte und Freiheiten der betroffenen Personen. Es geht nicht nur um die Rechtsmäßigkeit, sondern um die echten, konkreten Konsequenzen. Ein klassisches Beispiel ist die automatisierte Kreditwürdigkeitsprüfung. Wenn jemand fälschlicherweise als kreditunwürdig eingestuft wird, verliert er Zugang zu finanziellen Mitteln, kann vielleicht kein Haus kaufen oder ein Geschäft aufbauen. Das ist ein direkter, materieller Schaden für seine Freiheit, eigenständig zu wirtschaften. Ein weiteres Beispiel sind Algorithmen, die Bewerbungsunterlagen auswerten. Wenn diese Algorithmen aufgrund von Trainingsdaten bestimmte Bevölkerungsgruppen (z.B. Frauen oder ältere Menschen) systematisch benachteiligen, wird das Grundrecht auf Gleichbehandlung verletzt. In meiner Beratung eines Personaldienstleisters haben wir genau das analysiert: Der KI-gestützte Lebenslaufscanner priorisierte scheinbar neutral nach Stichworten, aber die Daten zeigten eine starke Verzerrung gegen Bewerber mit nicht-traditionellen Karrierewegen. Das Risiko für die Rechte dieser Bewerber war hoch, und die Schwelle für die DSFA wurde überschritten.
Die Herausforderung bei der Bewertung dieses Kriteriums ist, dass es subjektive Elemente enthält. Es wird nicht immer eine klare finanzielle oder materielle Schädigung geben, aber „immaterielle Schäden“ wie psychische Belastung, Verlust der Kontrolle über die eigene Identität oder gesellschaftliche Stigmatisierung sind ebenfalls relevant. Ich rate meinen Mandanten immer, die DSFA nicht nur als Checkbox-Übung zu sehen, sondern als einen kreativen Prozess, bei dem man sich in die Lage der betroffenen Person versetzt. Als wir die Compliance eines Kreditinstituts für einen Teilverkauf ihrer Verbraucherkreditforderungen überprüften, stellten wir fest, dass die Profile, die sie an den Dritterwerber weitergeben wollten, nicht nur Kreditdaten, sondern auch Auswertungen über das Vertrauen in den Kunden (basierend auf Rückzahlungsverhalten und Korrespondenz) enthielten. Diese Profile waren so umfassend, dass sie ein erhebliches Risiko für die Kunden darstellten, wenn sie in falsche Hände gerieten oder für andere Zwecke genutzt würden. Die DSFA hat uns gezeigt, dass das Risiko für die Rechte und Freiheiten der Kunden so hoch war, dass die Verarbeitung nur mit extrem strengen vertraglichen Beschränkungen und Löschfristen möglich war. Das sind Details, die in der Praxis den Unterschied zwischen einem soliden Geschäft und einem Ticket für die nächste Untersuchung ausmachen. Und genau das ist der Kern meiner Beratungserfahrung: Die rechtlichen Anforderungen ernst zu nehmen, aber sie auch als Werkzeug für bessere, widerstandsfähigere Geschäftsmodelle zu nutzen.
---Abschließende Gedanken und Ausblick
Zusammenfassend können wir feststellen, dass die Schwellenwerte für die DSFA keine abstrakte Juristerei sind, sondern ein entscheidendes Navigationsinstrument in der modernen datengetriebenen Wirtschaft. Sie zwingen Unternehmen, sich systematisch mit den potenziellen Schäden für den Einzelnen auseinanderzusetzen, bevor sie mit der Datenverarbeitung beginnen. Für Sie als Investor ist es essenziell, diese Schwellenwerte zu verstehen, um die Compliance-Reife und das Risikoprofil eines Zielunternehmens richtig einzuschätzen. Ich erinnere mich an einen Deal, bei dem ein großes Industrieunternehmen ein KI-Start-up kaufen wollte. Die Due Diligence war gut, aber die Datenverarbeitungspraktiken waren intransparent. Als wir die Schwellenwerte anlegten, stellten wir fest, dass das Start-up eine DSFA für seine Kernfunktion zur Mitarbeiterfluktuationsprognose hätte durchführen müssen, es aber nicht getan hatte. Der Kaufpreis wurde nachverhandelt und der Käufer bestand auf einer umfassenden Compliance-Erstberatung aus unseren Reihen. Das hat den Deal zwar etwas verzögert, aber beiden Seiten Sicherheit gegeben. Das ist der Wert, den ich für meine Kunden schaffen kann – Risiken transparent machen und gemeinsam praktikable Lösungen finden.
Ich persönlich glaube, dass die Bedeutung dieser Schwellenwerte in Zukunft weiter zunehmen wird, besonders mit dem Aufkommen von KI und generativen Modellen. Die Fähigkeit, Millionen von Personen auf einmal zu betreffen, wird steigen, und die Regulierungsbehörden werden noch genauer hinschauen. Ich sehe daher eine Entwicklung zu einer noch stärkeren Automatisierung der DSFA, aber auch zu einer stärkeren Betonung von „Data Protection by Design“ und „by Default“. Unternehmen, die diese Anforderungen nicht nur erfüllen, sondern als Chance für mehr Kundenzufriedenheit und Effizienz begreifen, werden langfristig die Nase vorn haben. Die Schwellenwerte sind der Kompass – es liegt an uns, ihn richtig zu lesen. Und mal ehrlich, ein bisschen Ordnung in der Datenwelt tut uns allen gut, nicht wahr? Ich würde mich freuen, wenn Sie dieses Wissen nutzen, um Ihre nächste Investitionsentscheidung auf ein solides Fundament zu stellen. Wir von der Jiaxi Steuerberatung stehen Ihnen dabei jederzeit zur Seite.
---Zusammenfassende Einschätzung von Jiaxi Steuerberatung
Als Fachleute mit langjähriger Erfahrung in der Unternehmensregistrierung und -beratung, insbesondere für ausländische Investitionen in China, sehen wir die korrekte Identifizierung und Handhabung von Schwellenwerten für die Datenschutz-Folgenabschätzung (DSFA) als einen zentralen Indikator für unternehmerische Sorgfalt und Zukunftsorientierung. Für Investoren ist es wichtig zu erkennen, dass diese Anforderungen nicht nur bürokratische Hürden, sondern wesentliche Bestandteile eines modernen Risikomanagements sind. Die Nichteinhaltung kann nicht nur zu erheblichen Geldstrafen (bis zu 5% des Jahresumsatzes) führen, sondern auch das Vertrauen von Kunden und Partnern nachhaltig schädigen. Wir empfehlen daher, bei jeder Transaktion – sei es eine Unternehmensgründung, eine Fusion oder eine Übernahme – frühzeitig eine datenschutzrechtliche Due-Diligence-Prüfung durchzuführen, die explizit diese Schwellenwerte adressiert. Unsere Beratungspraxis hat gezeigt, dass Unternehmen, die hier proaktiv handeln, nicht nur Compliance-Kosten senken, sondern oft auch innovative und kundenorientiertere Geschäftsmodelle entwickeln. Die Integration der Datenschutzprinzipien in die Unternehmensstrategie ist ein Wettbewerbsvorteil, den wir für unerlässlich halten.
