Datenschutz-Folgenabschätzung in der Praxis — wann sie nötig ist und wie sie geht

Wann eine Praxis eine DSFA braucht, was nach Art. 35 DSGVO hineingehört und wie Sie sie in vier Schritten erstellen – mit kostenloser Vorlage.

Die kurze Antwort

Eine DSFA ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt (Art. 35 Abs. 1 DSGVO). Sie wird vor Beginn der Verarbeitung erstellt. Für die Patientendaten einer einzelnen Ärztin oder eines einzelnen Arztes gilt die Verarbeitung nach Erwägungsgrund 91 nicht als „umfangreich“ – das Regelbeispiel für Gesundheitsdaten greift dann nicht.

Wann eine Praxis eine DSFA braucht

Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen sie stets nötig ist; für Praxen zählt vor allem die umfangreiche Verarbeitung besonderer Kategorien wie Gesundheitsdaten (lit. b).
Erwägungsgrund 91 nimmt die Patientendaten einer einzelnen Ärztin, eines einzelnen Arztes oder eines anderen Angehörigen eines Gesundheitsberufs ausdrücklich aus.
Größere Einrichtungen – etwa ein MVZ oder eine Berufsausübungsgemeinschaft mit mehreren Behandelnden – fallen nicht unter diese Ausnahme und müssen prüfen.
Unabhängig davon kann eine neue Verarbeitung ein hohes Risiko haben, etwa beim Einsatz neuer Technik. Die Datenschutzkonferenz hat nach Art. 35 Abs. 4 DSGVO eine Liste der Verarbeitungen veröffentlicht, für die eine DSFA stets durchzuführen ist.
Prüfen Sie deshalb für jede neue Verarbeitung kurz, ob eine DSFA nötig ist (Schwellwertprüfung), und halten Sie das Ergebnis schriftlich fest (Rechenschaftspflicht, Art. 5 Abs. 2).

Was hineingehört (Art. 35 Abs. 7 DSGVO)

eine systematische Beschreibung der Verarbeitung und ihrer Zwecke,
eine Bewertung der Notwendigkeit und Verhältnismäßigkeit,
eine Bewertung der Risiken für die Betroffenen,
die geplanten Abhilfemaßnahmen, Garantien und Sicherheitsvorkehrungen.

In vier Schritten

Schwellwertprüfung: Ist eine DSFA nötig? Ergebnis festhalten.
Verarbeitung beschreiben: Zweck, Daten, Betroffene, Empfänger, Systeme, Speicherdauer.
Risiken bewerten: Eintrittswahrscheinlichkeit und Schwere.
Maßnahmen festlegen und das Restrisiko bewerten.

Ist ein Datenschutzbeauftragter benannt, holt die Praxis seinen Rat ein (Art. 35 Abs. 2). Bleibt das Risiko trotz Maßnahmen hoch, konsultiert sie vor Beginn die Aufsichtsbehörde (Art. 36 Abs. 1).

Danach: aktuell halten

Ändert sich das Risiko, wird die DSFA überprüft (Art. 35 Abs. 11).

Kostenlose DSFA-Vorlage

Mit Schwellwertprüfung, den vier Pflichtinhalten nach Art. 35 Abs. 7 DSGVO, Risikomatrix und Freigabeteil, ohne Registrierung.

Zur DSFA-Vorlage

Diese Pflichten nachhalten statt im Kopf behalten

Custodio führt Fristen, Nachweise und Meldewege für Arztpraxen an einer Stelle — mit Erinnerung, bevor etwas abläuft.

Kostenlos beraten lassen Zur Checkliste

📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr

Häufige Fragen: Datenschutz-Folgenabschätzung in der Praxis

Braucht jede Arztpraxis eine DSFA?

Nein. Für die Patientendaten einer einzelnen Ärztin oder eines einzelnen Arztes gilt die Verarbeitung nach Erwägungsgrund 91 nicht als umfangreich. Nötig ist eine DSFA, wenn eine Verarbeitung voraussichtlich ein hohes Risiko hat (Art. 35 Abs. 1) – das prüfen Sie für jede neue Verarbeitung.

Wann muss die DSFA fertig sein?

Vor Beginn der Verarbeitung.

Wer erstellt sie?

Die Praxis als Verantwortliche; ein benannter Datenschutzbeauftragter berät (Art. 35 Abs. 2).

Was, wenn das Risiko hoch bleibt?

Dann konsultiert die Praxis vor Beginn die Aufsichtsbehörde (Art. 36 Abs. 1).

Muss ich die DSFA bei der Behörde einreichen?

Nein. Sie bleibt bei der Praxis; die Behörde bekommt sie bei einer vorherigen Konsultation (Art. 36) oder wenn sie sie anfordert.

Weiterführende Themen

Stand: Oktober 2026. Dieser Beitrag gibt den Rechtsstand wieder und ersetzt keine Rechtsberatung im Einzelfall.