Ihre Cookie-Einstellungen

EDSA-Leitlinien · Art. 7 DSGVO

Wir verwenden technisch notwendige Cookies für den Betrieb der Plattform (Anmeldung, Sicherheit, Sitzungen). Zusätzlich möchten wir Analyse-Cookies verwenden, um die Plattform zu verbessern.

Sie können alles annehmen, alles ablehnen oder auswählen, welche Kategorien aktiv sein sollen.Ihre Einwilligung gilt 6 Monate und kann jederzeit über die Fußzeile widerrufen werden.

Alles Weitere finden Sie in unserer Datenschutzerklärung.

DPO WorkspaceKostenlos starten

Art. 35 DSGVO

DSFA Software: die Datenschutz-Folgenabschätzung als Arbeitsmittel, nicht als Pflichtübung

Die Datenschutz-Folgenabschätzung ist das Dokument, das Datenschutzbeauftragte, die Entscheidungen dokumentieren, von jenen unterscheidet, die nur Formulare ausfüllen. In DPO Workspace entsteht die DSFA verknüpft mit dem Verarbeitungsverzeichnis des Mandanten und wird mit ihrer Wiedervorlagefrist archiviert – für jeden Mandanten, an einem Ort.

Die deutschen Aufsichtsbehörden haben über die Kriterien des Art. 35 Abs. 3 DSGVO hinaus eigene Positivlisten mit Fallgruppen veröffentlicht, in denen regelmäßig eine DSFA erforderlich ist. Wer mehrere Mandanten aus unterschiedlichen Branchen betreut, braucht dafür eine nachvollziehbare, wiederholbare Methodik – keine Einzelfallentscheidung nach Gefühl.

Wann ist eine DSFA in der Praxis Pflicht?

Die Positivlisten der Aufsichtsbehörden übersetzen Art. 35 Abs. 3 DSGVO in konkrete Fallgruppen. Wer mehrere Mandanten betreut, sollte diese Liste kennen, statt bei jedem neuen Projekt von vorne zu prüfen:

Systematische Bewertung und Profiling

Automatisierte Entscheidungen mit Rechtswirkung, etwa Scoring für Kreditwürdigkeit oder automatisierte Bewerberauswahl, lösen praktisch immer eine DSFA aus – unabhängig von der Betriebsgröße.

Umfangreiche Verarbeitung besonderer Kategorien

Gesundheitsdaten, biometrische Daten oder Angaben zur Gewerkschaftszugehörigkeit in größerem Umfang, etwa bei Personaldienstleistern oder im Gesundheitswesen.

Systematische Überwachung öffentlich zugänglicher Bereiche

Videoüberwachung von Kundenbereichen, Parkplätzen oder Eingängen mit dauerhafter Aufzeichnung fällt regelmäßig darunter, auch bei kleineren Filialnetzen.

Beschäftigten-Geolokalisierung und -Monitoring

Flottenortung, Zeiterfassung mit Standortdaten oder die Auswertung von Arbeitsleistung über Software gehören zu den von den Aufsichtsbehörden ausdrücklich benannten Fällen.

KI-gestützte Systeme

Der Einsatz von KI zur Bewertung, Klassifizierung oder Vorhersage von Verhalten überschneidet sich mit den Hochrisiko-Kategorien des AI Act und braucht ohnehin eine dokumentierte Prüfung.

Der geführte Ablauf

  1. Verarbeitung beschreiben, ausgehend vom Verzeichnis nach Art. 30 des Mandanten
  2. Notwendigkeit, Verhältnismäßigkeit und Risiken mit der geführten Matrix bewerten
  3. Maßnahmen und Restrisiko festlegen, mit den Rechtsgrundlagen direkt daneben
  4. Exportieren und in der Mandantenakte ablegen, mit Wiedervorlagefrist

Was die geführte DSFA konkret liefert

Am Ende jeder DSFA steht nicht nur ein Formular, sondern ein Satz von Artefakten, die im Mandantendossier bleiben und bei der nächsten Prüfung sofort auffindbar sind:

  • Ein exportierbares PDF mit allen Bewertungsschritten, Rechtsgrundlagen und Zeitstempel – vorzeigbar bei einer Anfrage der Aufsichtsbehörde.
  • Eine verknüpfte Risikomatrix, die Eintrittswahrscheinlichkeit und Schwere kombiniert und automatisch das Restrisiko berechnet.
  • Eine Wiedervorlagefrist, die sich an der Art der Verarbeitung orientiert und rechtzeitig vor Ablauf erinnert.
  • Eine direkte Verknüpfung zur Grundrechte-Folgenabschätzung nach Art. 27 AI Act, falls dieselbe Verarbeitung ein KI-System betrifft.

Mit Risikoanalyse und AI-Act-Abschnitt direkt daneben

Im Generator finden Sie auch die Risikoanalyse (berechnete Eintrittswahrscheinlichkeit-Schwere-Matrix) und die Grundrechte-Folgenabschätzung nach Art. 27 AI Act: die DSFA steht mit beiden im Austausch. 30 Tage kostenlos testen, keine Kreditkarte nötig.

Kostenlos testen

Häufige Fragen

Wann ist eine DSFA Pflicht?

Wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt: systematische umfassende Bewertung, umfangreiche Verarbeitung besonderer Datenkategorien, systematische Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 3 DSGVO) – dazu die Fälle, die Aufsichtsbehörden zusätzlich benennen, etwa Biometrie, Beschäftigten-Geolokalisierung, KI-Einsatz und die Verknüpfung von Daten aus mehreren Quellen.

Was muss eine DSFA enthalten?

Eine systematische Beschreibung der Verarbeitung und der Zwecke; eine Bewertung von Notwendigkeit und Verhältnismäßigkeit; eine Bewertung der Risiken für Rechte und Freiheiten; Maßnahmen, um diesen zu begegnen (Art. 35 Abs. 7 DSGVO). Bleibt das Restrisiko hoch, ist eine vorherige Konsultation der Aufsichtsbehörde erforderlich (Art. 36 DSGVO).

Wer muss die DSFA durchführen?

Der Verantwortliche, unter Einbindung des Datenschutzbeauftragten, soweit vorhanden – dessen Rat ist einzuholen und zu dokumentieren, auch wenn der Verantwortliche am Ende die Verantwortung trägt.

Wie hängen DSFA und EU AI Act zusammen?

Die Grundrechte-Folgenabschätzung des AI Act (Art. 27) für Betreiber (Deployer) von Hochrisiko-Systemen kann auf einer bereits durchgeführten DSFA aufbauen: gleiche Fakten, ergänzende Perspektiven (Datenschutz gegenüber Grundrechten allgemein). Beide zusammenzuführen erspart doppelte Arbeit.

Reicht eine allgemeine Risikobewertung ohne strukturierte DSFA?

Nein. Die DSGVO verlangt eine dokumentierte, nachvollziehbare Methodik nach Art. 35 Abs. 7 – eine informelle Einschätzung ohne diese Struktur erfüllt die Nachweispflicht (Art. 5 Abs. 2 DSGVO) nicht.

Wie lange dauert eine DSFA in der Praxis?

Für eine einzelne, klar abgegrenzte Verarbeitung reichen mit einer geführten Vorlage meist zwei bis vier Stunden Bearbeitungszeit, verteilt auf mehrere Sitzungen mit dem Verantwortlichen. Komplexere Fälle mit mehreren Auftragsverarbeitern oder grenzüberschreitenden Übermittlungen brauchen entsprechend länger.

Was passiert, wenn die Aufsichtsbehörde eine DSFA anfordert?

Kann der Verantwortliche keine oder eine unzureichende DSFA vorlegen, wird dies regelmäßig als eigenständiger Verstoß gegen Art. 35 DSGVO gewertet und bei der Bußgeldbemessung berücksichtigt – unabhängig davon, ob die zugrunde liegende Verarbeitung selbst rechtmäßig war. Eine dokumentierte, nachvollziehbare DSFA ist deshalb auch ein Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Jeder Mandant, seine DSFA, seine Frist

Verzeichnis, Risiken, DSFA und Dokumente: verknüpft, nicht verstreut.

Kostenlos starten