Pflichtinhalte, Ablauf und Praxisbeispiele für Ihre Datenschutz-Folgenabschätzung. Kostenloser Leitfaden für Datenschutzbeauftragte, Arztpraxen und KMU.
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist eine strukturierte Risikoanalyse, die vor der Einführung besonders risikoreicher Datenverarbeitungen durchgeführt werden muss. Sie bewertet systematisch, welche Auswirkungen eine geplante Verarbeitung auf die Rechte und Freiheiten betroffener Personen hat, und definiert Schutzmaßnahmen zur Risikominimierung.
Die DSFA ist kein einmaliges Dokument, sondern ein fortlaufender Prozess: Bei wesentlichen Änderungen an der Verarbeitung muss sie aktualisiert werden. Aufsichtsbehörden sehen die DSFA als zentralen Nachweis dafür, dass Risiken erkannt und adressiert wurden.
Art. 35 Abs. 1 DSGVO verlangt eine DSFA, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Die DSGVO nennt drei Regelbeispiele:
Zusätzlich veröffentlicht jede Aufsichtsbehörde eine Blacklist (Positivliste) nach Art. 35 Abs. 4 DSGVO. Steht eine Verarbeitung auf dieser Liste, ist die DSFA zwingend erforderlich. Die DSK-Liste enthält u. a.: Scoring, umfangreiche Profilerstellung, KI-gestützte Entscheidungssysteme und den Einsatz biometrischer Verfahren zur Identifikation.
Art. 35 Abs. 7 DSGVO schreibt vier Mindestinhalte vor:
| # | Pflichtinhalt | Beschreibung |
|---|---|---|
| 1 | Systematische Beschreibung der Verarbeitung | Zweck, Rechtsgrundlage, Art der Daten, Betroffene, Empfänger, Speicherdauer |
| 2 | Notwendigkeit und Verhältnismäßigkeit | Warum ist die Verarbeitung erforderlich? Gibt es mildere Mittel? |
| 3 | Risikobewertung | Eintrittswahrscheinlichkeit und Schwere der Risiken für Betroffene |
| 4 | Abhilfemaßnahmen | Technische und organisatorische Maßnahmen zur Risikominderung |
Bleibt das Restrisiko nach allen Maßnahmen hoch, muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert werden (Art. 36 DSGVO).
| Kriterium | Word / Excel | Custodio |
|---|---|---|
| Einstieg | Kostenlos | Ab 49 EUR/Monat |
| Vorlagen | Manuell erstellen oder aus dem Internet | Branchenspezifische DSFA-Vorlagen vorbefüllt |
| Schwellwertanalyse | Manuelle Checkliste | Geführter Assistent mit Blacklist-Abgleich |
| Risikobewertung | Freitext oder eigene Matrix | Standardisierte Risikomatrix mit Scoring |
| Maßnahmentracking | Manuell nachverfolgen | Automatische Aufgaben mit Fristen und Status |
| Versionierung | Dateiname_v3_final.docx | Automatisch mit Audit-Log |
| Verknüpfung | Isoliert | Verknüpft mit VVT, TOM und AVV |
| Konsultation | Manueller Export | Behörden-Export nach DSK-Standard |
Mit Custodio erstellen Sie Ihre Datenschutz-Folgenabschätzung strukturiert — mit geführter Schwellwertanalyse, Risikomatrix und automatischem Maßnahmentracking.
Kostenlos beraten lassen Kostenlos DSE erstellenDie DSFA nach Art. 35 DSGVO ist eine strukturierte Risikoanalyse, die vor der Einführung von Verarbeitungen mit voraussichtlich hohem Risiko für die Rechte und Freiheiten betroffener Personen durchgeführt werden muss.
Eine DSFA ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt — insbesondere bei systematischer Überwachung, umfangreicher Verarbeitung besonderer Datenkategorien, Profiling mit rechtlicher Wirkung oder wenn die Verarbeitung auf der Blacklist der zuständigen Aufsichtsbehörde steht.
Systematische Beschreibung der Verarbeitung und ihrer Zwecke, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken für Betroffene sowie geplante Abhilfemaßnahmen und Sicherheitsvorkehrungen.
Der Verantwortliche (z. B. Geschäftsführung) ist für die Durchführung verantwortlich. Der Datenschutzbeauftragte muss beratend einbezogen werden (Art. 35 Abs. 2 DSGVO). In der Praxis wird die DSFA häufig vom DSB koordiniert und von den Fachabteilungen inhaltlich zugeliefert.