Cortina Consult
Compliance-Brief · KW 41/2026
|
|
Guten Tag,
ein neues KI-Tool, eine neue Software, ein neuer Dienstleister: Bevor Sie starten, müssen Sie wissen, ob eine Datenschutz-Folgenabschätzung Pflicht ist. Die Antwort fällt oft anders aus als erwartet. – Ihr Cortina-Team
Datenschutz
DSFA: Wann sie Pflicht ist und wie Sie vorgehen
Ob Sie eine Datenschutz-Folgenabschätzung brauchen, entscheidet eine kurze Vorprüfung. Fehlt sie, kann die Aufsichtsbehörde die Verarbeitung untersagen, auch wenn das System längst läuft.
|
 |
|
Eine DSFA bewertet die Risiken einer Verarbeitung, solange sich noch etwas ändern lässt: in der Konzeptphase, bevor die erste Datenverarbeitung läuft. Gemeint sind die Risiken für die betroffenen Personen, nicht Bußgeld- oder Reputationsrisiken für Ihr Unternehmen.
Ob Sie eine DSFA durchführen müssen, klärt die Schwellwertanalyse. Sie gleicht die geplante Verarbeitung mit neun Risikokriterien ab, darunter automatisierte Entscheidungen, die Auswertung von Beschäftigtendaten und der Einsatz neuer Technologien. Treffen zwei davon zu, spricht das für ein hohes Risiko und damit für eine DSFA-Pflicht.
Zwei Dinge sind dabei entscheidend: Die Analyse braucht eine echte Risikobewertung, eine abgehakte Checkliste genügt nicht. Und das Ergebnis gehört schriftlich festgehalten, auch wenn es gegen eine DSFA ausfällt.
|
|
Aus der Praxis
Typische DSFA-Fehler und wie es richtig geht
|
✕ So nicht
DSFA erst nach dem Projektstart anstoßen, wenn das Tool läuft.
Cloud-Anbieter und Dienstleister in der Bewertung ausblenden.
Hohes Restrisiko akzeptieren, ohne die Aufsicht zu fragen.
|
|
✓ So ja
Schwellwertanalyse und DSFA vor dem Start, dann erst loslegen.
Auftragsverarbeiter einbinden: Sie müssen Informationen liefern.
Bleibt das Risiko hoch, vorab die Aufsicht konsultieren.
|
|
|
|
|
|
Weitere Neuigkeiten
Ein Thema zieht meistens das nächste nach sich. Diese könnten für Sie auch relevant sein:
|
Datenschutz
Videoüberwachung nach DSGVO
Umfangreiche Überwachung? Dann DSFA prüfen.
Mehr erfahren → |
|
|
|
KI-Verordnung
KI in der Personalauswahl
Hochrisiko-KI: Der Mensch entscheidet am Ende.
Mehr erfahren → |
|
|
|
Hinweisgeberschutz
DSFA für die Meldestelle
Besondere Daten, harte Folgen: DSFA vorab dringend empfohlen.
Mehr erfahren → |
|
|
|
Wissen ist die eine Sache. Dokumentieren die andere, und nur die zählt, wenn’s drauf ankommt: bei Prüfung, Anfrage oder Audit. Genau dafür nutzen Sie effizient unser Compliance Hub:
|
|
📋
Compliance Hub
DSFA durchführen und revisionssicher ablegen
Der geführte DSFA-Workflow im Compliance Hub prüft per Schwellwerttest, ob eine Folgenabschätzung nötig ist, bewertet Risiken in der Risikomatrix und verknüpft alles mit Verarbeitungsverzeichnis und TOMs. Vorlagen beschleunigen den Start, der PDF-Export belegt Ihr Vorgehen.
|
SCHRITT 1
Prüfen
Schwellwerttest: Ist eine DSFA nötig?
|
→ |
SCHRITT 2
Bewerten
Risikomatrix, Maßnahmen, Restrisiko
|
→ |
SCHRITT 3
Nachweisen
PDF-Export für Audit und Prüfung
|
|
|
|
Kennzahl der Woche
Dokumentation frisst die meiste Zeit im Datenschutz
|
73 %
der Unternehmen sehen in den Dokumentationspflichten ihren größten Aufwandstreiber.
|
|
|
86 %
halten Datenschutz nie
für ganz erledigt
|
|
53 %
wollen weniger Prüfaufwand
bei der DSFA
|
|
Die Dokumentation bleibt Daueraufgabe, und neue Tools lösen sie immer wieder aus. Wer DSFA, Verzeichnis und Maßnahmen an einem Ort pflegt, spart genau diese Zeit.
Quelle: Bitkom Research, Studie „Datenschutz in der deutschen Wirtschaft“, 2026
|
|
