Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist eine vorab durchzuführende Abschätzung der Folgen einer Verarbeitung für den Schutz personenbezogener Daten. Verpflichtend ist sie, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, etwa bei systematischer umfangreicher Bewertung persönlicher Aspekte, bei umfangreicher Verarbeitung besonderer Datenkategorien oder bei weiträumiger Überwachung öffentlich zugänglicher Bereiche.
Der Mindestinhalt ist vorgegeben: systematische Beschreibung der Verarbeitung und ihrer Zwecke, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken für die betroffenen Personen sowie die geplanten Abhilfemaßnahmen einschließlich Garantien und Sicherheitsvorkehrungen. Ist ein Datenschutzbeauftragter bestellt, ist dessen Rat einzuholen.
Die Datenschutzbehörde führt eine Liste jener Verarbeitungsvorgänge, für die eine Folgenabschätzung jedenfalls erforderlich ist, sowie eine Liste von Ausnahmen. Bleibt trotz Maßnahmen ein hohes Restrisiko, ist vor Beginn der Verarbeitung die Aufsichtsbehörde nach Art. 36 DSGVO zu konsultieren. Häufige Anlässe sind Videoüberwachung, umfangreiches Tracking und Profiling sowie KI-Systeme, die über Personen entscheiden.