Guten Tag,

ein neues KI-Tool, eine neue Software, ein neuer Dienstleister: Bevor Sie starten, müssen Sie wissen, ob eine Datenschutz-Folgenabschätzung Pflicht ist. Die Antwort fällt oft anders aus als erwartet. – Ihr Cortina-Team

Datenschutz

DSFA: Wann sie Pflicht ist und wie Sie vorgehen

Ob Sie eine Datenschutz-Folgenabschätzung brauchen, entscheidet eine kurze Vorprüfung. Fehlt sie, kann die Aufsichtsbehörde die Verarbeitung untersagen, auch wenn das System längst läuft.

Eine DSFA bewertet die Risiken einer Verarbeitung, solange sich noch etwas ändern lässt: in der Konzeptphase, bevor die erste Datenverarbeitung läuft. Gemeint sind die Risiken für die betroffenen Personen, nicht Bußgeld- oder Reputationsrisiken für Ihr Unternehmen.

Ob Sie eine DSFA durchführen müssen, klärt die Schwellwertanalyse. Sie gleicht die geplante Verarbeitung mit neun Risikokriterien ab, darunter automatisierte Entscheidungen, die Auswertung von Beschäftigtendaten und der Einsatz neuer Technologien. Treffen zwei davon zu, spricht das für ein hohes Risiko und damit für eine DSFA-Pflicht.

Zwei Dinge sind dabei entscheidend: Die Analyse braucht eine echte Risikobewertung, eine abgehakte Checkliste genügt nicht. Und das Ergebnis gehört schriftlich festgehalten, auch wenn es gegen eine DSFA ausfällt.

Aus der Praxis

Typische DSFA-Fehler und wie es richtig geht

Weitere Neuigkeiten

Ein Thema zieht meistens das nächste nach sich. Diese könnten für Sie auch relevant sein:

Wissen ist die eine Sache. Dokumentieren die andere, und nur die zählt, wenn’s drauf ankommt: bei Prüfung, Anfrage oder Audit. Genau dafür nutzen Sie effizient unser Compliance Hub:

Kennzahl der Woche

Dokumentation frisst die meiste Zeit im Datenschutz

Die Dokumentation bleibt Daueraufgabe, und neue Tools lösen sie immer wieder aus. Wer DSFA, Verzeichnis und Maßnahmen an einem Ort pflegt, spart genau diese Zeit.

Quelle: Bitkom Research, Studie „Datenschutz in der deutschen Wirtschaft“, 2026