In einem Satz. Eine DSFA-Vorlage strukturiert die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO — Pflicht bei Verarbeitungen mit voraussichtlich hohem Risiko — in vier Bausteine: Beschreibung der Verarbeitung, Prüfung von Erforderlichkeit und Verhältnismäßigkeit, Bewertung der Risiken für Betroffene und Festlegung von Abhilfemaßnahmen (Art. 35 Abs. 7).
Wichtige Punkte
- Pflicht bei „voraussichtlich hohem Risiko" (drei Auslöser Abs. 3 + DSK-Liste).
- Vier Pflichtinhalte nach Abs. 7.
- DSB ist zwingend einzubeziehen (Abs. 2).
- Bei verbleibendem hohem Risiko: Konsultation der Aufsicht (Art. 36).
- Vor Beginn der Verarbeitung durchzuführen.
Wann ist eine DSFA Pflicht?
| Auslöser (Art. 35 Abs. 3) | Beispiel |
|---|---|
| lit. a: systematische Bewertung + automatisierte Entscheidung | Scoring, KI-Bewerberauswahl |
| lit. b: umfangreiche Verarbeitung Art. 9/10-Daten | Krankenhaus-Informationssystem |
| lit. c: systematische Überwachung öffentlicher Bereiche | Videoüberwachung Verkehrsflächen |
Das DSFA-Muster
DATENSCHUTZ-FOLGENABSCHÄTZUNG (Art. 35 DSGVO)
Projekt: [Bezeichnung] | Verantwortlicher: [Firma]
DSB einbezogen: [Name, Datum] | Version: [Datum]
TEIL 1 – BESCHREIBUNG DER VERARBEITUNG (Abs. 7 lit. a)
- Zweck: [...]
- Datenkategorien: [...]
- Betroffene: [...]
- Datenfluss / beteiligte Systeme: [...]
- Auftragsverarbeiter / Empfänger: [...]
- Aufbewahrung / Löschung: [...]
TEIL 2 – ERFORDERLICHKEIT & VERHÄLTNISMÄSSIGKEIT (Abs. 7 lit. b)
- Rechtsgrundlage (Art. 6/9): [...]
- Datenminimierung: [...]
- Prüfung milderer Mittel: [...]
- Information der Betroffenen: [...]
TEIL 3 – RISIKOBEWERTUNG (Abs. 7 lit. c)
Je Risiko: Eintrittswahrscheinlichkeit x Schadensschwere
- Risiko 1: unbefugter Zugriff – Wahrsch.: mittel – Schwere: hoch
- Risiko 2: Zweckentfremdung – Wahrsch.: gering – Schwere: hoch
- Risiko 3: unrechtmäßige Weitergabe – Wahrsch.: gering – Schwere: mittel
TEIL 4 – ABHILFEMASSNAHMEN (Abs. 7 lit. d)
- TOM: Verschlüsselung, Zugriffskonzept, Protokollierung
- Organisatorisch: Schulung, Rollen, Löschregeln
- Restrisiko nach Maßnahmen: [niedrig/mittel/hoch]
ERGEBNIS
- Restrisiko akzeptabel? [ja/nein]
- Konsultation Aufsicht (Art. 36) erforderlich? [ja/nein]
- Freigabe durch: [Name, Datum]
Risikomatrix
| Schwere \ Wahrscheinlichkeit | gering | mittel | hoch |
|---|---|---|---|
| begrenzt | niedrig | niedrig | mittel |
| erheblich | niedrig | mittel | hoch |
| schwer | mittel | hoch | sehr hoch |
Bei „hoch" oder „sehr hoch" nach Abhilfemaßnahmen ist die Aufsicht zu konsultieren (Art. 36).
So passen Sie das Muster an
Schwellenwertanalyse: brauche ich überhaupt eine DSFA?
Vor der eigentlichen DSFA steht die Frage, ob überhaupt eine Pflicht besteht. Diese Vorprüfung — oft „Schwellenwertanalyse" oder „DSFA-Notwendigkeitsprüfung" genannt — ist selbst Teil der Rechenschaftspflicht und sollte dokumentiert werden, auch wenn sie negativ ausfällt. Sie prüft drei Ebenen: Erstens die drei gesetzlichen Auslöser des Art. 35 Abs. 3. Zweitens die verbindliche DSK-Muss-Liste, die für Deutschland konkrete Verarbeitungen benennt, bei denen stets eine DSFA erforderlich ist. Drittens die neun Kriterien der EDSA-Leitlinie WP 248: Bewertung/Scoring, automatisierte Entscheidungen mit Rechtswirkung, systematische Überwachung, sensible Daten, umfangreiche Verarbeitung, Abgleich von Datensätzen, Daten schutzbedürftiger Personen, innovative Technologien und Verhinderung der Rechteausübung. Als Faustregel gilt: Treffen zwei oder mehr dieser Kriterien zu, ist eine DSFA in der Regel durchzuführen.
Diese gestufte Prüfung schützt vor beiden Fehlern — der übersehenen Pflicht ebenso wie der unnötigen DSFA für harmlose Standardverarbeitungen. Halten Sie das Ergebnis knapp fest: welche Kriterien geprüft wurden, welche zutrafen und warum eine DSFA nötig oder entbehrlich ist.
Die DSFA als lebendes Dokument
Häufige Fehler
- DSFA zu spät. Sie muss vor Verarbeitungsbeginn erfolgen. Eine nachträgliche DSFA heilt den Verstoß nicht.
- Schwellenwertanalyse überspringen. Prüfen Sie zuerst dokumentiert, ob überhaupt hohes Risiko vorliegt — auch die negative Feststellung ist Teil der Rechenschaft.
- Restrisiko schönrechnen. Verbleibt trotz Maßnahmen hohes Risiko, ist die Konsultation der Aufsicht nach Art. 36 Pflicht — kein optionaler Schritt.
- Fehlende DSFA teuer. Die AOK Baden-Württemberg wurde 2020 mit 1,24 Mio. € sanktioniert, unter anderem wegen unzureichender technisch-organisatorischer Absicherung einer Verarbeitung, die eine gründliche Risikoanalyse erfordert hätte.
- DSB nicht einbezogen. Ohne dokumentierte DSB-Einbindung ist die DSFA formal unvollständig.
FAQ
Wann muss ich die Aufsichtsbehörde konsultieren?
Nach Art. 36 DSGVO immer dann, wenn nach Durchführung der DSFA und trotz geplanter Abhilfemaßnahmen ein hohes Restrisiko verbleibt. Die Behörde antwortet innerhalb von acht Wochen, verlängerbar um sechs Wochen. Die Verarbeitung darf erst nach Abschluss der Konsultation beginnen.
Wer führt die DSFA durch?
Der Verantwortliche, unter zwingender Einbeziehung des Datenschutzbeauftragten (Art. 35 Abs. 2). Der DSB führt sie nicht selbst durch, sondern berät und bewertet. In der Praxis koordiniert oft der DSB, während die Fachabteilung die Beschreibung der Verarbeitung liefert.
Wie lange dauert eine DSFA?
Einfache Fälle sind in zwei bis fünf Tagen erledigt, komplexe Systeme (etwa ein KI-gestütztes Auswahlverfahren) benötigen vier bis acht Wochen. Der Aufwand hängt von der Zahl der Datenflüsse, Empfänger und Risiken ab.
Kann ich eine DSFA für mehrere ähnliche Verarbeitungen nutzen?
Ja. Art. 35 Abs. 1 erlaubt ausdrücklich, dass eine einzige Abschätzung mehrere ähnliche Verarbeitungen mit vergleichbar hohem Risiko abdeckt. Betreiben Sie etwa Videoüberwachung an mehreren gleichartigen Standorten oder setzen Sie dasselbe Bewerbertool konzernweit ein, genügt eine DSFA, sofern die Risikolage vergleichbar ist. Weichen einzelne Standorte oder Verarbeitungen erheblich ab, sind ergänzende Betrachtungen nötig.
Muss ich die DSFA veröffentlichen oder der Aufsicht vorlegen?
Eine Veröffentlichungspflicht besteht nicht — die DSFA ist ein internes Dokument. Die Aufsichtsbehörde erhält sie nur, wenn Sie nach Art. 36 wegen eines verbleibenden hohen Risikos konsultieren oder wenn die Behörde sie im Rahmen einer Prüfung anfordert. Der Europäische Datenschutzausschuss empfiehlt allerdings, zumindest eine Zusammenfassung der DSFA zu veröffentlichen, um Transparenz zu schaffen — verpflichtend ist das nicht. Wichtig ist, dass die DSFA vorliegt und auf Verlangen vorgelegt werden kann. Ein Unternehmen, das eine offensichtlich DSFA-pflichtige Verarbeitung ohne dokumentierte Abschätzung betreibt, hat im Aufsichtsverfahren einen schweren Stand — unabhängig davon, ob die Behörde die DSFA zuvor gesehen hat.
Was unterscheidet die DSFA von einer normalen Risikoanalyse?
Eine allgemeine IT- oder Sicherheitsrisikoanalyse betrachtet meist das Risiko für das Unternehmen — Betriebsausfall, finanzielle Schäden, Reputationsverlust. Die DSFA nach Art. 35 dreht die Perspektive um: Sie bewertet das Risiko für die Rechte und Freiheiten der betroffenen Personen, also für Diskriminierung, Identitätsdiebstahl, finanzielle Nachteile, Rufschädigung oder Verlust der Kontrolle über die eigenen Daten. Beide Analysen können sich methodisch ähneln (Eintrittswahrscheinlichkeit mal Schadensschwere), unterscheiden sich aber im Schutzgut. Eine Sicherheitsanalyse ersetzt die DSFA deshalb nicht — wohl aber liefert sie wertvolle Vorarbeit für Teil 3 und 4 des Musters. Wer beide verzahnt, vermeidet Doppelarbeit, ohne die datenschutzrechtliche Betroffenenperspektive zu verlieren.
Fazit
Die DSFA ist das Pflichtinstrument für jede Hochrisiko-Verarbeitung. Nutzen Sie die Vorlage nach Art. 35 Abs. 7, bewerten Sie Risiken konsequent aus Betroffenensicht und dokumentieren Sie das Restrisiko ehrlich. Wer strukturiert vorgeht, minimiert nicht nur das Risiko, sondern erspart sich in vielen Fällen die aufwendige Aufsichtskonsultation. Den Normtext des Art. 35 finden Sie bei EUR-Lex, Leitlinien beim Europäischen Datenschutzausschuss.
Siehe auch: Welche Tools die Folgenabschätzung digital abbilden, zeigt unser Vergleich der DSFA-Software im Vergleich.