Systematische Bewertung nach Art. 35 DSGVO · Kostenlos starten · Ohne Kreditkarte

Datenschutz-Folgenabschätzung nachvollziehbar dokumentieren

Q: Was passiert, wenn eine DSFA fehlt?

Die DSFA ist eine Pflicht des Verantwortlichen. Fehlt sie, lässt sich später nicht belegen, dass Risiken bewertet und Maßnahmen bewusst gewählt wurden. Bleibt nach der Bewertung ein hohes Risiko bestehen, muss die Verarbeitung vorab mit der Aufsichtsbehörde abgestimmt werden (Art. 36).

Q: Muss eine DSFA veröffentlicht werden?

Nein. Die DSGVO verlangt keine Veröffentlichung. Die DSFA ist zu dokumentieren und auf Verlangen der Aufsichtsbehörde vorzulegen. Für die interne Nachvollziehbarkeit lohnt sich eine Fassung, die auch ein Jahr später noch verständlich ist: wer wann bewertet hat, welche Maßnahmen geplant waren und wann die Wirksamkeit geprüft wurde.

Eine DSFA ist keine Formalie, sondern die Begründung, warum eine Verarbeitung mit hohem Risiko trotzdem vertretbar ist: Beschreibung der Verarbeitung, Bewertung der Notwendigkeit, Bewertung der Risiken für Betroffene und die Maßnahmen, die sie senken (Art. 35 Abs. 7). Mit dsgvoeasy.de halten Sie genau das nach – aus denselben Angaben, aus denen auch Verzeichnis und TOM entstehen.

Kostenlos starten

Risikoszenarien, Maßnahmen und Restrisiko dokumentieren – und die DSFA als PDF sichern.

Risikoszenarien je Verarbeitung statt eines allgemeinen Sicherheitsabsatzes
Maßnahme und Restrisiko sichtbar verknüpft – nachvollziehbar statt behauptet
DSFA, Verzeichnis und TOM aus denselben Angaben

Jetzt kostenlos starten

Kostenlos · ohne Zahlungsmittel · monatlich kündbar

Wann eine DSFA Pflicht ist

Vier Fallgruppen, in denen die DSFA regelmäßig fällig wird

Umfassende Bewertung persönlicher Aspekte

Art. 35 Abs. 1 greift, wenn eine Verarbeitung – besonders mit technischer Unterstützung – eine systematische und umfassende Bewertung persönlicher Aspekte vornimmt und auf dieser Bewertung Entscheidungen stützt. Scoring, Profiling und automatisierte Bewertung sind die typischen Fälle.

Besondere Kategorien in großem Umfang

Betroffen sind Daten nach Art. 9 Abs. 1 (Gesundheit, Herkunft, Religion, Gewerkschaft, Biometrie) oder Daten über Straftaten nach Art. 10 – verarbeitet in großem Umfang. Die Gesundheitsakte, das biometrische Zeiterfassungssystem und das Personalmanagement berühren diese Grenze deutlich leichter, als man denkt.

Überwachung öffentlich zugänglicher Bereiche

Eine systematische und umfassende Überwachung öffentlich zugänglicher Bereiche ist der dritte gesetzliche Regelfall (Art. 35 Abs. 3 lit. c). Die großflächige Videoüberwachung von Kundenflächen, Eingängen oder Parkplätzen gehört dazu – die Beurteilung hängt aber an der Größe und Systematik, nicht am bloßen Vorhandensein einer Kamera.

Muss-Liste Ihrer Aufsichtsbehörde

Nach Art. 35 Abs. 4 erstellen die Aufsichtsbehörden Listen der Verarbeitungen, die eine DSFA verlangen – und die Landesdatenschutzbehörden veröffentlichen eigene „Muss-Listen“ für typische Verarbeitungen. Der schnellste belastbare Einstieg ist deshalb: die Liste der für Sie zuständigen Behörde prüfen, nicht die eigene Erinnerung.

Pflichtinhalt

Was eine DSFA mindestens enthalten muss

Art. 35 Abs. 7 nennt vier Bausteine. Sie sind der rote Faden jeder belastbaren DSFA – fehlt einer, fehlt die Begründung, die das Dokument tragen soll.

Systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke – inklusive der Rechtsgrundlage. „Wir setzen eine Software ein“ ist keine Beschreibung.
Bewertung der Notwendigkeit und Verhältnismäßigkeit – warum diese Daten, in diesem Umfang, für diesen Zweck? Hier gehört auch die Frage dazu, ob es ein milderes Mittel gibt.
Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen – Eintrittswahrscheinlichkeit und Schwere, bezogen auf die konkreten Betroffenen statt auf eine allgemeine Gefahrenlage.
Geplante Abhilfemaßnahmen – Sicherheitsmaßnahmen, Garantien und Mechanismen, die die Risiken senken; dazu gehört ausdrücklich, wie und wann die Wirksamkeit geprüft wird.
Einbeziehung der Betroffenen – Art. 35 Abs. 9 verlangt, die Ansichten der Betroffenen oder ihrer Vertreter angemessen einzubeziehen, wo das für die Bewertung sinnvoll ist.

Praktisch angefangen

Sechs Angaben, die vorher zusammengetragen werden müssen

Die DSFA scheitert selten am Bewerten, sondern am Zusammentragen. Wer diese sechs Punkte beisammen hat, kann die Bewertung in einem Zug schreiben.

Zweck und Rechtsgrundlage der Verarbeitung – und ob sie ohne die Daten überhaupt möglich wäre.
Datenkategorien und Betroffenenkreise – welche Daten, von wem, und wie viele Personen es betrifft.
Empfänger, Dienstleister und Drittländer – inklusive des Auftragsverarbeitungsvertrags und der Frage, wo die Daten tatsächlich liegen.
Lebenszyklus – Erhebung, Speicherung, Nutzung, Weitergabe, Löschung. Die DSFA ist erst vollständig, wenn auch das Löschen beschrieben ist.
Risikoszenarien – was konkret passieren kann, für wen, und wie schwer. Unbefugter Zugriff, Verwechslung, Zweckentfremdung und Ausfall sind die üblichen vier.
Vorhandene Maßnahmen – technisch und organisatorisch, aus der TOM. Ohne diese Angaben bleibt jedes Restrisiko unbegründet.

So funktioniert es

Drei Schritte zur dokumentierten DSFA

Verarbeitung beschreiben

Zweck, Datenkategorien, Betroffene, Empfänger und Speicherdauer eintragen – dieselben Angaben, die ohnehin ins Verzeichnis gehören. Keine doppelte Erfassung.

Risiken und Maßnahmen bewerten

Eintrittswahrscheinlichkeit und Schwere je Szenario festhalten, Maßnahmen zuordnen und das verbleibende Restrisiko ausdrücklich benennen – statt es zu übergehen.

Freigeben und sichern

Die DSFA als Dokument sichern, damit Sie sie bei Nachfragen vorlegen können. Bei verbleibendem hohem Risiko ist vorab die Aufsichtsbehörde zu konsultieren (Art. 36).

Häufige Fragen

Häufige Fragen zur DSFA

Wann ist eine Datenschutz-Folgenabschätzung Pflicht?+

Art. 35 Abs. 1 verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat – insbesondere bei systematischer und umfassender Bewertung persönlicher Aspekte, bei besonderen Kategorien nach Art. 9 in großem Umfang und bei systematischer Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 3). Zusätzlich führen die Aufsichtsbehörden nach Art. 35 Abs. 4 Listen der Verarbeitungen, für die eine DSFA erforderlich ist.

Wer muss die DSFA durchführen?+

Verantwortlich ist der Verantwortliche. In der Praxis erstellt sie, wer die Verarbeitung und die Technik kennt – häufig mit Unterstützung des Datenschutzbeauftragten, der nach Art. 39 Abs. 1 lit. c bei der Folgenabschätzung mitwirkt. Die Bewertung und die Freigabe bleiben beim Verantwortlichen.

Was ist der Unterschied zwischen DSFA und Verzeichnis?+

Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30) beschreibt alle Verarbeitungen in einer Übersicht. Die DSFA ist die tiefe Prüfung einzelner Verarbeitungen mit hohem Risiko. Beide bauen auf denselben Angaben auf, beantworten aber unterschiedliche Fragen – die Übersicht und die Begründung im Einzelfall.

Was passiert, wenn eine DSFA fehlt?+

Die DSFA ist eine Pflicht des Verantwortlichen, nicht eine Empfehlung. Fehlt sie, lässt sich später nicht belegen, dass Risiken bewertet und Maßnahmen bewusst gewählt wurden – bei einer Prüfung oder einem Vorfall ist genau das die entscheidende Frage. Bleibt nach der Bewertung ein hohes Risiko bestehen, muss die Verarbeitung vorab mit der Aufsichtsbehörde abgestimmt werden (Art. 36).

Muss eine DSFA veröffentlicht werden?+

Nein. Die DSGVO verlangt keine Veröffentlichung. Sie müssen die DSFA dokumentieren und auf Verlangen der Aufsichtsbehörde vorlegen können. Für die interne Nachvollziehbarkeit lohnt sich trotzdem eine Fassung, die man in einem Jahr noch versteht: Wer hat wann bewertet, welche Maßnahmen waren geplant, und wann wurde die Wirksamkeit geprüft.

Was kostet das?+

Der Start ist kostenlos und ohne Kreditkarte. Für die unbegrenzte Nutzung gibt es später optional ein Abo für 7,99 € pro Monat (netto).