Pflichtinhalte, Ablauf und Praxisbeispiele für Ihre Datenschutz-Folgenabschätzung. Kostenloser Leitfaden für Datenschutzbeauftragte, Arztpraxen und KMU.
Datenschutz-Folgenabschätzung mit Schwellwertanalyse (Regelbeispiele Art. 35 Abs. 3 und die neun WP-248-Kriterien), allen vier Pflichtbestandteilen nach Art. 35 Abs. 7 sowie Risikomatrix und Freigabeteil.
Vorlage herunterladen Vorschau ansehen Kostenlos, ohne Registrierung und ohne E-Mail-Adresse. Druckfertiges Dokument — per Strg + P als PDF speichern oder in Word einfügen. Muster ohne Gewähr, keine Rechtsberatung.Alle diese Bezeichnungen meinen dasselbe Dokument nach Art. 35 DSGVO. Sie begegnen Ihnen als Datenschutz-Folgenabschätzung (mit Bindestrich, so schreibt es der Gesetzestext), als Datenschutzfolgenabschätzung in einem Wort, als Datenschutz Folgenabschätzung getrennt geschrieben, gelegentlich auch als Datenschutzfolgeabschätzung — und abgekürzt als DSFA. Im Englischen heißt sie Data Protection Impact Assessment (DPIA).
Ebenso austauschbar sind DSFA-Vorlage und DSFA-Muster: ob jemand nach einer Datenschutz-Folgenabschätzung Vorlage oder nach einem Datenschutz-Folgenabschätzung Muster sucht, macht inhaltlich keinen Unterschied. Beides meint ein Dokument zum Ausfüllen — genau das, was auf dieser Seite liegt.
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist eine strukturierte Risikoanalyse, die vor der Einführung besonders risikoreicher Datenverarbeitungen durchgeführt werden muss. Sie bewertet systematisch, welche Auswirkungen eine geplante Verarbeitung auf die Rechte und Freiheiten betroffener Personen hat, und definiert Schutzmaßnahmen zur Risikominimierung.
Die DSFA ist kein einmaliges Dokument, sondern ein fortlaufender Prozess: Bei wesentlichen Änderungen an der Verarbeitung muss sie aktualisiert werden. Aufsichtsbehörden sehen die DSFA als zentralen Nachweis dafür, dass Risiken erkannt und adressiert wurden.
Art. 35 Abs. 1 DSGVO verlangt eine DSFA, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Die DSGVO nennt drei Regelbeispiele:
Zusätzlich veröffentlicht jede Aufsichtsbehörde eine Blacklist (Positivliste) nach Art. 35 Abs. 4 DSGVO. Steht eine Verarbeitung auf dieser Liste, ist die DSFA zwingend erforderlich. Die DSK-Liste enthält u. a.: Scoring, umfangreiche Profilerstellung, KI-gestützte Entscheidungssysteme und den Einsatz biometrischer Verfahren zur Identifikation.
Art. 35 Abs. 7 DSGVO schreibt vier Mindestinhalte vor:
| # | Pflichtinhalt | Beschreibung |
|---|---|---|
| 1 | Systematische Beschreibung der Verarbeitung | Zweck, Rechtsgrundlage, Art der Daten, Betroffene, Empfänger, Speicherdauer |
| 2 | Notwendigkeit und Verhältnismäßigkeit | Warum ist die Verarbeitung erforderlich? Gibt es mildere Mittel? |
| 3 | Risikobewertung | Eintrittswahrscheinlichkeit und Schwere der Risiken für Betroffene |
| 4 | Abhilfemaßnahmen | Technische und organisatorische Maßnahmen zur Risikominderung |
Bleibt das Restrisiko nach allen Maßnahmen hoch, muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert werden (Art. 36 DSGVO).
Ein brauchbares Muster ist kein Formular zum Ausfüllen, sondern eine Gliederung mit Leitfragen. So sieht der Aufbau aus — hier am Beispiel einer Videoüberwachung im Eingangsbereich, weil das ein typischer Anlass ist:
| Abschnitt | Was hineingehört | Beispiel |
|---|---|---|
| 1. Beschreibung | Was wird verarbeitet, mit welchen Mitteln, zu welchem Zweck | Zwei Kameras am Eingang, Aufzeichnung 72 Stunden, Zweck: Schutz vor Einbruch |
| 2. Rechtsgrundlage | Art. 6 DSGVO, bei besonderen Kategorien zusätzlich Art. 9 | Art. 6 Abs. 1 lit. f — berechtigtes Interesse, mit Abwägung |
| 3. Notwendigkeit und Verhältnismäßigkeit | Geht es auch mit weniger Daten? Welche Alternativen wurden geprüft? | Geprüft: bessere Beleuchtung, Alarmanlage. Kamera nur auf den Eingang gerichtet, nicht auf den Gehweg |
| 4. Risiken für die Betroffenen | Je Risiko: Eintrittswahrscheinlichkeit und Schwere | Unbefugter Zugriff auf Aufzeichnungen — mittel/hoch. Überwachungsdruck auf Beschäftigte — hoch/mittel |
| 5. Abhilfemaßnahmen | Was senkt das Risiko, und wie stark | Verschlüsselte Speicherung, Vier-Augen-Zugriff, automatische Löschung nach 72 Stunden, Hinweisschild |
| 6. Ergebnis | Verbleibt ein hohes Risiko? Dann Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO | Restrisiko nach Maßnahmen: gering. Keine Konsultation erforderlich |
| 7. Beteiligte und Datum | Wer hat mitgewirkt, Stellungnahme des Datenschutzbeauftragten, Datum der Überprüfung | Geschäftsführung, DSB, Betriebsrat. Wiedervorlage in 12 Monaten |
Der Abschnitt, an dem die meisten Muster scheitern, ist Nummer 3. „Die Verarbeitung ist erforderlich" ist keine Prüfung der Verhältnismäßigkeit. Die Aufsicht will lesen, welche milderen Mittel Sie erwogen und warum Sie sie verworfen haben — das ist der Teil, den kein Muster für Sie ausfüllen kann.
Die Frage entscheidet sich daran, wie oft Sie die DSFA anfassen müssen:
Für den Anfang gilt: eine DSFA in Word, die es gibt, ist besser als eine perfekte, die niemand anfängt.
| Kriterium | Word / Excel | Custodio |
|---|---|---|
| Einstieg | Kostenlos | Ab 49 EUR/Monat |
| Vorlagen | Manuell erstellen oder aus dem Internet | Branchenspezifische DSFA-Vorlagen vorbefüllt |
| Schwellwertanalyse | Manuelle Checkliste | Geführter Assistent mit Blacklist-Abgleich |
| Risikobewertung | Freitext oder eigene Matrix | Standardisierte Risikomatrix mit Scoring |
| Maßnahmentracking | Manuell nachverfolgen | Automatische Aufgaben mit Fristen und Status |
| Versionierung | Dateiname_v3_final.docx | Automatisch mit Audit-Log |
| Verknüpfung | Isoliert | Verknüpft mit VVT, TOM und AVV |
| Konsultation | Manueller Export | Behörden-Export nach DSK-Standard |
Mit Custodio erstellen Sie Ihre Datenschutz-Folgenabschätzung strukturiert — mit geführter Schwellwertanalyse, Risikomatrix und automatischem Maßnahmentracking.
Kostenlos beraten lassen Kostenlos DSE erstellen📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr
Zerlegen wir die Frage, denn die DSFA besteht aus zwei sehr verschiedenen Teilen.
Die Schwellwertanalyse ist eine Checkliste. Ob eine Verarbeitung voraussichtlich ein hohes Risiko hat, prüft man an den Regelbeispielen aus Art. 35 Abs. 3 DSGVO, an der Liste der Aufsichtsbehörde und an den neun Kriterien der Arbeitsgruppe nach Art. 29 (WP 248). Dafür braucht es kein DSGVO-Risikoanalyse-Tool — die Vorlage von dieser Seite führt Sie durch dieselbe Prüfung.
Die Risikobewertung ist eine Abwägung. Eintrittswahrscheinlichkeit und Schwere schätzt ein Mensch ein, nicht ein Rechner. Ein Werkzeug kann die Matrix vorgeben und das Ergebnis festhalten — die Einschätzung selbst nimmt es Ihnen nicht ab. Wer eine Software kauft, um sich diese Entscheidung abnehmen zu lassen, kauft das Falsche.
Was ein Werkzeug tatsächlich besser kann als ein Dokument:
Bei einer einzelnen DSFA genügt die Vorlage. Ab mehreren, die nebeneinander laufen und aktuell bleiben müssen, wird das Nachhalten zum eigentlichen Aufwand.
Die DSFA nach Art. 35 DSGVO ist eine strukturierte Risikoanalyse, die vor der Einführung von Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte und Freiheiten betroffener Personen durchgeführt werden muss.
Eine DSFA ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt — insbesondere bei systematischer Überwachung, umfangreicher Verarbeitung besonderer Datenkategorien, Profiling mit rechtlicher Wirkung oder wenn die Verarbeitung auf der Blacklist der zuständigen Aufsichtsbehörde steht.
Systematische Beschreibung der Verarbeitung und ihrer Zwecke, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken für Betroffene sowie geplante Abhilfemaßnahmen und Sicherheitsvorkehrungen.
Der Verantwortliche (z. B. Geschäftsführung) ist für die Durchführung verantwortlich. Der Datenschutzbeauftragte muss beratend einbezogen werden (Art. 35 Abs. 2 DSGVO). In der Praxis wird die DSFA häufig vom DSB koordiniert und von den Fachabteilungen inhaltlich zugeliefert.