Geprüft
Landesspezifische Rechtsinhalte
Mit juristischer Expertise pro Rechtsordnung entworfen, deutlich umfassender als KI-Entwürfe, die generische Klauseln über Ländergrenzen hinweg kopieren.
Datenschutz und ComplianceDeutschland
Kostenlose Vorlage — Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO
Die <strong>Datenschutz-Folgenabschätzung (DSFA)</strong> nach <strong>Art. 35 DSGVO</strong> ist Pflicht für Verarbeitungen mit voraussichtlich hohem Risiko — geschätzt <strong>~15.000 Pflichtfälle</strong> jährlich in Deutschland. Bei fehlender oder mangelhafter DSFA drohen <strong>Bußgelder bis 10 Mio EUR oder 2 % des Konzernumsatzes</strong> (Art. 83 Abs. 4 DSGVO); typische Strafen 25.000-500.000 EUR, Höchstfälle bis 1,4 Mio EUR (KI-System ohne DSFA + FRIA 2025). Die <strong>9-Kriterien-Schwellenwertanalyse</strong> nach EDPB Guidelines 4/2017 entscheidet über DSFA-Pflicht: bei 2 oder mehr erfüllten Kriterien regelhaft Pflicht. Zusätzlich greift die <strong>DSK-Blacklist</strong> für den nicht-öffentlichen Bereich. Seit 02.08.2026 erweitert die <strong>KI-Verordnung (AI Act, VO 2024/1689)</strong> die Pflichten — bei Hochrisiko-KI-Systemen zusätzlich <strong>Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 AI Act</strong>.
Kostenlos nutzbarSofort als PDFKein Konto erforderlich
PDF (kostenlos) + bearbeitbares Word (.docx) mit Expert
DATENSCHUTZ-FOLGENABSCHÄTZUNG
Gemäß Art. 35 DSGVO · Stand: 15. Mai 2026
I. VERANTWORTLICHER (ART. 4 NR. 7 DSGVO)
| FIRMA | HealthScore Analytics GmbH |
| ANSCHRIFT | Maximilianstraße 35, 80539 München |
| HANDELSREGISTER | HRB 257 814, Amtsgericht München |
| VERTRETUNGSBERECHTIGT | Dr. Konstantin Wenzlaff (CEO) und Dr. Annika Brünings (CTO) |
II. DATENSCHUTZBEAUFTRAGTE/R (ART. 37-39 DSGVO)
| NAME | RA Dr. Friederike Eichendorf, externer DSB (Bauer Datenschutz PartG mbB) |
| STATUS | externer DSB |
| KONTAKT | datenschutz@healthscore.de · Tel. 089 / 4527-180 · Ballindamm 9, 20095 Hamburg |
Diese Datenschutz-Folgenabschätzung (DSFA) wird gemäß Art. 35 DSGVO für das Verarbeitungs-Vorhaben KI-gestütztes Diabetes-Risiko-Scoring für gesetzliche Krankenversicherungen erstellt. Die DSFA erfüllt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und dokumentiert die Erforderlichkeit, Verhältnismäßigkeit und Risiken der Verarbeitung. Der/die Datenschutzbeauftragte wird gemäß Art. 35 Abs. 2 DSGVO beratend einbezogen.
III. VERARBEITUNGS-VORHABEN
| BEZEICHNUNG | KI-gestütztes Diabetes-Risiko-Scoring für gesetzliche Krankenversicherungen |
| BEREICH | KI-/Machine-Learning-System (Profiling, Scoring, Entscheidung) |
| KURZBESCHREIBUNG | KI-System zur Vorhersage des Diabetes-Typ-2-Risikos auf Basis von Vorerkrankungen, Laborwerten, Verschreibungs-Daten und Lifestyle-Indikatoren — für eingebundene Krankenversicherungen zur gezielten Präventions-Beratung. ML-Modell (XGBoost + Neural Network Ensemble) mit ca. 1,4 Mio Trainings-Datensätzen aus pseudonymisierten Versichertendaten. Geplante Ausrollung an 14 gesetzliche Krankenversicherungen mit insgesamt ~24 Mio Versicherten ab Q3/2026. |
1.
ZWECKE, DATENKATEGORIEN UND RECHTSGRUNDLAGE
Zwecke der Verarbeitung (Art. 5 Abs. 1 lit. b DSGVO):
Primärer Zweck: Identifikation von Versicherten mit erhöhtem Diabetes-Typ-2-Risiko zur gezielten Präventions-Beratung (z.B. Ernährungs-Schulung, Bewegungs-Programme, früherzeitliche Arzt-Beratung). Sekundärzweck: anonymisierte Forschung zur Verbesserung des Modells und epidemiologische Studien. Kein Tarif-Anpassungs- oder Leistungs-Verweigerungs-Zweck.
Kategorien personenbezogener Daten:
Stammdaten (pseudonymisiert): Alter (5-Jahres-Cluster), Geschlecht, PLZ-3-stellig. Gesundheitsdaten (Art. 9 DSGVO): ICD-10-Diagnosen letzte 5 Jahre, Laborwerte (HbA1c, Nüchternblutzucker, BMI), Verschreibungs-Daten (ATC-Codes), Krankenhaus-Aufenthalte. Lifestyle-Indikatoren: Bewegungs-Daten aus Fitness-App-Integration (freiwillig), Rauch-/Alkohol-Selbstangaben aus Gesundheits-Check-ups.
Kategorien betroffener Personen:
Gesetzlich Versicherte der eingebundenen Krankenversicherungen (Mitglieder + mitversicherte Familienangehörige) — Schätzung ~24 Mio Personen. Schutzbedürftige Untergruppen: Minderjährige (~3,8 Mio), chronisch Erkrankte mit Mehrfach-Diagnosen (~2,1 Mio), Mitversicherte ohne eigene Wahl der Verarbeitung.
Rechtsgrundlage (Art. 6 Abs. 1 DSGVO):
Art. 9 Abs. 2 lit. h DSGVO i.V.m. § 22 BDSG (Verarbeitung Gesundheitsdaten für Gesundheits-/Pflege-Versorgung); ergänzend Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 25 SGB V (gesetzliche Aufgabe Präventionsleistungen Krankenversicherung). Bei Forschungs-Zweck zusätzlich Art. 9 Abs. 2 lit. j DSGVO i.V.m. § 27 BDSG.
Primärer Zweck: Identifikation von Versicherten mit erhöhtem Diabetes-Typ-2-Risiko zur gezielten Präventions-Beratung (z.B. Ernährungs-Schulung, Bewegungs-Programme, früherzeitliche Arzt-Beratung). Sekundärzweck: anonymisierte Forschung zur Verbesserung des Modells und epidemiologische Studien. Kein Tarif-Anpassungs- oder Leistungs-Verweigerungs-Zweck.
Kategorien personenbezogener Daten:
Stammdaten (pseudonymisiert): Alter (5-Jahres-Cluster), Geschlecht, PLZ-3-stellig. Gesundheitsdaten (Art. 9 DSGVO): ICD-10-Diagnosen letzte 5 Jahre, Laborwerte (HbA1c, Nüchternblutzucker, BMI), Verschreibungs-Daten (ATC-Codes), Krankenhaus-Aufenthalte. Lifestyle-Indikatoren: Bewegungs-Daten aus Fitness-App-Integration (freiwillig), Rauch-/Alkohol-Selbstangaben aus Gesundheits-Check-ups.
Kategorien betroffener Personen:
Gesetzlich Versicherte der eingebundenen Krankenversicherungen (Mitglieder + mitversicherte Familienangehörige) — Schätzung ~24 Mio Personen. Schutzbedürftige Untergruppen: Minderjährige (~3,8 Mio), chronisch Erkrankte mit Mehrfach-Diagnosen (~2,1 Mio), Mitversicherte ohne eigene Wahl der Verarbeitung.
Rechtsgrundlage (Art. 6 Abs. 1 DSGVO):
Art. 9 Abs. 2 lit. h DSGVO i.V.m. § 22 BDSG (Verarbeitung Gesundheitsdaten für Gesundheits-/Pflege-Versorgung); ergänzend Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 25 SGB V (gesetzliche Aufgabe Präventionsleistungen Krankenversicherung). Bei Forschungs-Zweck zusätzlich Art. 9 Abs. 2 lit. j DSGVO i.V.m. § 27 BDSG.
2.
SCHWELLENWERTANALYSE — 9-KRITERIEN-TEST WP 248 / EDPB 4/2017
Die Schwellenwertanalyse prüft anhand der 9 Kriterien der ehemaligen Artikel-29-Datenschutzgruppe (WP 248, übernommen durch EDPB Guidelines 4/2017) das voraussichtliche Risiko der Verarbeitung. Bei 2 oder mehr erfüllten Kriterien ist regelhaft von einem voraussichtlich hohen Risiko auszugehen — die DSFA ist verpflichtend.
• JA — Scoring / Profiling — Bewerten oder Punktebewertung
• JA — Automatisierte Einzelfall-Entscheidung mit Rechtswirkung
• NEIN — Systematische Überwachung öffentlich zugänglicher Bereiche
• JA — Besondere Kategorien Art. 9 DSGVO oder Strafurteile Art. 10
• JA — Datenverarbeitung in großem Umfang (Anzahl Betroffener, Datenvolumen, geografische Reichweite)
• JA — Kombination oder Zusammenführung mehrerer Datensätze
• JA — Daten zu schutzbedürftigen Personen (Kinder, Patienten, Beschäftigte, Asylsuchende)
• JA — Innovative Nutzung oder neue Technologien (KI, IoT, Biometrie, Blockchain)
• NEIN — Verarbeitung hindert Betroffene daran, einen Vertrag abzuschließen oder einen Dienst zu nutzen
Anzahl erfüllter Kriterien: 7 von 9
Bei 7 von 9 Kriterien nach WP 248 / EDPB Guidelines 4/2017 ist regelhaft von einem voraussichtlich hohen Risiko auszugehen — die DSFA ist verpflichtend durchzuführen.
• JA — Scoring / Profiling — Bewerten oder Punktebewertung
• JA — Automatisierte Einzelfall-Entscheidung mit Rechtswirkung
• NEIN — Systematische Überwachung öffentlich zugänglicher Bereiche
• JA — Besondere Kategorien Art. 9 DSGVO oder Strafurteile Art. 10
• JA — Datenverarbeitung in großem Umfang (Anzahl Betroffener, Datenvolumen, geografische Reichweite)
• JA — Kombination oder Zusammenführung mehrerer Datensätze
• JA — Daten zu schutzbedürftigen Personen (Kinder, Patienten, Beschäftigte, Asylsuchende)
• JA — Innovative Nutzung oder neue Technologien (KI, IoT, Biometrie, Blockchain)
• NEIN — Verarbeitung hindert Betroffene daran, einen Vertrag abzuschließen oder einen Dienst zu nutzen
Anzahl erfüllter Kriterien: 7 von 9
Bei 7 von 9 Kriterien nach WP 248 / EDPB Guidelines 4/2017 ist regelhaft von einem voraussichtlich hohen Risiko auszugehen — die DSFA ist verpflichtend durchzuführen.
3.
SCHWELLENWERTANALYSE — DETAILBEGRÜNDUNG UND LISTEN-ABGLEICH
1. Detailbegründung der 9-Kriterien-Analyse:
Schwellenwertanalyse: Acht von neun WP-248-Kriterien sind erfüllt. (1) Scoring/Profiling: ja — Risiko-Bewertung nach individuellen Gesundheitsmerkmalen. (2) Automatisierte Entscheidung mit Rechtswirkung: ja — Aufnahme in Präventions-Programm folgt aus Score-Wert; rechtliche Auswirkung im sozialversicherungs-rechtlichen Verhältnis. (3) Systematische Überwachung: nein — keine Beobachtung öffentlicher Bereiche, jedoch Behandlungs-Daten kontinuierlich erfasst. (4) Sensitive Daten Art. 9: ja — Gesundheitsdaten umfangreich. (5) Großer Umfang: ja — ~24 Mio Versicherte, 8 Datenkategorien, deutschlandweite Reichweite, mehrjährige Speicherung. (6) Datensatz-Kombination: ja — ICD-Codes + Laborwerte + ATC-Codes + Krankenhaus-Aufenthalte + Lifestyle-Daten zu individuellen Profilen kombiniert. (7) Schutzbedürftige Personen: ja — Minderjährige und chronisch Erkrankte. (8) Neue Technologie: ja — KI/ML mit Ensemble-Modell, erstmaliger Einsatz in deutscher GKV-Landschaft auf diesem Umfang. (9) Vertrags-/Dienst-Verweigerung: nein — Verarbeitung ist Sozialleistung, kein Kopplungs-Geschäft. Bei 8 von 9 erfüllten Kriterien ist die DSFA-Pflicht zwingend. Zusätzlich Regelbeispiel Art. 35 Abs. 3 lit. a DSGVO (systematische und umfassende Bewertung mit Profiling) und lit. b (umfangreiche Verarbeitung Art. 9 Daten).
2. Abgleich DSK-Blacklist + BfDI-Liste + Landesbeauftragte:
DSK-Blacklist-Abgleich: Position "Datenverarbeitungen, die zur Bewertung der Kreditwürdigkeit oder allgemein der Solvenz oder zur Aussonderung von Personen aus einem definierten Personenkreis geeignet sind, soweit die Datenverarbeitung Profiling oder die Verarbeitung besonderer Datenkategorien beinhaltet" — entsprechend anwendbar auf KI-Risiko-Scoring. BfDI-Liste öffentlicher Bereich: nicht direkt einschlägig (GKV ist eigenständige Körperschaft öffentlichen Rechts). LfDI Bayern Liste (HealthScore mit Sitz München): Position "Großflächige Verarbeitung von Gesundheitsdaten in Verbindung mit automatisierter Entscheidung" — explizit DSFA-pflichtig. Whitelist: keine vorhanden. Ergebnis: DSFA zwingend nach DSK + LfDI BY; zusätzlich nach Regelbeispielen Art. 35 Abs. 3 DSGVO. Internationale Vergleichsmaterialien: CNIL PIA-Bericht "AI in Healthcare" 2024 als methodologische Referenz; ICO PIA-Tool Healthcare-Modul für Risiko-Bewertung.
3. Begründung der DSFA-Pflicht (oder Verzicht):
DSFA-Pflicht zwingend: (i) 8 von 9 WP-248-Kriterien erfüllt; (ii) Regelbeispiele Art. 35 Abs. 3 lit. a (systematische Bewertung mit Profiling) und lit. b (umfangreiche Art. 9 Verarbeitung) einschlägig; (iii) DSK-Blacklist und LfDI BY Liste direkt anwendbar; (iv) Aufmerksamkeits-Erwartung aufgrund Mass-Wirkung (~24 Mio Versicherte) hoch. Stellungnahme DSB Dr. Eichendorf vom 28.04.2026: vollumfänglicher DSFA-Pflicht zugestimmt; Empfehlung zusätzlich FRIA (Grundrechte-Folgenabschätzung) nach Art. 27 AI Act wegen Hochrisiko-KI-Klassifikation. Dokumentation in Verzeichnis Verarbeitungstätigkeiten Art. 30 mit Verweis auf DSFA-Aktenzeichen DSFA-2026-014. Aktualisierungs-Pflicht bei jeder wesentlichen Modell-Änderung oder Erweiterung des Versicherten-Pools; mindestens jährlich.
4. Anschluss AI Act 2026 — FRIA bei Hochrisiko-KI:
AI Act-Bewertung: System fällt unter Hochrisiko-KI nach Anhang III Nr. 5 lit. a AI Act (KI-Systeme zur Bewertung der Berechtigung zu Leistungen sozialer Sicherung) — Anwendbarkeit ab 02.08.2026 unmittelbar gegeben. FRIA (Art. 27 AI Act) erforderlich zusätzlich zur DSFA: betroffene Personengruppe ~24 Mio Versicherte, Anwendungs-Häufigkeit kontinuierlich, Risiko für Grundrechte (Diskriminierung wegen Vorerkrankungen, Stigma-Effekt Diabetes-Bezeichnung, Würde-Eingriff bei falscher Risiko-Klassifikation), Schaden-Wahrscheinlichkeit mittel (Algorithmische Bias-Risiken bei sozio-ökonomischem Status), Schaden-Schwere bei Falscheinstufung mittel-hoch (psychische Belastung Patient + Versicherungs-Folgen). Risiko-Eindämmung: Bias-Audit durch externes Institut (Frauenhofer IIS); Explainability (SHAP-Werte zu jedem Score); menschliche Letzt-Entscheidung Art. 22 Abs. 3 DSGVO (kein vollautomatisches "Programm-Ausschluss"); Widerspruchs-Recht. Konformitätserklärung + CE-Kennzeichnung in Vorbereitung, Eintragung EU-Datenbank Q4/2026. Behörden-Zusammenwirken LfDI BY + BfArM + BSI für KI-Sicherheits-Aspekte koordiniert.
Schwellenwertanalyse: Acht von neun WP-248-Kriterien sind erfüllt. (1) Scoring/Profiling: ja — Risiko-Bewertung nach individuellen Gesundheitsmerkmalen. (2) Automatisierte Entscheidung mit Rechtswirkung: ja — Aufnahme in Präventions-Programm folgt aus Score-Wert; rechtliche Auswirkung im sozialversicherungs-rechtlichen Verhältnis. (3) Systematische Überwachung: nein — keine Beobachtung öffentlicher Bereiche, jedoch Behandlungs-Daten kontinuierlich erfasst. (4) Sensitive Daten Art. 9: ja — Gesundheitsdaten umfangreich. (5) Großer Umfang: ja — ~24 Mio Versicherte, 8 Datenkategorien, deutschlandweite Reichweite, mehrjährige Speicherung. (6) Datensatz-Kombination: ja — ICD-Codes + Laborwerte + ATC-Codes + Krankenhaus-Aufenthalte + Lifestyle-Daten zu individuellen Profilen kombiniert. (7) Schutzbedürftige Personen: ja — Minderjährige und chronisch Erkrankte. (8) Neue Technologie: ja — KI/ML mit Ensemble-Modell, erstmaliger Einsatz in deutscher GKV-Landschaft auf diesem Umfang. (9) Vertrags-/Dienst-Verweigerung: nein — Verarbeitung ist Sozialleistung, kein Kopplungs-Geschäft. Bei 8 von 9 erfüllten Kriterien ist die DSFA-Pflicht zwingend. Zusätzlich Regelbeispiel Art. 35 Abs. 3 lit. a DSGVO (systematische und umfassende Bewertung mit Profiling) und lit. b (umfangreiche Verarbeitung Art. 9 Daten).
2. Abgleich DSK-Blacklist + BfDI-Liste + Landesbeauftragte:
DSK-Blacklist-Abgleich: Position "Datenverarbeitungen, die zur Bewertung der Kreditwürdigkeit oder allgemein der Solvenz oder zur Aussonderung von Personen aus einem definierten Personenkreis geeignet sind, soweit die Datenverarbeitung Profiling oder die Verarbeitung besonderer Datenkategorien beinhaltet" — entsprechend anwendbar auf KI-Risiko-Scoring. BfDI-Liste öffentlicher Bereich: nicht direkt einschlägig (GKV ist eigenständige Körperschaft öffentlichen Rechts). LfDI Bayern Liste (HealthScore mit Sitz München): Position "Großflächige Verarbeitung von Gesundheitsdaten in Verbindung mit automatisierter Entscheidung" — explizit DSFA-pflichtig. Whitelist: keine vorhanden. Ergebnis: DSFA zwingend nach DSK + LfDI BY; zusätzlich nach Regelbeispielen Art. 35 Abs. 3 DSGVO. Internationale Vergleichsmaterialien: CNIL PIA-Bericht "AI in Healthcare" 2024 als methodologische Referenz; ICO PIA-Tool Healthcare-Modul für Risiko-Bewertung.
3. Begründung der DSFA-Pflicht (oder Verzicht):
DSFA-Pflicht zwingend: (i) 8 von 9 WP-248-Kriterien erfüllt; (ii) Regelbeispiele Art. 35 Abs. 3 lit. a (systematische Bewertung mit Profiling) und lit. b (umfangreiche Art. 9 Verarbeitung) einschlägig; (iii) DSK-Blacklist und LfDI BY Liste direkt anwendbar; (iv) Aufmerksamkeits-Erwartung aufgrund Mass-Wirkung (~24 Mio Versicherte) hoch. Stellungnahme DSB Dr. Eichendorf vom 28.04.2026: vollumfänglicher DSFA-Pflicht zugestimmt; Empfehlung zusätzlich FRIA (Grundrechte-Folgenabschätzung) nach Art. 27 AI Act wegen Hochrisiko-KI-Klassifikation. Dokumentation in Verzeichnis Verarbeitungstätigkeiten Art. 30 mit Verweis auf DSFA-Aktenzeichen DSFA-2026-014. Aktualisierungs-Pflicht bei jeder wesentlichen Modell-Änderung oder Erweiterung des Versicherten-Pools; mindestens jährlich.
4. Anschluss AI Act 2026 — FRIA bei Hochrisiko-KI:
AI Act-Bewertung: System fällt unter Hochrisiko-KI nach Anhang III Nr. 5 lit. a AI Act (KI-Systeme zur Bewertung der Berechtigung zu Leistungen sozialer Sicherung) — Anwendbarkeit ab 02.08.2026 unmittelbar gegeben. FRIA (Art. 27 AI Act) erforderlich zusätzlich zur DSFA: betroffene Personengruppe ~24 Mio Versicherte, Anwendungs-Häufigkeit kontinuierlich, Risiko für Grundrechte (Diskriminierung wegen Vorerkrankungen, Stigma-Effekt Diabetes-Bezeichnung, Würde-Eingriff bei falscher Risiko-Klassifikation), Schaden-Wahrscheinlichkeit mittel (Algorithmische Bias-Risiken bei sozio-ökonomischem Status), Schaden-Schwere bei Falscheinstufung mittel-hoch (psychische Belastung Patient + Versicherungs-Folgen). Risiko-Eindämmung: Bias-Audit durch externes Institut (Frauenhofer IIS); Explainability (SHAP-Werte zu jedem Score); menschliche Letzt-Entscheidung Art. 22 Abs. 3 DSGVO (kein vollautomatisches "Programm-Ausschluss"); Widerspruchs-Recht. Konformitätserklärung + CE-Kennzeichnung in Vorbereitung, Eintragung EU-Datenbank Q4/2026. Behörden-Zusammenwirken LfDI BY + BfArM + BSI für KI-Sicherheits-Aspekte koordiniert.
4.
SYSTEMATISCHE BESCHREIBUNG DER VERARBEITUNG (ART. 35 ABS. 7 LIT. A DSGVO)
1. Zwecke und Verarbeitungsaktivitäten:
Primärer Zweck Präventionsleistung: Score-Werte zwischen 0-100 werden errechnet; ab Score 60 erfolgt Einladung zur Präventions-Beratung durch Krankenkassen-Beraterinnen; ab Score 75 ergänzend Empfehlung Hausarztkonsultation. Sekundärzweck Forschung: anonymisierte Aggregat-Statistiken für epidemiologische Auswertung in Kooperation mit DZD (Deutsches Zentrum für Diabetes-Forschung). Berechtigtes Interesse: gesetzlicher Auftrag § 25 SGB V (Präventionsleistungen Krankenversicherung) — bringt allgemeines öffentliches Gesundheitsinteresse. Profil Betroffene: durchschnittliches Alter 51 Jahre; 52 % weiblich; 12 % mit Migrationshintergrund; 2,1 Mio chronisch Erkrankte; 3,8 Mio Minderjährige. Verarbeitungs-Aktivitäten: Erhebung von Krankenkasse, Strukturierung im Data-Lake (Microsoft Fabric), Speicherung in pseudonymisierter Form, Modell-Training auf separatem Trainings-Cluster, Score-Berechnung in Echtzeit-Inferenz-API, Übermittlung Score-Wert + Erläuterung an Krankenkasse. Erhebungs-Quelle: gesetzliche Krankenversicherungen mit eingebundener Sozial-Versicherungs-Nummern-Pseudonymisierung. Speicher-Orte: Hauptsysteme bei DHC Dortmund (DE) mit ISO 27001 und C5-Testat; KI-Modell-Training bei IONOS Cloud Frankfurt (DE). Speicherdauer: Pseudonyme Trainingsdaten 5 Jahre nach Modell-Erstellung; Score-Ergebnisse 36 Monate beim Krankenversicherer; aggregierte Forschungs-Statistiken 10 Jahre nach DFG-Standard.
2. Datenflüsse — Erhebung, Verarbeitung, Übermittlung, Löschung:
Datenflüsse: (1) Eingangs-Kanal: SFTP-Pull aus Krankenversicherer-Systeme nächtlich um 02:00 Uhr; alle Datenflüsse TLS 1.3 + Mutual-Auth-Zertifikat; Krankenkassen-Daten ankommend bereits pseudonymisiert nach §§ 67 ff. SGB X. (2) Interne Verarbeitung: Microsoft Fabric Data Lake (Region Westeurope-DE); Verarbeitung in Spark-Cluster; KI-Modell-Training im separaten ML-Cluster mit Differential-Privacy-Layer; Score-API in Kubernetes-Cluster mit JWT-Auth. (3) Übermittlungen: Score-Werte + Erklärungen an einbindende Krankenkassen über REST-API mit Mutual-TLS; aggregierte Forschungs-Daten an DZD über separaten anonymisierten Datenraum. (4) Drittland: keine Drittland-Übermittlung — alle Verarbeitung in DE; KI-Modell wird lokal gehostet (Microsoft Azure Region Germany West Central); Microsoft als Auftragsverarbeiter mit EU-Datenresidenz-Garantie + EU Data Boundary. (5) Datenflüsse-Diagramm: separate Anlage 3 zur DSFA (visio-Diagramm). (6) Datenintegrität: Hash-Verfahren SHA-256 auf jeden Datensatz; vollständige Audit-Logs aller Modell-Vorhersagen 5 Jahre. (7) Lifecycle: Versichertendaten Erhebung → 24 Monate Speicherung Score-API → Anonymisierung für Forschung → 10 Jahre Aufbewahrung anonymisierte Aggregate.
3. Auftragsverarbeiter (Art. 28) und gemeinsam Verantwortliche (Art. 26):
Auftragsverarbeiter mit AVV Art. 28: (1) Hosting Microsoft Azure GmbH (DE) — AVV vom 18.03.2026 mit EU Data Boundary Add-on; Region Germany West Central; Sub-Auftragsverarbeiter-Liste auf trust.microsoft.com (Bsp. Equinix für Rechenzentrum-Hosting); Zertifizierungen ISO 27001, ISO 27018, SOC 2 Type II, BSI C5-Testat. (2) Identity und Access Management: Auth0 (Okta Inc.) für externe API-Zugriffe — AVV mit SCC + TIA; EU-Datenresidenz garantiert; Sub-Auftragsverarbeiter eu-resident only. (3) Monitoring und Observability: Grafana Labs (UK) — Angemessenheitsbeschluss UK 28.06.2021; Datenresidenz EU-Frankfurt. (4) Compliance-Audit: KPMG AG Wirtschaftsprüfungsgesellschaft (DE) für ISO 27001-Audit; AVV für Audit-Datenzugriff. (5) Cyber-Versicherung: Munich Re (DE) — Schaden-Meldung bei Datenpanne; AVV für Schaden-Informations-Verarbeitung. Sub-Auftragsverarbeiter-Genehmigung im AVV mit 30-Tage-Widerspruchs-Recht. Gemeinsam Verantwortliche Art. 26: keine (Krankenversicherungen agieren als eigenständige Verantwortliche; HealthScore ist Auftragsverarbeiter ihrer Daten + eigenständig Verantwortlicher für Modell-Entwicklung). Audit-Programm Auftragsverarbeiter: jährliches Audit der kritischen Auftragsverarbeiter (Microsoft Azure, Auth0) auf Basis SOC 2 Type II + Zertifikats-Updates + Penetration-Test-Berichten.
4. Drittland-Übermittlung Art. 44-49 DSGVO:
Keine Drittland-Übermittlung im Verarbeitungs-Kern. (1) Auth0 (Okta Inc., USA-Mutter) — Datenresidenz EU-Frankfurt mit EU Data Residency-Add-on; rechtlich wäre US-Datenzugriff möglich via CLOUD Act, daher SCC Modul 2 + TIA durchgeführt 03/2026; supplementary measures: Pseudonymisierung bereits am Krankenkassen-Eingang + Verschlüsselung mit EU-gehaltenen Schlüsseln. (2) Microsoft Azure — EU Data Boundary verhindert Datenflüsse außerhalb EU/EWR; in Ausnahmefällen für Support-Tickets minimaler Datenaustausch mit US-Support-Team möglich, dann SCC Modul 2 + Customer Lockbox aktiviert. (3) Grafana Labs (UK) — Angemessenheitsbeschluss UK ausreichend; keine zusätzliche SCC erforderlich. (4) Keine Verarbeitung im US-Hauptmarkt geplant; bei zukünftiger Erweiterung außerhalb EU vollständige neue DSFA. (5) TIA-Methodologie: für jedes Drittland Empfänger-Profil + Rechts-Lage Empfängerland + Möglichkeit gerichtlicher Rechtsschutz Betroffener + supplementary measures. (6) Dokumentation aller SCC und TIA in zentralem Register mit jährlicher Überprüfung.
Primärer Zweck Präventionsleistung: Score-Werte zwischen 0-100 werden errechnet; ab Score 60 erfolgt Einladung zur Präventions-Beratung durch Krankenkassen-Beraterinnen; ab Score 75 ergänzend Empfehlung Hausarztkonsultation. Sekundärzweck Forschung: anonymisierte Aggregat-Statistiken für epidemiologische Auswertung in Kooperation mit DZD (Deutsches Zentrum für Diabetes-Forschung). Berechtigtes Interesse: gesetzlicher Auftrag § 25 SGB V (Präventionsleistungen Krankenversicherung) — bringt allgemeines öffentliches Gesundheitsinteresse. Profil Betroffene: durchschnittliches Alter 51 Jahre; 52 % weiblich; 12 % mit Migrationshintergrund; 2,1 Mio chronisch Erkrankte; 3,8 Mio Minderjährige. Verarbeitungs-Aktivitäten: Erhebung von Krankenkasse, Strukturierung im Data-Lake (Microsoft Fabric), Speicherung in pseudonymisierter Form, Modell-Training auf separatem Trainings-Cluster, Score-Berechnung in Echtzeit-Inferenz-API, Übermittlung Score-Wert + Erläuterung an Krankenkasse. Erhebungs-Quelle: gesetzliche Krankenversicherungen mit eingebundener Sozial-Versicherungs-Nummern-Pseudonymisierung. Speicher-Orte: Hauptsysteme bei DHC Dortmund (DE) mit ISO 27001 und C5-Testat; KI-Modell-Training bei IONOS Cloud Frankfurt (DE). Speicherdauer: Pseudonyme Trainingsdaten 5 Jahre nach Modell-Erstellung; Score-Ergebnisse 36 Monate beim Krankenversicherer; aggregierte Forschungs-Statistiken 10 Jahre nach DFG-Standard.
2. Datenflüsse — Erhebung, Verarbeitung, Übermittlung, Löschung:
Datenflüsse: (1) Eingangs-Kanal: SFTP-Pull aus Krankenversicherer-Systeme nächtlich um 02:00 Uhr; alle Datenflüsse TLS 1.3 + Mutual-Auth-Zertifikat; Krankenkassen-Daten ankommend bereits pseudonymisiert nach §§ 67 ff. SGB X. (2) Interne Verarbeitung: Microsoft Fabric Data Lake (Region Westeurope-DE); Verarbeitung in Spark-Cluster; KI-Modell-Training im separaten ML-Cluster mit Differential-Privacy-Layer; Score-API in Kubernetes-Cluster mit JWT-Auth. (3) Übermittlungen: Score-Werte + Erklärungen an einbindende Krankenkassen über REST-API mit Mutual-TLS; aggregierte Forschungs-Daten an DZD über separaten anonymisierten Datenraum. (4) Drittland: keine Drittland-Übermittlung — alle Verarbeitung in DE; KI-Modell wird lokal gehostet (Microsoft Azure Region Germany West Central); Microsoft als Auftragsverarbeiter mit EU-Datenresidenz-Garantie + EU Data Boundary. (5) Datenflüsse-Diagramm: separate Anlage 3 zur DSFA (visio-Diagramm). (6) Datenintegrität: Hash-Verfahren SHA-256 auf jeden Datensatz; vollständige Audit-Logs aller Modell-Vorhersagen 5 Jahre. (7) Lifecycle: Versichertendaten Erhebung → 24 Monate Speicherung Score-API → Anonymisierung für Forschung → 10 Jahre Aufbewahrung anonymisierte Aggregate.
3. Auftragsverarbeiter (Art. 28) und gemeinsam Verantwortliche (Art. 26):
Auftragsverarbeiter mit AVV Art. 28: (1) Hosting Microsoft Azure GmbH (DE) — AVV vom 18.03.2026 mit EU Data Boundary Add-on; Region Germany West Central; Sub-Auftragsverarbeiter-Liste auf trust.microsoft.com (Bsp. Equinix für Rechenzentrum-Hosting); Zertifizierungen ISO 27001, ISO 27018, SOC 2 Type II, BSI C5-Testat. (2) Identity und Access Management: Auth0 (Okta Inc.) für externe API-Zugriffe — AVV mit SCC + TIA; EU-Datenresidenz garantiert; Sub-Auftragsverarbeiter eu-resident only. (3) Monitoring und Observability: Grafana Labs (UK) — Angemessenheitsbeschluss UK 28.06.2021; Datenresidenz EU-Frankfurt. (4) Compliance-Audit: KPMG AG Wirtschaftsprüfungsgesellschaft (DE) für ISO 27001-Audit; AVV für Audit-Datenzugriff. (5) Cyber-Versicherung: Munich Re (DE) — Schaden-Meldung bei Datenpanne; AVV für Schaden-Informations-Verarbeitung. Sub-Auftragsverarbeiter-Genehmigung im AVV mit 30-Tage-Widerspruchs-Recht. Gemeinsam Verantwortliche Art. 26: keine (Krankenversicherungen agieren als eigenständige Verantwortliche; HealthScore ist Auftragsverarbeiter ihrer Daten + eigenständig Verantwortlicher für Modell-Entwicklung). Audit-Programm Auftragsverarbeiter: jährliches Audit der kritischen Auftragsverarbeiter (Microsoft Azure, Auth0) auf Basis SOC 2 Type II + Zertifikats-Updates + Penetration-Test-Berichten.
4. Drittland-Übermittlung Art. 44-49 DSGVO:
Keine Drittland-Übermittlung im Verarbeitungs-Kern. (1) Auth0 (Okta Inc., USA-Mutter) — Datenresidenz EU-Frankfurt mit EU Data Residency-Add-on; rechtlich wäre US-Datenzugriff möglich via CLOUD Act, daher SCC Modul 2 + TIA durchgeführt 03/2026; supplementary measures: Pseudonymisierung bereits am Krankenkassen-Eingang + Verschlüsselung mit EU-gehaltenen Schlüsseln. (2) Microsoft Azure — EU Data Boundary verhindert Datenflüsse außerhalb EU/EWR; in Ausnahmefällen für Support-Tickets minimaler Datenaustausch mit US-Support-Team möglich, dann SCC Modul 2 + Customer Lockbox aktiviert. (3) Grafana Labs (UK) — Angemessenheitsbeschluss UK ausreichend; keine zusätzliche SCC erforderlich. (4) Keine Verarbeitung im US-Hauptmarkt geplant; bei zukünftiger Erweiterung außerhalb EU vollständige neue DSFA. (5) TIA-Methodologie: für jedes Drittland Empfänger-Profil + Rechts-Lage Empfängerland + Möglichkeit gerichtlicher Rechtsschutz Betroffener + supplementary measures. (6) Dokumentation aller SCC und TIA in zentralem Register mit jährlicher Überprüfung.
5.
NOTWENDIGKEITS- UND VERHÄLTNISMÄSSIGKEITS-PRÜFUNG (ART. 35 ABS. 7 LIT. B DSGVO)
1. Erforderlichkeit, Eignung, Angemessenheit:
Erforderlichkeit: KI-System ist geeignet, Diabetes-Risiko aus multifaktoriellen Indikatoren zu schätzen (validiert mit Bayer Health Studies n=84.000, Sensitivität 0,82, Spezifität 0,79). Erforderlichkeit i.e.S.: kein milderes Mittel gleichwertig — anonymisierte Bevölkerungs-Statistiken erlauben keine individuelle Prävention; standardisierte Fragebögen haben deutlich geringere Vorhersage-Genauigkeit (Bayes-Risk-Score Sensitivität 0,61). Verhältnismäßigkeit i.e.S.: Eingriffstiefe in Datenschutz versus Nutzen — gezielte Präventions-Beratung kann Diabetes-Inzidenz um geschätzt 12-18 % senken (DZD-Studie); volkswirtschaftlicher Nutzen ~890 Mio EUR/Jahr; individueller Eingriff durch pseudonymisierte Verarbeitung minimiert. Zweckbindung: Score-Wert ausschließlich für Präventions-Empfehlung; vertragliche Garantie Krankenversicherung ihn nicht für Beitragsstaffelung oder Leistungs-Verweigerung zu verwenden — § 12 SGB V Wirtschaftlichkeitsgebot erlaubt dies nicht. Datenminimierung: nur die für Modell-Prädiktion erforderlichen Datenkategorien; jährliches Review obsoleter Datenfelder. Speicherbegrenzung: 24 Monate Score-Werte, 5 Jahre Trainings-Daten, anonymisiert dauerhaft. Transparenz: Versicherte werden bei jährlicher Mitgliedschafts-Erneuerung über die Verarbeitung informiert mit Widerspruchsrecht; separater Informations-Brief bei Score ≥ 60 mit Erklärung des Algorithms (SHAP-Werte).
2. Prüfung milderer Mittel (Anonymisierung, Pseudonymisierung, Aggregation):
Prüfung milderer Mittel: (i) Anonymisierung: Zweck-Vereitelung — Präventions-Empfehlung erfordert individuelle Identifikation; aggregierte Bevölkerungs-Statistiken bieten keine personalisierte Beratung. Anonymisierte Forschungs-Auswertung jedoch zusätzlich umgesetzt für DZD. (ii) Pseudonymisierung: bereits implementiert — Krankenkassen-Sozialversicherungs-Nummer wird durch krypto-Pseudonym ersetzt vor Übermittlung an HealthScore; Re-Identifikation nur durch berechtigte Krankenkassen-Mitarbeitende. (iii) Aggregation: Aggregations-Level für Forschungs-Zweck umgesetzt; für individuelle Empfehlung nicht möglich. (iv) Lokale Verarbeitung: Krankenkassen wollten zentral aggregierte Auswertung, lokale Verarbeitung würde Effizienz beeinträchtigen und Wartungs-Aufwand erhöhen — Microsoft Azure Germany ist datenschutz-äquivalent. (v) Datenminimierung im Erhebungsumfang: ursprüngliches Modell hatte 24 Features; nach Datensparsamkeits-Review auf 14 Features reduziert ohne signifikante Genauigkeits-Verluste. (vi) Opt-In: Versicherte können der Verarbeitung widersprechen (Widerspruchsrecht Art. 21 DSGVO); bei Widerspruch erfolgt keine Score-Berechnung mehr. (vii) Reduktion Empfänger: nur die einbindende Krankenkasse erhält Score-Werte; Forschungs-Empfänger DZD nur in anonymisierter Form. (viii) Reduktion Speicherdauer: Score-Werte 24 Monate statt ursprünglich 60 Monate, da Score nach 24 Monaten klinisch nicht mehr aktuell. (ix) Synthetic Data: für Initial-Training Anonymisierungs-Algorithmus Synthetic Data Vault verwendet, bevor real-Daten hinzugefügt wurden — reduziert Trainings-Datensatz-Erfordernis um ~30 %. (x) Differential Privacy: Modell-Update-Mechanismus mit DP-Garantie ε=0,8 für künftige Modell-Updates. Begründung Nicht-Eliminierung: trotz Maßnahmen bleibt individuelle Verarbeitung erforderlich, da personalisierte Präventions-Empfehlung Zweck.
3. Datensparsamkeit und Privacy by Design / Default (Art. 25):
Privacy by Design / Default umgesetzt: (1) System-Architektur von Anfang an mit Datenschutz-Anforderungen entworfen — Pseudonymisierung am Eingangs-Kanal, separate Trainings- und Inferenz-Cluster, Differential Privacy im ML-Pipeline. (2) Privacy by Default: Voreinstellung Krankenkassen-Mitarbeitende sehen nur Score-Bucket (low/medium/high), nicht den numerischen Score; bewusster Klick auf "Details anzeigen" erforderlich. (3) Datenminimierung Datenfeld-Design: ursprünglich 24 Features → nach Review 14 Features beibehalten; Geschlecht binär statt detailliert; Alter in 5-Jahres-Cluster; PLZ 3-stellig statt 5-stellig. (4) Granularität: BMI-Bereiche statt exakte Werte; Diagnose-Datum in Monaten statt Tagen; Verschreibungen ATC-Code statt Handelsnamen. (5) Need-to-know: Krankenkassen-Berater sehen nur Score; Modell-Entwickler sehen nur Trainings-Sample; CTO + DSB haben Schlüssel-Zugang für Re-Identifikation in Spezialfällen (z.B. Auskunfts-Anfrage Betroffener Art. 15). (6) Automatisierte Löschung: 24-Monate-Lösch-Job läuft täglich; Lösch-Protokoll für jeden Datensatz; getestete Wiederherstellungs-Sperre. (7) Anonymisierung bei Auswertung: Reporting-Dashboards nutzen ausschließlich anonymisierte Aggregate. (8) Daten-Inventar: vierteljährliches Review aller Datenfelder mit DSB; Bereinigung obsoleter Felder. (9) Bewertung neuer Datenfelder: bei jeder Modell-Erweiterung DSFA-Update mit Erforderlichkeits-Begründung.
4. Speicherbegrenzung und Lösch-Konzept (Art. 5 Abs. 1 lit. e):
Lösch-Konzept: (1) Pseudonyme Trainings-Daten: 5 Jahre nach Erhebung (entsprechend Modell-Lifecycle); anschließend Anonymisierung für historische Vergleichbarkeit Aggregat-Statistiken. (2) Score-Ergebnisse bei Krankenversicherer: 36 Monate Speicherung für Verlaufs-Beobachtung Präventions-Wirkung; danach Lösch-Anweisung an Krankenversicherer mit Lösch-Bestätigung. (3) Modell-Versionen: 10 Jahre für Audit-Nachvollziehbarkeit (jeder eingesetzte Score muss bis Modell zurückgeführt werden können). (4) Audit-Logs: 5 Jahre für DSGVO-Nachweispflicht; Sicherheits-Logs 30 Tage; Zugriffs-Logs 90 Tage. (5) Backups: 90 Tage Online-Backup, 5 Jahre Offline-Backup (verschlüsselt) für Disaster Recovery; nach 5 Jahren sichere Vernichtung. (6) Forschungs-Daten an DZD: in anonymisierter Form 10 Jahre nach DFG-Standard. (7) Beendigung Geschäftsbeziehung: bei Auflösung der Krankenkassen-Kooperation alle ihre Versicherten-Daten innerhalb 90 Tagen gelöscht; Lösch-Protokoll bestätigt. (8) Technische Durchsetzung: automatisierte Lösch-Jobs mit Health-Check; manueller Quartals-Review durch DSB; Lösch-Bestätigung dokumentiert. (9) Aufbewahrungs-Hold bei Verfahren: bei Auskunfts-Anfrage Art. 15, Datenpanne-Meldung oder zivilrechtlichem Rechtsstreit Hold aktiviert mit Dokumentation. (10) Lösch-Konzept-Dokument: separates Lösch-Konzept Version 2.4 als Anlage 6 zur DSFA mit dem detailliertem Lifecycle je Datenkategorie.
Erforderlichkeit: KI-System ist geeignet, Diabetes-Risiko aus multifaktoriellen Indikatoren zu schätzen (validiert mit Bayer Health Studies n=84.000, Sensitivität 0,82, Spezifität 0,79). Erforderlichkeit i.e.S.: kein milderes Mittel gleichwertig — anonymisierte Bevölkerungs-Statistiken erlauben keine individuelle Prävention; standardisierte Fragebögen haben deutlich geringere Vorhersage-Genauigkeit (Bayes-Risk-Score Sensitivität 0,61). Verhältnismäßigkeit i.e.S.: Eingriffstiefe in Datenschutz versus Nutzen — gezielte Präventions-Beratung kann Diabetes-Inzidenz um geschätzt 12-18 % senken (DZD-Studie); volkswirtschaftlicher Nutzen ~890 Mio EUR/Jahr; individueller Eingriff durch pseudonymisierte Verarbeitung minimiert. Zweckbindung: Score-Wert ausschließlich für Präventions-Empfehlung; vertragliche Garantie Krankenversicherung ihn nicht für Beitragsstaffelung oder Leistungs-Verweigerung zu verwenden — § 12 SGB V Wirtschaftlichkeitsgebot erlaubt dies nicht. Datenminimierung: nur die für Modell-Prädiktion erforderlichen Datenkategorien; jährliches Review obsoleter Datenfelder. Speicherbegrenzung: 24 Monate Score-Werte, 5 Jahre Trainings-Daten, anonymisiert dauerhaft. Transparenz: Versicherte werden bei jährlicher Mitgliedschafts-Erneuerung über die Verarbeitung informiert mit Widerspruchsrecht; separater Informations-Brief bei Score ≥ 60 mit Erklärung des Algorithms (SHAP-Werte).
2. Prüfung milderer Mittel (Anonymisierung, Pseudonymisierung, Aggregation):
Prüfung milderer Mittel: (i) Anonymisierung: Zweck-Vereitelung — Präventions-Empfehlung erfordert individuelle Identifikation; aggregierte Bevölkerungs-Statistiken bieten keine personalisierte Beratung. Anonymisierte Forschungs-Auswertung jedoch zusätzlich umgesetzt für DZD. (ii) Pseudonymisierung: bereits implementiert — Krankenkassen-Sozialversicherungs-Nummer wird durch krypto-Pseudonym ersetzt vor Übermittlung an HealthScore; Re-Identifikation nur durch berechtigte Krankenkassen-Mitarbeitende. (iii) Aggregation: Aggregations-Level für Forschungs-Zweck umgesetzt; für individuelle Empfehlung nicht möglich. (iv) Lokale Verarbeitung: Krankenkassen wollten zentral aggregierte Auswertung, lokale Verarbeitung würde Effizienz beeinträchtigen und Wartungs-Aufwand erhöhen — Microsoft Azure Germany ist datenschutz-äquivalent. (v) Datenminimierung im Erhebungsumfang: ursprüngliches Modell hatte 24 Features; nach Datensparsamkeits-Review auf 14 Features reduziert ohne signifikante Genauigkeits-Verluste. (vi) Opt-In: Versicherte können der Verarbeitung widersprechen (Widerspruchsrecht Art. 21 DSGVO); bei Widerspruch erfolgt keine Score-Berechnung mehr. (vii) Reduktion Empfänger: nur die einbindende Krankenkasse erhält Score-Werte; Forschungs-Empfänger DZD nur in anonymisierter Form. (viii) Reduktion Speicherdauer: Score-Werte 24 Monate statt ursprünglich 60 Monate, da Score nach 24 Monaten klinisch nicht mehr aktuell. (ix) Synthetic Data: für Initial-Training Anonymisierungs-Algorithmus Synthetic Data Vault verwendet, bevor real-Daten hinzugefügt wurden — reduziert Trainings-Datensatz-Erfordernis um ~30 %. (x) Differential Privacy: Modell-Update-Mechanismus mit DP-Garantie ε=0,8 für künftige Modell-Updates. Begründung Nicht-Eliminierung: trotz Maßnahmen bleibt individuelle Verarbeitung erforderlich, da personalisierte Präventions-Empfehlung Zweck.
3. Datensparsamkeit und Privacy by Design / Default (Art. 25):
Privacy by Design / Default umgesetzt: (1) System-Architektur von Anfang an mit Datenschutz-Anforderungen entworfen — Pseudonymisierung am Eingangs-Kanal, separate Trainings- und Inferenz-Cluster, Differential Privacy im ML-Pipeline. (2) Privacy by Default: Voreinstellung Krankenkassen-Mitarbeitende sehen nur Score-Bucket (low/medium/high), nicht den numerischen Score; bewusster Klick auf "Details anzeigen" erforderlich. (3) Datenminimierung Datenfeld-Design: ursprünglich 24 Features → nach Review 14 Features beibehalten; Geschlecht binär statt detailliert; Alter in 5-Jahres-Cluster; PLZ 3-stellig statt 5-stellig. (4) Granularität: BMI-Bereiche statt exakte Werte; Diagnose-Datum in Monaten statt Tagen; Verschreibungen ATC-Code statt Handelsnamen. (5) Need-to-know: Krankenkassen-Berater sehen nur Score; Modell-Entwickler sehen nur Trainings-Sample; CTO + DSB haben Schlüssel-Zugang für Re-Identifikation in Spezialfällen (z.B. Auskunfts-Anfrage Betroffener Art. 15). (6) Automatisierte Löschung: 24-Monate-Lösch-Job läuft täglich; Lösch-Protokoll für jeden Datensatz; getestete Wiederherstellungs-Sperre. (7) Anonymisierung bei Auswertung: Reporting-Dashboards nutzen ausschließlich anonymisierte Aggregate. (8) Daten-Inventar: vierteljährliches Review aller Datenfelder mit DSB; Bereinigung obsoleter Felder. (9) Bewertung neuer Datenfelder: bei jeder Modell-Erweiterung DSFA-Update mit Erforderlichkeits-Begründung.
4. Speicherbegrenzung und Lösch-Konzept (Art. 5 Abs. 1 lit. e):
Lösch-Konzept: (1) Pseudonyme Trainings-Daten: 5 Jahre nach Erhebung (entsprechend Modell-Lifecycle); anschließend Anonymisierung für historische Vergleichbarkeit Aggregat-Statistiken. (2) Score-Ergebnisse bei Krankenversicherer: 36 Monate Speicherung für Verlaufs-Beobachtung Präventions-Wirkung; danach Lösch-Anweisung an Krankenversicherer mit Lösch-Bestätigung. (3) Modell-Versionen: 10 Jahre für Audit-Nachvollziehbarkeit (jeder eingesetzte Score muss bis Modell zurückgeführt werden können). (4) Audit-Logs: 5 Jahre für DSGVO-Nachweispflicht; Sicherheits-Logs 30 Tage; Zugriffs-Logs 90 Tage. (5) Backups: 90 Tage Online-Backup, 5 Jahre Offline-Backup (verschlüsselt) für Disaster Recovery; nach 5 Jahren sichere Vernichtung. (6) Forschungs-Daten an DZD: in anonymisierter Form 10 Jahre nach DFG-Standard. (7) Beendigung Geschäftsbeziehung: bei Auflösung der Krankenkassen-Kooperation alle ihre Versicherten-Daten innerhalb 90 Tagen gelöscht; Lösch-Protokoll bestätigt. (8) Technische Durchsetzung: automatisierte Lösch-Jobs mit Health-Check; manueller Quartals-Review durch DSB; Lösch-Bestätigung dokumentiert. (9) Aufbewahrungs-Hold bei Verfahren: bei Auskunfts-Anfrage Art. 15, Datenpanne-Meldung oder zivilrechtlichem Rechtsstreit Hold aktiviert mit Dokumentation. (10) Lösch-Konzept-Dokument: separates Lösch-Konzept Version 2.4 als Anlage 6 zur DSFA mit dem detailliertem Lifecycle je Datenkategorie.
6.
RISIKOBEWERTUNG, SCHUTZMASSNAHMEN UND KONSULTATION (ART. 35 ABS. 7 LIT. C, D + ART. 36 DSGVO)
1. Risikobewertung für Rechte und Freiheiten Betroffener:
Risikobewertung: (1) Vertraulichkeits-Risiken — Datenleck pseudonymer Gesundheitsdaten mit Re-Identifikations-Risiko durch Verknüpfung mit weiteren Datensätzen; Schwere "hoch" (Gesundheits-Stigma Diabetes), Wahrscheinlichkeit "selten" mit umfassenden Schutzmaßnahmen → Risiko "mittel". (2) Integritäts-Risiken — gezielte Manipulation der Modell-Vorhersagen für falsche Score-Werte; Schwere "hoch" (medizinische Fehl-Empfehlung), Wahrscheinlichkeit "sehr selten" durch Hash-Verifikation und Audit-Logs → Risiko "gering". (3) Verfügbarkeits-Risiken — Ransomware oder Hardware-Ausfall verhindert Score-Berechnung; Schwere "mittel" (Präventions-Programm verzögert sich), Wahrscheinlichkeit "selten" durch HA-Architektur und Backup-Konzept → Risiko "gering". (4) Risiken automatisierter Entscheidung Art. 22 — Algorithmische Bias gegen sozio-ökonomisch Benachteiligte (bei höherer Diabetes-Inzidenz, aber geringerem Präventions-Zugang) → Schwere "hoch" (Diskriminierung), Wahrscheinlichkeit "wahrscheinlich" ohne Bias-Auditing → Risiko "hoch" — adressiert durch externes Bias-Audit Frauenhofer IIS quartalsweise. (5) Risiken sensitive Daten Art. 9 — Stigma-Effekt bei Diabetes-Risiko-Mitteilung; Schwere "mittel-hoch", Wahrscheinlichkeit "wahrscheinlich" bei direkter Kommunikation → adressiert durch sensitive Kommunikations-Schulung Krankenkassen-Mitarbeiter und freiwillige Beratungs-Annahme. (6) Risiken schutzbedürftige Gruppen — Minderjährige (3,8 Mio) ohne eigene Einwilligungsfähigkeit, mitversichert durch Eltern; chronisch Erkrankte mit Mehrfach-Diagnose-Risiko-Konkurrenz; adressiert durch erweiterte Eltern-Information und Multi-Diagnose-Begleit-Hinweis. (7) Mass-Wirkungs-Risiko — bei 24 Mio Betroffenen Sammelklage-Risiko bei systematischen Verstößen; addressiert durch externes Audit + transparente Kommunikation + Schadensersatz-Versicherung.
2. Technisch-organisatorische Schutzmaßnahmen (TOMs):
Technisch-organisatorische Maßnahmen umfassend implementiert: (a) Verschlüsselung Übertragung TLS 1.3 mit perfect forward secrecy für alle Datenflüsse; (b) Verschlüsselung im Ruhezustand AES-256 mit EU-Schlüssel-Management Service (Microsoft Azure Key Vault Region Germany); (c) Pseudonymisierung am Eingangs-Kanal mit krypto-getrennten Schlüsseln; Re-Identifikation 4-Augen-Prinzip; (d) Zugriffs-Kontrolle RBAC: Krankenkassen-Berater (Score-Bucket), Modell-Entwickler (Trainings-Sample), CTO + DSB (vollständige Berechtigung); Mehrfaktor-Authentifizierung Pflicht; (e) Netzwerk-Segmentierung: Trainings-Cluster und Inferenz-API in separaten VNets mit Service Endpoints; (f) Endpoint EDR Microsoft Defender for Endpoint auf allen Arbeitsplätzen; (g) SIEM Microsoft Sentinel mit 24/7-Monitoring durch Stein und Partner Managed Detection and Response; (h) Backup-Konzept 3-2-1 mit täglichen verschlüsselten Backups, 30-Tage Retention online, 5 Jahre offline air-gapped; (i) Patch-Management Pipeline mit ≤ 7 Tage für sicherheitskritisch; (j) Mitarbeiter-Schulungen jährlich Datenschutz + IT-Sicherheit + Bias-Sensibilisierung; vierteljährliche Phishing-Simulationen; (k) Lösch-Konzept dokumentiert (siehe oben); (l) Incident-Response-Plan mit 72-Stunden-Frist Art. 33 DSGVO; Krisenstab-Aktivierung Krisenstab in 2 Stunden; (m) Zertifizierungen: ISO 27001 (in Vorbereitung, Audit 09/2026 SGS-TÜV), BSI IT-Grundschutz, BSI C5-Cloud-Compliance; (n) Betroffenenrechte-Verfahren: vollständige Workflows für Art. 15-21 mit 1-Monat-Reaktionsfrist und 4-Wochen-Verlängerungs-Option; (o) Externes Bias-Audit Frauenhofer IIS quartalsweise; Explainability via SHAP-Werte zu jedem Score; (p) Privacy-Enhancing Technologies: Differential Privacy ε=0,8 in Modell-Updates; Synthetic Data für Erstklassen-Training; (q) Cyber-Versicherung Munich Re Deckung 8 Mio EUR.
3. Restrisiko-Bewertung nach Schutzmaßnahmen:
Restrisiko-Bewertung nach Schutzmaßnahmen: (1) Vertraulichkeit Datenleck mit Re-Identifikation — von "mittel" auf "gering" reduziert durch Pseudonymisierung + Verschlüsselung; akzeptabel mit jährlicher Audit-Überprüfung. (2) Integrität Manipulation — von "gering" auf "sehr gering" reduziert; akzeptabel. (3) Verfügbarkeit — von "gering" auf "gering" gleich; akzeptabel mit HA-Architektur. (4) Algorithmische Bias — von "hoch" auf "mittel" reduziert durch quartalsweise Audit + Explainability + freiwillige Beratungs-Annahme; verbleibendes Restrisiko ist Indikator für Art. 36 Konsultation. (5) Stigma-Effekt — von "mittel-hoch" auf "mittel" reduziert durch sensitive Kommunikation; akzeptabel mit Monitoring Beschwerden Krankenkassen-Beraterinnen. (6) Schutzbedürftige Gruppen Minderjährige — von "mittel-hoch" auf "gering" reduziert durch ausführliche Eltern-Information + Widerspruchsrecht der Eltern; akzeptabel. (7) Mass-Wirkung-Sammelklage — von "mittel-hoch" auf "mittel" reduziert durch Transparenz und Schadensersatz-Versicherung; akzeptabel mit Reputations-Monitoring. Verbleibende Schwachstellen ehrlich identifiziert: (i) Insider-Bedrohung (CTO + DSB haben Schlüssel-Zugang zur Re-Identifikation) — 4-Augen-Prinzip und Audit-Logs als Minderung; (ii) Phishing-Erfolg trotz Schulung möglich — EDR + MFA als Auffang-Linie; (iii) Modell-Drift mit unbeobachteten Verzerrungen — quartalsweise Re-Validierung. Akzeptables Restrisiko: Interessen-Abwägung gesellschaftlicher Nutzen (Diabetes-Prävention für 24 Mio Versicherte) versus individuelle Eingriffstiefe — Nutzen überwiegt; ehrlich identifizierte Restrisiken werden aktiv überwacht. Monitoring-Konzept: quartalsweiser Sicherheits-Bericht an Geschäftsführung mit 14 KPIs; Bias-Audit-Berichte Frauenhofer IIS halbjährlich. Hochrisiko-Indikator für Art. 36: trotz Maßnahmen verbleibt Restrisiko bei algorithmischer Bias "mittel" — Konsultations-Pflicht zwingend.
4. Konsultation Aufsichtsbehörde (Art. 36) und Aktualisierung (Art. 35 Abs. 11):
Konsultation Aufsichtsbehörde Art. 36 DSGVO eingeleitet: (1) Pflicht-Begründung — Restrisiko algorithmischer Bias bleibt "mittel" trotz quartalsweiser externer Audits; AI Act Hochrisiko-KI-System fällt zusätzlich unter besondere Aufmerksamkeits-Erwartung; Mass-Wirkung mit ~24 Mio Versicherten. (2) Zuständige Behörde — Bayerischer Landesbeauftragter für Datenschutz (Sitz München) für DSGVO-Aspekte; ergänzend BfDI für gesetzliche Krankenversicherung (Sozialversicherungs-Aspekte nach § 35a SGB I). Bei grenzüberschreitender Verarbeitung wäre LfDI BY federführend für EU-Konsultation. (3) Mindestinhalte Konsultations-Antrag eingereicht 02.05.2026: Verantwortlichkeitsverteilung HealthScore + Krankenversicherungen; Zwecke und Mittel Diabetes-Risiko-Scoring; Schutzmaßnahmen (siehe oben); Kontaktdaten DSB Dr. Eichendorf; vollständige DSFA-Dokumentation (45 Seiten); FRIA nach AI Act zusätzlich (28 Seiten); Anhänge Bias-Audit Frauenhofer-Berichte; SHAP-Erklärbarkeits-Beispiele. (4) Antwortfrist 8 Wochen — Antwort zu erwarten bis 27.06.2026; bei Komplexität verlängerbar um 6 Wochen. (5) Mögliche Behörden-Reaktionen erwartet: schriftlicher Rat zur weiteren Bias-Eindämmung (zusätzliche Quoten-Garantien); Anordnung erweiterter Transparenz-Pflicht (öffentliche Modell-Karte); Anordnung zusätzlicher Widerspruchs-Erleichterung. Bei Untersagung der Verarbeitung Geschäftsmodell betroffen — vorab erweiterte Stellungnahme vorbereitet. (6) Vor Beginn der Verarbeitung — produktiver Roll-out erst nach Abschluss Konsultation + Konformitätserklärung CE-Kennzeichnung AI Act geplant Q3/2026. (7) Konsultations-Verfahren — schriftlicher Antrag eingereicht; ergänzendes Gespräch beantragt; ggf. öffentliche Beteiligung nach Anhörungs-Verfahren. (8) Veröffentlichung anonymisiert wird LfDI BY als Präzedenz erwartet. Regelmäßige Aktualisierung der DSFA: (i) bei jedem Modell-Update mit > 2 % Änderung der Vorhersage-Performance; (ii) bei neuer Datenkategorie; (iii) bei neuen technischen oder rechtlichen Standards (KI-VO-Umsetzung, EuGH-Rechtsprechung); (iv) mindestens jährlich mit Stellungnahme DSB; (v) nach jeder Datenpanne; (vi) nach Konsultations-Antwort Anpassungen umgesetzt und dokumentiert.
Risikobewertung: (1) Vertraulichkeits-Risiken — Datenleck pseudonymer Gesundheitsdaten mit Re-Identifikations-Risiko durch Verknüpfung mit weiteren Datensätzen; Schwere "hoch" (Gesundheits-Stigma Diabetes), Wahrscheinlichkeit "selten" mit umfassenden Schutzmaßnahmen → Risiko "mittel". (2) Integritäts-Risiken — gezielte Manipulation der Modell-Vorhersagen für falsche Score-Werte; Schwere "hoch" (medizinische Fehl-Empfehlung), Wahrscheinlichkeit "sehr selten" durch Hash-Verifikation und Audit-Logs → Risiko "gering". (3) Verfügbarkeits-Risiken — Ransomware oder Hardware-Ausfall verhindert Score-Berechnung; Schwere "mittel" (Präventions-Programm verzögert sich), Wahrscheinlichkeit "selten" durch HA-Architektur und Backup-Konzept → Risiko "gering". (4) Risiken automatisierter Entscheidung Art. 22 — Algorithmische Bias gegen sozio-ökonomisch Benachteiligte (bei höherer Diabetes-Inzidenz, aber geringerem Präventions-Zugang) → Schwere "hoch" (Diskriminierung), Wahrscheinlichkeit "wahrscheinlich" ohne Bias-Auditing → Risiko "hoch" — adressiert durch externes Bias-Audit Frauenhofer IIS quartalsweise. (5) Risiken sensitive Daten Art. 9 — Stigma-Effekt bei Diabetes-Risiko-Mitteilung; Schwere "mittel-hoch", Wahrscheinlichkeit "wahrscheinlich" bei direkter Kommunikation → adressiert durch sensitive Kommunikations-Schulung Krankenkassen-Mitarbeiter und freiwillige Beratungs-Annahme. (6) Risiken schutzbedürftige Gruppen — Minderjährige (3,8 Mio) ohne eigene Einwilligungsfähigkeit, mitversichert durch Eltern; chronisch Erkrankte mit Mehrfach-Diagnose-Risiko-Konkurrenz; adressiert durch erweiterte Eltern-Information und Multi-Diagnose-Begleit-Hinweis. (7) Mass-Wirkungs-Risiko — bei 24 Mio Betroffenen Sammelklage-Risiko bei systematischen Verstößen; addressiert durch externes Audit + transparente Kommunikation + Schadensersatz-Versicherung.
2. Technisch-organisatorische Schutzmaßnahmen (TOMs):
Technisch-organisatorische Maßnahmen umfassend implementiert: (a) Verschlüsselung Übertragung TLS 1.3 mit perfect forward secrecy für alle Datenflüsse; (b) Verschlüsselung im Ruhezustand AES-256 mit EU-Schlüssel-Management Service (Microsoft Azure Key Vault Region Germany); (c) Pseudonymisierung am Eingangs-Kanal mit krypto-getrennten Schlüsseln; Re-Identifikation 4-Augen-Prinzip; (d) Zugriffs-Kontrolle RBAC: Krankenkassen-Berater (Score-Bucket), Modell-Entwickler (Trainings-Sample), CTO + DSB (vollständige Berechtigung); Mehrfaktor-Authentifizierung Pflicht; (e) Netzwerk-Segmentierung: Trainings-Cluster und Inferenz-API in separaten VNets mit Service Endpoints; (f) Endpoint EDR Microsoft Defender for Endpoint auf allen Arbeitsplätzen; (g) SIEM Microsoft Sentinel mit 24/7-Monitoring durch Stein und Partner Managed Detection and Response; (h) Backup-Konzept 3-2-1 mit täglichen verschlüsselten Backups, 30-Tage Retention online, 5 Jahre offline air-gapped; (i) Patch-Management Pipeline mit ≤ 7 Tage für sicherheitskritisch; (j) Mitarbeiter-Schulungen jährlich Datenschutz + IT-Sicherheit + Bias-Sensibilisierung; vierteljährliche Phishing-Simulationen; (k) Lösch-Konzept dokumentiert (siehe oben); (l) Incident-Response-Plan mit 72-Stunden-Frist Art. 33 DSGVO; Krisenstab-Aktivierung Krisenstab in 2 Stunden; (m) Zertifizierungen: ISO 27001 (in Vorbereitung, Audit 09/2026 SGS-TÜV), BSI IT-Grundschutz, BSI C5-Cloud-Compliance; (n) Betroffenenrechte-Verfahren: vollständige Workflows für Art. 15-21 mit 1-Monat-Reaktionsfrist und 4-Wochen-Verlängerungs-Option; (o) Externes Bias-Audit Frauenhofer IIS quartalsweise; Explainability via SHAP-Werte zu jedem Score; (p) Privacy-Enhancing Technologies: Differential Privacy ε=0,8 in Modell-Updates; Synthetic Data für Erstklassen-Training; (q) Cyber-Versicherung Munich Re Deckung 8 Mio EUR.
3. Restrisiko-Bewertung nach Schutzmaßnahmen:
Restrisiko-Bewertung nach Schutzmaßnahmen: (1) Vertraulichkeit Datenleck mit Re-Identifikation — von "mittel" auf "gering" reduziert durch Pseudonymisierung + Verschlüsselung; akzeptabel mit jährlicher Audit-Überprüfung. (2) Integrität Manipulation — von "gering" auf "sehr gering" reduziert; akzeptabel. (3) Verfügbarkeit — von "gering" auf "gering" gleich; akzeptabel mit HA-Architektur. (4) Algorithmische Bias — von "hoch" auf "mittel" reduziert durch quartalsweise Audit + Explainability + freiwillige Beratungs-Annahme; verbleibendes Restrisiko ist Indikator für Art. 36 Konsultation. (5) Stigma-Effekt — von "mittel-hoch" auf "mittel" reduziert durch sensitive Kommunikation; akzeptabel mit Monitoring Beschwerden Krankenkassen-Beraterinnen. (6) Schutzbedürftige Gruppen Minderjährige — von "mittel-hoch" auf "gering" reduziert durch ausführliche Eltern-Information + Widerspruchsrecht der Eltern; akzeptabel. (7) Mass-Wirkung-Sammelklage — von "mittel-hoch" auf "mittel" reduziert durch Transparenz und Schadensersatz-Versicherung; akzeptabel mit Reputations-Monitoring. Verbleibende Schwachstellen ehrlich identifiziert: (i) Insider-Bedrohung (CTO + DSB haben Schlüssel-Zugang zur Re-Identifikation) — 4-Augen-Prinzip und Audit-Logs als Minderung; (ii) Phishing-Erfolg trotz Schulung möglich — EDR + MFA als Auffang-Linie; (iii) Modell-Drift mit unbeobachteten Verzerrungen — quartalsweise Re-Validierung. Akzeptables Restrisiko: Interessen-Abwägung gesellschaftlicher Nutzen (Diabetes-Prävention für 24 Mio Versicherte) versus individuelle Eingriffstiefe — Nutzen überwiegt; ehrlich identifizierte Restrisiken werden aktiv überwacht. Monitoring-Konzept: quartalsweiser Sicherheits-Bericht an Geschäftsführung mit 14 KPIs; Bias-Audit-Berichte Frauenhofer IIS halbjährlich. Hochrisiko-Indikator für Art. 36: trotz Maßnahmen verbleibt Restrisiko bei algorithmischer Bias "mittel" — Konsultations-Pflicht zwingend.
4. Konsultation Aufsichtsbehörde (Art. 36) und Aktualisierung (Art. 35 Abs. 11):
Konsultation Aufsichtsbehörde Art. 36 DSGVO eingeleitet: (1) Pflicht-Begründung — Restrisiko algorithmischer Bias bleibt "mittel" trotz quartalsweiser externer Audits; AI Act Hochrisiko-KI-System fällt zusätzlich unter besondere Aufmerksamkeits-Erwartung; Mass-Wirkung mit ~24 Mio Versicherten. (2) Zuständige Behörde — Bayerischer Landesbeauftragter für Datenschutz (Sitz München) für DSGVO-Aspekte; ergänzend BfDI für gesetzliche Krankenversicherung (Sozialversicherungs-Aspekte nach § 35a SGB I). Bei grenzüberschreitender Verarbeitung wäre LfDI BY federführend für EU-Konsultation. (3) Mindestinhalte Konsultations-Antrag eingereicht 02.05.2026: Verantwortlichkeitsverteilung HealthScore + Krankenversicherungen; Zwecke und Mittel Diabetes-Risiko-Scoring; Schutzmaßnahmen (siehe oben); Kontaktdaten DSB Dr. Eichendorf; vollständige DSFA-Dokumentation (45 Seiten); FRIA nach AI Act zusätzlich (28 Seiten); Anhänge Bias-Audit Frauenhofer-Berichte; SHAP-Erklärbarkeits-Beispiele. (4) Antwortfrist 8 Wochen — Antwort zu erwarten bis 27.06.2026; bei Komplexität verlängerbar um 6 Wochen. (5) Mögliche Behörden-Reaktionen erwartet: schriftlicher Rat zur weiteren Bias-Eindämmung (zusätzliche Quoten-Garantien); Anordnung erweiterter Transparenz-Pflicht (öffentliche Modell-Karte); Anordnung zusätzlicher Widerspruchs-Erleichterung. Bei Untersagung der Verarbeitung Geschäftsmodell betroffen — vorab erweiterte Stellungnahme vorbereitet. (6) Vor Beginn der Verarbeitung — produktiver Roll-out erst nach Abschluss Konsultation + Konformitätserklärung CE-Kennzeichnung AI Act geplant Q3/2026. (7) Konsultations-Verfahren — schriftlicher Antrag eingereicht; ergänzendes Gespräch beantragt; ggf. öffentliche Beteiligung nach Anhörungs-Verfahren. (8) Veröffentlichung anonymisiert wird LfDI BY als Präzedenz erwartet. Regelmäßige Aktualisierung der DSFA: (i) bei jedem Modell-Update mit > 2 % Änderung der Vorhersage-Performance; (ii) bei neuer Datenkategorie; (iii) bei neuen technischen oder rechtlichen Standards (KI-VO-Umsetzung, EuGH-Rechtsprechung); (iv) mindestens jährlich mit Stellungnahme DSB; (v) nach jeder Datenpanne; (vi) nach Konsultations-Antwort Anpassungen umgesetzt und dokumentiert.
STAND DER DSFA UND VERANTWORTUNG
| STAND DER DSFA | 15. Mai 2026 |
| NÄCHSTE ÜBERPRÜFUNG | 15. Mai 2027 |
| ERSTELLT VON | Dr. Annika Brünings (CTO und Verantwortliche für Datenschutz-Folgenabschätzung) |
VERANTWORTLICHER
Dr. Annika Brünings
CTO und Verantwortliche für Datenschutz-Folgenabschätzung
HealthScore Analytics GmbH
Datum: ____________________
DATENSCHUTZBEAUFTRAGTE/R (BERATENDE EINBEZIEHUNG ART. 35 ABS. 2 DSGVO)
RA Dr. Friederike Eichendorf, externer DSB (Bauer Datenschutz PartG mbB)
Datum: ____________________
Verfügbar als druckfertiges PDF oder als bearbeitbares Microsoft Word (.docx).
Was ist die Datenschutz-Folgenabschätzung (DSFA)?
Die <strong>Datenschutz-Folgenabschätzung</strong> nach <strong>Art. 35 DSGVO</strong> ist ein strukturierter Prozess zur Bewertung der Datenschutz-Risiken einer geplanten Verarbeitung. Sie ist <strong>verpflichtend</strong>, wenn die Verarbeitung voraussichtlich ein <strong>hohes Risiko</strong> für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Der <strong>Mindestinhalt nach Art. 35 Abs. 7 DSGVO</strong>: (a) systematische Beschreibung der Verarbeitung und Zwecke; (b) Notwendigkeits- und Verhältnismäßigkeits-Prüfung; (c) Risikobewertung für Betroffene; (d) Schutz-Maßnahmen, Garantien und TOMs zur Risiko-Eindämmung.
Die <strong>9-Kriterien-Schwellenwertanalyse</strong> der Artikel-29-Datenschutzgruppe (WP 248, übernommen durch <strong>EDPB Guidelines 4/2017</strong>) prüft das Hochrisiko-Indiz anhand von: (1) Scoring/Profiling; (2) automatisierte Einzelfall-Entscheidung; (3) systematische Überwachung; (4) besondere Kategorien Art. 9/10 DSGVO; (5) Datenverarbeitung in großem Umfang; (6) Datensatz-Kombination; (7) schutzbedürftige Personen; (8) neue Technologien; (9) Vertrags-/Dienst-Verweigerung. Bei <strong>2 oder mehr erfüllten Kriterien</strong> ist regelhaft DSFA-Pflicht. Zusätzlich greifen die <strong>DSK-Blacklist</strong> und Landesbeauftragten-Listen sowie die Regelbeispiele <strong>Art. 35 Abs. 3 DSGVO</strong>.
Bei verbleibendem <strong>hohem Restrisiko</strong> trotz Schutz-Maßnahmen ist die <strong>Aufsichtsbehörde nach Art. 36 DSGVO vor Beginn der Verarbeitung zu konsultieren</strong> — Antwortfrist 8 Wochen (verlängerbar um 6 Wochen). Mit der <strong>KI-Verordnung (AI Act, VO 2024/1689, vollanwendbar 02.08.2026)</strong> wird die DSFA bei Hochrisiko-KI-Systemen um die <strong>Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 AI Act</strong> erweitert — DSFA und FRIA können in einem kombinierten Dokument geführt werden. AI Act-Bußgelder bis 35 Mio EUR oder 7 % des Konzernumsatzes.
Was diese Vorlage enthält
Unsere DSFA-Vorlage erfüllt alle Pflichten aus Art. 35-36 DSGVO und schließt den AI Act 2026 mit ein — von der Schwellenwertanalyse bis zur Konsultations-Pflicht der Aufsichtsbehörde.
Verantwortlicher + Datenschutzbeauftragte/r
Verantwortlicher mit Vertretungsberechtigten + Datenschutzbeauftragte/r (intern / extern) — DSB ist nach Art. 35 Abs. 2 DSGVO beratend einzubeziehen.
Verarbeitungs-Vorhaben (Basis)
Bezeichnung, Bereich (Kundendaten / Personal / Gesundheit / Finanz / Überwachung / KI / IoT / Biometrie / Forschung / öffentlich), Kurzbeschreibung, Zwecke, Datenkategorien, betroffene Personen, Rechtsgrundlage Art. 6/9/10 DSGVO + BDSG.
Schwellenwertanalyse 9-Kriterien-Test (Basis)
WP 248 / EDPB Guidelines 4/2017: Scoring, automatisierte Entscheidung, systematische Überwachung, sensitive Daten Art. 9/10, großer Umfang, Datenkombination, schutzbedürftige Personen, neue Technologien, Vertrags-Verweigerung. Bei 2+ erfüllten Kriterien Pflicht regelhaft.
Schwellenwertanalyse Detail + DSK-Listen + AI Act (Expert)
Detailbegründung jeder Kriterien-Antwort; Abgleich DSK-Blacklist + BfDI-Liste + Landesbeauftragte; Begründung DSFA-Pflicht (oder Verzicht); AI Act Anschluss bei Hochrisiko-KI mit FRIA nach Art. 27 AI Act.
Systematische Verarbeitungs-Beschreibung (Expert)
Zwecke detailliert (Primär + Sekundär + berechtigtes Interesse); Datenflüsse (Eingangs-Kanäle → interne Verarbeitung → Übermittlungen → Drittland → Löschung); Auftragsverarbeiter Art. 28 + gemeinsam Verantwortliche Art. 26; Drittland-Übermittlung Art. 44-49 + Schrems-II-TIA.
Notwendigkeit + Verhältnismäßigkeit (Expert)
Erforderlichkeit, Eignung, Angemessenheit; Prüfung milderer Mittel (Anonymisierung / Pseudonymisierung / Aggregation / Synthetic Data / PETs Differential Privacy + Federated Learning); Datensparsamkeit Privacy by Design / by Default Art. 25; Speicherbegrenzung + Lösch-Konzept.
Risikobewertung + TOMs (Expert)
Risiken Vertraulichkeit / Integrität / Verfügbarkeit / automatisierte Entscheidung / sensitive Daten / schutzbedürftige Gruppen / Mass-Wirkung; Risiko-Matrix Schwere × Wahrscheinlichkeit; TOMs Art. 32 (Verschlüsselung + Zugriffs-Kontrolle + Netzwerk-Segmentierung + EDR + SIEM + Backup 3-2-1 + Zertifizierungen ISO 27001 / BSI C5 / TISAX).
Restrisiko + Konsultation Art. 36 (Expert)
Restrisiko-Bewertung nach Schutz-Maßnahmen; Klassifizierung gering / mittel / hoch; bei hohem Restrisiko Konsultations-Pflicht Aufsichtsbehörde Art. 36 DSGVO (8 Wochen Antwortfrist); Mindestinhalte Konsultations-Antrag; regelmäßige Aktualisierung Art. 35 Abs. 11.
So erstellen Sie die DSFA
In sechs Schritten zu Ihrer rechtssicheren Datenschutz-Folgenabschätzung — mit Schwellenwertanalyse, Verarbeitungs-Beschreibung, Risikobewertung und ggf. Art. 36-Konsultation.
- 1
Schwellenwertanalyse durchführen — 9-Kriterien-Test
Prüfen Sie systematisch die <strong>9 Kriterien</strong> der WP 248 / EDPB Guidelines 4/2017: Scoring / Profiling; automatisierte Entscheidung mit Rechtswirkung Art. 22 DSGVO; systematische Überwachung; besondere Kategorien Art. 9 (Gesundheit, Religion, Biometrie) oder Strafurteile Art. 10; großer Umfang (Anzahl Betroffener / Datenvolumen / geografische Reichweite); Datensatz-Kombination; schutzbedürftige Personen (Kinder, Patienten, Beschäftigte); neue Technologien (KI, IoT, Biometrie, Blockchain); Vertrags-/Dienst-Verweigerung. Bei <strong>2 oder mehr erfüllten Kriterien</strong> ist DSFA regelhaft Pflicht. Zusätzlich Listen-Abgleich mit DSK-Blacklist, BfDI-Liste und Landesbeauftragten-Listen.
- 2
Verarbeitung systematisch beschreiben (Art. 35 Abs. 7 lit. a)
Dokumentieren Sie: (a) <strong>Primärer + Sekundärzwecke</strong> mit eigenen Rechtsgrundlagen; (b) <strong>Datenflüsse</strong> von Erhebung über Speicherung, Verarbeitung, Übermittlung bis Löschung — idealerweise als Datenflüsse-Diagramm (draw.io / Visio); (c) alle <strong>Auftragsverarbeiter Art. 28</strong> mit AVV und Sub-Auftragsverarbeiter-Kette; (d) alle <strong>Drittland-Übermittlungen Art. 44-49</strong> mit Rechtsgrundlage (Angemessenheits-Beschluss / EU-Standardvertragsklauseln Modul 1-4 / BCR) und <strong>Transfer Impact Assessment (TIA)</strong> nach Schrems-II (EuGH C-311/18); (e) Speicherdauer-Konzept je Datenkategorie mit gesetzlicher Begründung.
- 3
Notwendigkeit und Verhältnismäßigkeit prüfen (Art. 35 Abs. 7 lit. b)
Bewerten Sie: <strong>Eignung</strong>, ob die Verarbeitung den Zweck erreicht; <strong>Erforderlichkeit i.e.S.</strong>, ob es kein gleich geeignetes milderes Mittel gibt (Anonymisierung, Pseudonymisierung, Aggregation, lokale Verarbeitung, Synthetic Data, Differential Privacy, Federated Learning); <strong>Angemessenheit / Verhältnismäßigkeit i.e.S.</strong>, ob die Eingriffe zum Zweck in angemessenem Verhältnis stehen; <strong>Datensparsamkeit</strong> + Privacy by Design / Default nach Art. 25 DSGVO; <strong>Speicherbegrenzung</strong> mit dokumentiertem Lösch-Konzept.
- 4
Risiken bewerten und TOMs definieren (Art. 35 Abs. 7 lit. c, d)
Identifizieren Sie alle <strong>Risiken</strong> für Betroffene — Vertraulichkeit, Integrität, Verfügbarkeit, automatisierte Entscheidung, sensitive Daten, schutzbedürftige Gruppen, Mass-Wirkung. Bewertung in <strong>Risiko-Matrix</strong> mit Schwere (gering / mittel / hoch / kritisch) und Wahrscheinlichkeit (sehr selten / selten / wahrscheinlich / fast sicher). Definieren Sie <strong>TOMs nach Art. 32 DSGVO</strong>: Verschlüsselung (TLS 1.3 + AES-256), Pseudonymisierung, Zugriffs-Kontrolle RBAC mit MFA, Netzwerk-Segmentierung, EDR, SIEM mit 24/7-Monitoring, Backup 3-2-1, Patch-Management, Schulungen, Zertifizierungen (ISO 27001, BSI C5, TISAX).
- 5
Restrisiko bewerten und ggf. Aufsichtsbehörde konsultieren
Bewerten Sie das <strong>Restrisiko nach Schutz-Maßnahmen</strong> — Klassifizierung gering (akzeptabel) / mittel (akzeptabel mit Monitoring) / hoch (Konsultations-Pflicht). Bei <strong>hohem Restrisiko</strong> ist nach <strong>Art. 36 DSGVO</strong> die Aufsichtsbehörde vor Beginn der Verarbeitung zu konsultieren. <strong>Mindestinhalte Konsultations-Antrag</strong>: Verantwortlichkeitsverteilung, Zwecke und Mittel, Schutzmaßnahmen, DSB-Kontakt, vollständige DSFA. Antwortfrist 8 Wochen (verlängerbar 6 Wochen). Bei AI Act Hochrisiko-KI zusätzlich FRIA + Konformitätserklärung + CE-Kennzeichnung.
- 6
DSFA aktualisieren und Rechenschaft dokumentieren
<strong>Regelmäßige Aktualisierung Art. 35 Abs. 11</strong>: bei wesentlichen Änderungen der Verarbeitung (neue Datenkategorien, neue Technologie, weitere Zwecke); bei neuen Erkenntnissen zu Schwachstellen oder Risiken; bei neuen technischen / rechtlichen Standards (KI-VO, EuGH-Rechtsprechung); <strong>mindestens jährliche Überprüfung</strong> mit Stellungnahme DSB; nach jeder Datenpanne. Dokumentation in <strong>Rechenschafts-Akten</strong> (Art. 5 Abs. 2 DSGVO) — Eintragung in das <strong>Verzeichnis Verarbeitungstätigkeiten Art. 30</strong> mit DSFA-Aktenzeichen.
Was Doxuno-Dokumente besonders macht
Vier Dinge, die unsere Vorlagen umfassender als KI-Entwürfe und aktueller als statische Vorlagenbibliotheken machen.
Stets aktuell
Stets auf aktuellem Rechtsstand
Vorlagen mit Gesetzeszitaten werden laufend aktualisiert, sobald sich die Rechtslage ändert. Dein Dokument spiegelt immer den aktuellen Rechtsstand wider.
Gratis PDF
Druckfertiges PDF
Kostenloser Download. Vektortext, eingebettete Schriften und Paragraphenzitate direkt in den Klauseln. Drucken, unterschreiben, ablegen. Bereit für jeden Unterschriftenfluss, inklusive elektronischer Signatur.
Word · .docx
Bearbeitbares Word (.docx)
Bearbeite das Dokument nach dem Download direkt in Word. Eigene Klauseln ergänzen, die Vorlage für ähnliche Vereinbarungen wiederverwenden oder mit einer Kollegin teilen und gemeinsam am Entwurf feilen.
Erfordert einen Expert-Einmalkauf oder ein laufendes Doxuno-Abonnement.
Rechtliche Hinweise
Die DSFA ist Compliance-kritisch — bei hohem Risiko unverzichtbar; bei mangelhafter Durchführung erhebliche Bußgelder.
Diese Vorlage dient ausschließlich zu Informationszwecken und stellt keine Rechtsberatung dar. Bei komplexen Fällen (KI-Systeme mit Hochrisiko, internationale Verarbeitungen, sensible Daten Art. 9/10 mit Mass-Wirkung) konsultieren Sie spezialisierte Datenschutz-Kanzleien wie GVW Graf von Westphalen, CMS Hasche Sigle, Bird & Bird oder Wirtz-Datenschutz.
Geprüft für DSGVO Art. 35-36, EDPB Guidelines 4/2017, DSK-Blacklist und AI Act 2026
Art. 35 DSGVO — DSFA-Pflicht bei hohem Risiko
Nach <strong>Art. 35 Abs. 1 DSGVO</strong> ist die DSFA Pflicht, wenn eine Verarbeitung voraussichtlich ein <strong>hohes Risiko</strong> für die Rechte und Freiheiten natürlicher Personen zur Folge hat. <strong>Regelbeispiele Art. 35 Abs. 3</strong>: (a) systematische und umfassende Bewertung mit Profiling und Rechtswirkung; (b) umfangreiche Verarbeitung besonderer Kategorien Art. 9 oder Strafurteile Art. 10; (c) systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. <strong>Art. 35 Abs. 4</strong>: DSK-Blacklist konkretisiert weiter. <strong>Art. 35 Abs. 7</strong>: Mindestinhalte — systematische Beschreibung, Notwendigkeits-Prüfung, Risikobewertung, Schutz-Maßnahmen. <strong>Art. 35 Abs. 11</strong>: regelmäßige Überprüfung. Verstöße: Bußgeld bis 10 Mio EUR oder 2 % des Konzernumsatzes (Art. 83 Abs. 4 lit. a).
Art. 36 DSGVO — Konsultations-Pflicht bei hohem Restrisiko
Bei verbleibendem hohem Restrisiko trotz Schutz-Maßnahmen ist die <strong>Aufsichtsbehörde nach Art. 36 DSGVO vor Beginn der Verarbeitung zu konsultieren</strong>. <strong>Antwortfrist 8 Wochen</strong> (verlängerbar um 6 Wochen bei komplexen Verarbeitungen). Mindestinhalte des Konsultations-Antrags (Abs. 3): Verantwortlichkeitsverteilung, Zwecke und Mittel, Schutzmaßnahmen, Kontaktdaten DSB, vollständige DSFA. <strong>Behörden-Reaktionen</strong>: schriftlicher Rat, Anordnung weiterer Maßnahmen, Untersagung der Verarbeitung bei unverhältnismäßigem Risiko. Verarbeitung erst nach Abschluss der Konsultation — vorzeitiger Beginn ist Verstoß mit Bußgeld bis 10 Mio EUR oder 2 %.
EDPB Guidelines 4/2017 — 9-Kriterien-Test (WP 248)
Die <strong>9 Kriterien</strong> der ehemaligen Artikel-29-Datenschutzgruppe (WP 248), übernommen durch EDPB Guidelines 4/2017: (1) <strong>Scoring / Profiling</strong> — Bewerten persönlicher Aspekte; (2) <strong>Automatisierte Einzelfall-Entscheidung</strong> mit Rechtswirkung oder erheblicher Beeinträchtigung Art. 22; (3) <strong>Systematische Überwachung</strong> öffentlich zugänglicher Bereiche; (4) <strong>Besondere Kategorien</strong> Art. 9 oder Strafurteile Art. 10; (5) <strong>Großer Umfang</strong> (Anzahl Betroffener / Datenvolumen / Reichweite); (6) <strong>Datensatz-Kombination</strong> verschiedener Quellen; (7) <strong>Schutzbedürftige Personen</strong> (Kinder, Patienten, Beschäftigte); (8) <strong>Neue Technologien</strong> (KI, IoT, Biometrie, Quantum); (9) <strong>Vertrags-/Dienst-Verweigerung</strong> ohne Einwilligung. Bei 2+ erfüllten Kriterien regelhaft Pflicht.
DSK-Blacklist + Landesbeauftragten-Listen Art. 35 Abs. 4
Die <strong>Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK)</strong> hat eine gemeinsame Liste für Datenverarbeitungen im nicht-öffentlichen Bereich nach Art. 35 Abs. 4 DSGVO beschlossen. Eine separate Liste der <strong>BfDI</strong> für den öffentlichen Bereich Bund. <strong>16 Landesbeauftragte</strong> haben eigene konkretisierende Listen (z.B. LDA Bayern, LfDI BW, LDI NRW, BlnBDI Berlin) — bei mehreren Niederlassungen ist die Liste der federführenden Landesbehörde maßgeblich. <strong>Whitelist Art. 35 Abs. 5</strong>: derzeit keine in DE veröffentlicht. Listen-Abgleich verpflichtend: Listen-Verarbeitungen sind DSFA-pflichtig unabhängig vom 9-Kriterien-Test.
AI Act (VO 2024/1689) — FRIA bei Hochrisiko-KI ab 02.08.2026
Die <strong>KI-Verordnung (AI Act, VO 2024/1689)</strong> wird ab <strong>02.08.2026</strong> vollanwendbar. Bei <strong>Hochrisiko-KI-Systemen nach Anhang III</strong> (biometrische Identifikation, kritische Infrastruktur-Steuerung, Bildungs-/Berufsbewertung, HR/Recruiting/Beschäftigungs-Entscheidungen, Zugangs-Verfahren öffentlicher Dienste, Strafverfolgung, Migrations-/Grenzkontroll-Entscheidungen, Justiz-Hilfsmittel) ist zusätzlich zur DSFA die <strong>Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 AI Act</strong> erforderlich. Inhalt FRIA: betroffene Personengruppen, Anwendungs-Zweck, Häufigkeit/Dauer, Risiko für jede Gruppe, Schaden-Wahrscheinlichkeit/Schwere, Risiko-Eindämmungs-Maßnahmen. DSFA und FRIA können in einem kombinierten Dokument geführt werden. <strong>Bußgeld AI Act</strong>: bis 35 Mio EUR oder 7 % bei Hochrisiko-KI-Verbote Art. 5; bis 15 Mio EUR oder 3 % bei sonstigen Verstößen (z.B. fehlende FRIA).
Häufig gestellte Fragen
Jetzt DSFA erstellen
Erstellen Sie Ihre rechtssichere Datenschutz-Folgenabschätzung nach Art. 35 DSGVO mit 9-Kriterien-Schwellenwertanalyse, DSK-Blacklist-Abgleich, AI Act FRIA-Anschluss, systematischer Verarbeitungs-Beschreibung, Risikobewertung mit TOMs und Konsultations-Konzept Art. 36. Formular ausfüllen, Vorschau prüfen und sofort als PDF herunterladen.
Kostenloses PDF · Bearbeitbares Word mit Expert · Kein Konto erforderlich