Risikoreiche Verarbeitungen erfordern eine DSFA (Art. 35 EU-DSGVO). Wir prüfen die Pflicht und erstellen sie – als externer DSB oder Berater.
Eine Datenschutz-Folgenabschätzung (DSFA) ist ein systematisches Verfahren zur Bewertung von Datenschutzrisiken. Sie erfasst potenzielle Gefährdungen für die Rechte und Freiheiten betroffener Personen und dokumentiert Maßnahmen zur Risikominderung.
Gesetzliche Grundlage: Art. 35 Abs. 1 DSGVO
„Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“ (Quelle: EUR-Lex)
Die DSFA analysiert Datenverarbeitungsvorgänge mit hoher potenzieller Gefährdung für die Rechte und Freiheiten betroffener Personen und bewertet, ob die geplanten Schutzmaßnahmen ausreichen. Der Datenschutzbeauftragte begleitet den Prozess beratend – die Verantwortung liegt jedoch beim Verantwortlichen selbst.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenNicht jedes Unternehmen muss für jeden Verarbeitungsvorgang eine DSFA durchführen. Entscheidend ist das Risiko für betroffene Personen.
Die DSGVO nennt drei konkrete Fallgruppen, in denen eine DSFA verpflichtend ist:
Die Art. 29-Datenschutzgruppe hat neun Kriterien entwickelt, die auf ein hohes Risiko hindeuten. Faustregel: Treffen mindestens zwei Kriterien zu, ist eine DSFA in der Regel erforderlich.
Die 9 Kriterien im Überblick:
Beispiel: Ein Online-Shop führt automatisiertes Kreditscoring (Kriterium 1 + 2) durch und verarbeitet dabei große Datenmengen (Kriterium 5) → DSFA ist Pflicht!
Mit unserem Compliance Hub können Sie die Datenschutz-Folgenabschätzung einfach, strukturiert und rechtssicher digital durchführen. So erfüllen Sie alle gesetzlichen Anforderungen und minimieren Risiken für Ihr Unternehmen.
Die Durchführung einer DSFA erfolgt in vier strukturierten Schritten. Das Kurzpapier der Datenschutzkonferenz bietet eine kompakte Orientierungshilfe für die praktische Umsetzung.
Prüfen Sie zunächst, ob Ihr Verarbeitungsvorgang auf einer Muss-Liste (Whitelist) einer Aufsichtsbehörde steht. Diese Listen enthalten Verarbeitungstätigkeiten, für die eine DSFA zwingend erforderlich ist.
Falls Ihr Vorgang nicht auf der Muss-Liste steht, führen Sie die Schwellwertanalyse durch: Prüfen Sie anhand der 9 Kriterien, ob mindestens zwei zutreffen.
Bewerten Sie systematisch alle neun Kriterien für Ihren Verarbeitungsvorgang. Dokumentieren Sie für jedes Kriterium:
Ergebnis: Treffen zwei oder mehr Kriterien zu, ist eine vollständige DSFA durchzuführen.
Eine rechtmäßige DSFA muss gemäß Art. 35 Abs. 7 DSGVO folgende Elemente enthalten:
Der Datenschutzbeauftragte (DSB) muss bei der Durchführung der DSFA eingebunden werden (Art. 35 Abs. 2 DSGVO). Er berät und gibt Empfehlungen – führt die DSFA jedoch nicht selbst durch. Die Verantwortung verbleibt beim Verantwortlichen. Die DSFA muss regelmäßig überprüft werden – spätestens alle drei Jahre oder bei wesentlichen Änderungen der Verarbeitung.
Bewerten Sie Datenschutzrisiken systematisch und dokumentieren Sie rechtssicher – mit der DSFA-Mustervorlage inkl. Schwellwertanalyse und Risikobewertungsmatrix, kostenlos als Download.
Eine DSFA sollte umfassend, systematisch und belastbar dokumentiert werden. Sie dient nicht nur der Compliance, sondern auch als internes Steuerungsinstrument für datenschutzgerechte Systemgestaltung – ähnlich einem Informationssicherheitsmanagementsystem nach ISO 27001.
Zentrale Anforderungen:
Die Datenschutzaufsichtsbehörden veröffentlichen Listen, die Orientierung bieten:
Die Muss-Liste enthält Verarbeitungstätigkeiten, für die eine DSFA in jedem Fall verpflichtend ist. Die Listen basieren auf den Gewährleistungszielen des Standard-Datenschutzmodells und sind nach Bundesland unterschiedlich.
Typische Beispiele aus Muss-Listen:
Die Blacklist enthält Verarbeitungsvorgänge, für die keine DSFA erforderlich ist – etwa, weil das Risiko gering ist oder bereits durch andere Rechtsgrundlagen ausreichend abgesichert wurde. Die Listen variieren zwischen den Bundesländern. Die Bundesbeauftragte für den Datenschutz bietet eine Übersicht der veröffentlichten Muss- und Kann-Listen aller Aufsichtsbehörden.
Eine umfassende Beratung zu allen Themen rund um die DSGVO aus einer Hand, damit Sie gesetzliche Anforderungen effizient umsetzen und Ihre Daten sicher verwalten können.
Die Durchführung der DSFA liegt in der Verantwortung des Verantwortlichen (z.B. Geschäftsführung, IT-Leitung, Fachbereich). Der Datenschutzbeauftragte wirkt beratend mit, prüft die Qualität und gibt Empfehlungen.
Rollenverteilung:
Eine DSFA ist kein einmaliges Dokument. Sie muss aktualisiert werden, wenn:
Tipp: Integrieren Sie die DSFA-Prüfung in Ihr jährliches Datenschutz-Audit oder in Ihr Change-Management.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Registrieren Sie sich für unseren kostenlosen Newsletter mit lesenswerten Neuigkeiten zum Datenschutz und Best-Practices zur Umsetzung.
* Pflichtfeld. Mit der Registrierung erklären Sie Ihr Einverständnis zum Erhalt des Cortina Legal-Updates mit Mailchimp sowie zur Interessen-Analyse durch Auswertung individueller Öffnungs- und Klickraten. Zu Ihrer und unserer Sicherheit senden wir Ihnen vorab noch eine E-Mail mit einem Bestätigungs-Link (sog. Double-Opt-In); die Anmeldung wird erst mit Klick auf diesen Link aktiv. Dadurch stellen wir sicher, dass kein Unbefugter Sie in unser Newsletter-System eintragen kann. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft und ohne Angabe von Gründen widerrufen; z. B. durch Klick auf den Abmeldelink am Ende jedes Newsletters. Nähere Informationen zur Verarbeitung Ihrer Daten finden Sie in unserer Datenschutzerklärung.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen