DSFA-Vorlage (Datenschutz-Folgenabschätzung): wann sie Pflicht ist und was hineingehört
Eine Datenschutz-Folgenabschätzung (DSFA) ist die Analyse, die Sie vor einer Verarbeitung personenbezogener Daten durchführen, die voraussichtlich ein hohes Risiko für Personen mit sich bringt: Sie beschreibt die Verarbeitung, prüft Notwendigkeit und Verhältnismäßigkeit, bewertet die Risiken für die Rechte der Betroffenen und legt Maßnahmen fest, die sie verringern. Die DSGVO verlangt sie in Art. 35; in der Schweiz sieht das revidierte Datenschutzgesetz (DSG, Art. 22) ein vergleichbares Instrument vor. Bleibt das Risiko nach den Maßnahmen hoch, ist vor Beginn die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO). Dieser Leitfaden dient nur der Information und ist keine Rechtsberatung.
Wann eine DSFA Pflicht ist
Art. 35 Abs. 1 DSGVO verlangt eine DSFA, wenn eine Verarbeitung aufgrund ihrer Art, ihres Umfangs, ihrer Umstände oder ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen zur Folge hat, insbesondere beim Einsatz neuer Technologien. Art. 35 Abs. 3 nennt drei Fälle, in denen sie immer erforderlich ist:
- Systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die rechtliche oder ähnlich erhebliche Wirkung entfaltet.
- Umfangreiche Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten.
- Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
Zusätzlich veröffentlichen die Aufsichtsbehörden Listen von Verarbeitungen, für die immer eine DSFA nötig ist (Art. 35 Abs. 4); in Deutschland hat die Datenschutzkonferenz (DSK) eine solche „Muss-Liste“ veröffentlicht, einzelne Landesbehörden ergänzen sie. Prüfen Sie die aktuelle Liste Ihrer zuständigen Behörde, bevor Sie entscheiden, dass keine DSFA nötig ist.
Vorprüfung: die 9 Kriterien des Europäischen Datenschutzausschusses
Für Fälle, die weder im Gesetz noch auf der Liste stehen, nennen die vom Europäischen Datenschutzausschuss bestätigten DSFA-Leitlinien 9 Kriterien. Als Faustregel gilt: Erfüllt eine Verarbeitung zwei oder mehr davon, ist voraussichtlich eine DSFA nötig. Dokumentieren Sie diese Vorprüfung für jede neue oder wesentlich geänderte Verarbeitung schriftlich, auch wenn das Ergebnis „keine DSFA nötig“ lautet:
| Kriterium | Beispiel |
|---|---|
| 1. Bewertung oder Scoring von Personen (Profiling) | Bonitäts-Score, Verhaltenssegmentierung |
| 2. Automatisierte Entscheidung mit rechtlicher oder ähnlicher Wirkung | Automatische Ablehnung einer Bewerbung oder eines Kredits |
| 3. Systematische Überwachung | Beschäftigtenüberwachung, Videoüberwachung von Räumen |
| 4. Sensible oder höchstpersönliche Daten | Gesundheit, Biometrie, Daten von Kindern, Standort |
| 5. Umfangreiche Verarbeitung | Viele Personen, großes Volumen, lange Dauer oder großes Gebiet |
| 6. Abgleich oder Zusammenführung von Datensätzen | Verknüpfung von Daten aus zwei Systemen mit unterschiedlichen Zwecken |
| 7. Schutzbedürftige Betroffene | Kinder, Patienten, Beschäftigte gegenüber dem Arbeitgeber |
| 8. Neue Technologie oder innovative Nutzung | Gesichtserkennung, KI-Systeme, vernetzte Geräte |
| 9. Verarbeitung hindert Personen an der Ausübung eines Rechts oder der Nutzung einer Leistung | Automatisiertes Screening vor dem Abschluss einer Versicherung |
Beispiel: Ein Onlineshop, der Kaufprofile (Kriterium 1) von Hunderttausenden Kunden (Kriterium 5) erstellt, erfüllt zwei Kriterien und sollte eine DSFA durchführen; die Lohnabrechnung eines kleinen Unternehmens in der Regel nicht.
ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem
34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A
Das ISO-27701-Kit mit DSFA-Verfahren und VVT-Vorlage ansehenWas eine DSFA enthalten muss (Art. 35 Abs. 7)
Das Gesetz legt einen Mindestinhalt fest. Eine brauchbare Vorlage gliedert ihn in Abschnitte und lässt Platz für Nachweise:
| Abschnitt | Was eingetragen wird | Grundlage |
|---|---|---|
| Beschreibung der Verarbeitung | Zweck, Daten, betroffene Personen, Systeme, Dienstleister, Datenfluss und gegebenenfalls das berechtigte Interesse | Art. 35 Abs. 7 lit. a |
| Notwendigkeit und Verhältnismäßigkeit | Rechtsgrundlage, Datenminimierung, Löschfristen, Information der Betroffenen und Ausübung ihrer Rechte | Art. 35 Abs. 7 lit. b |
| Risiken für die Betroffenen | Was schiefgehen kann (unbefugter Zugriff, Diskriminierung, Kontrollverlust über die eigenen Daten), Eintrittswahrscheinlichkeit und Schwere | Art. 35 Abs. 7 lit. c |
| Abhilfemaßnahmen | Technische und organisatorische Maßnahmen gegen jedes Risiko, mit Verantwortlichem und Termin | Art. 35 Abs. 7 lit. d |
| Restrisiko und Entscheidung | Niveau nach den Maßnahmen, Freigabe und, falls weiterhin hoch, vorherige Konsultation der Behörde | Art. 36 |
| Stellungnahmen | Rat des Datenschutzbeauftragten und gegebenenfalls Standpunkt der Betroffenen | Art. 35 Abs. 2 und 9 |
Eine DSFA ist keine einmalige Übung: Art. 35 Abs. 11 verlangt eine Überprüfung, wenn sich das Risiko ändert, etwa durch neue Daten, einen neuen Dienstleister oder eine automatisierte Funktion.
Schritt für Schritt
- Vom Verzeichnis von Verarbeitungstätigkeiten ausgehen: die Verarbeitung auswählen und Zweck, Daten, Empfänger und Löschfrist übernehmen.
- Die Vorprüfung mit den 9 Kriterien und der Muss-Liste Ihrer Behörde durchführen und ablegen, auch wenn keine DSFA nötig ist.
- Den Datenfluss darstellen: woher die Daten kommen, wo sie gespeichert werden, wer zugreift und wohin sie gehen.
- Jedes Risiko für die Betroffenen mit derselben Skala für Wahrscheinlichkeit und Schwere wie im Risikoregister bewerten.
- Maßnahmen mit Verantwortlichem und Termin festlegen, das Restrisiko berechnen und vom Verantwortlichen der Verarbeitung freigeben lassen.
- Den Datenschutzbeauftragten um Rat fragen und, wenn das Restrisiko hoch bleibt, die vorherige Konsultation vorbereiten, bevor die Verarbeitung beginnt.
Wie die DSFA zu ISO 27701 passt
ISO/IEC 27701:2025 führt die Datenschutz-Folgenabschätzung unter den Maßnahmen für Verantwortliche (Control A.1.2.6) und verbindet sie mit der Risikobeurteilung des Managementsystems (Abschnitt 6.1). Deshalb kann eine Methode mehrere Gesetze abdecken:
- DSGVO: DSFA in den Fällen des Art. 35 und vorherige Konsultation nach Art. 36.
- Schweiz (DSG): Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 22) und Konsultation des EDÖB, wenn das Risiko trotz Maßnahmen hoch bleibt (Art. 23).
- ISO 27001: dieselbe Skala für Wahrscheinlichkeit und Auswirkung wie im Risikoregister erleichtert Audits beider Systeme.
Das NexoDocs-Kit ISO 27701 enthält ein DSFA-Verfahren (PIMS-PRO-02) mit der Vorprüfung und den oben genannten Abschnitten, verknüpft mit dem Verzeichnis von Verarbeitungstätigkeiten (PIMS-ROP-01) und dem Datenschutz-Risikoregister (PIMS-RSK-02), als bearbeitbare Word- und Excel-Dateien.
Häufige Fehler
- Die DSFA erst nach Beginn der Verarbeitung durchführen: Das Gesetz verlangt sie vorher.
- Nur die Risiken für das Unternehmen (Bußgelder, Ruf) bewerten statt der Risiken für die Betroffenen, die den Kern der DSFA bilden.
- Die Vorprüfung nicht schriftlich festhalten, wenn keine DSFA nötig ist.
- Eine allgemeine DSFA kopieren, ohne den tatsächlichen Datenfluss und die Dienstleister zu beschreiben.
- Die DSFA nicht überprüfen, wenn sich die Verarbeitung ändert oder ein KI-Werkzeug hinzukommt.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem
34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A
Das ISO-27701-Kit mit DSFA-Verfahren und VVT-Vorlage ansehen
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Ist eine DSFA für jedes Unternehmen Pflicht?
Nein. Nach Art. 35 DSGVO ist sie nur für Verarbeitungen Pflicht, die voraussichtlich ein hohes Risiko für Personen mit sich bringen, etwa die drei Fälle des Art. 35 Abs. 3 oder die auf der Liste Ihrer Behörde. Für alle anderen genügt es, die Vorprüfung zu dokumentieren.
Was ist der Unterschied zwischen DSFA und Risikoanalyse der Informationssicherheit?
Eine Risikoanalyse der Informationssicherheit (zum Beispiel nach ISO 27001) betrachtet vor allem Werte und das Risiko für die Organisation. Eine DSFA betrachtet eine bestimmte Verarbeitung und das Risiko für die Rechte und Freiheiten der Betroffenen und prüft zusätzlich Notwendigkeit und Verhältnismäßigkeit.
Wer führt die DSFA durch?
Der Verantwortliche, meist der Prozessverantwortliche mit Unterstützung des Datenschutzbeauftragten, der Informationssicherheit und der IT. Ein Auftragsverarbeiter liefert Informationen zu seinen Systemen, die Pflicht liegt aber beim Verantwortlichen.
Muss ich die DSFA an die Aufsichtsbehörde schicken?
Im Allgemeinen nicht. Nur wenn das Risiko nach den Maßnahmen hoch bleibt, ist die Behörde vor Beginn der Verarbeitung zu konsultieren (Art. 36). Die DSFA wird als Nachweis aufbewahrt und auf Anfrage vorgelegt.
Ersetzt dieser Leitfaden eine Rechtsberatung?
Nein. Er ist eine allgemeine Information zur Organisation der Arbeit und keine Rechtsberatung. Für Entscheidungen zu Rechtsgrundlagen oder zur vorherigen Konsultation wenden Sie sich an eine Fachperson.
Verwandte Leitfäden
Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Inhalt und wann eine DSFA nötig ist
Was das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO enthalten muss, wer es führen muss, wann eine DSFA nötig ist und wie es zu ISO 27701 passt.
Leitfaden lesen →ISO 27701:2025 Pflichtdokumente
Welche dokumentierte Information ISO/IEC 27701:2025 verlangt: Geltungsbereich, Richtlinie, Risiken, Anwendbarkeitserklärung, Nachweise, je mit Abschnitt.
Leitfaden lesen →ISO 27701 und DSGVO: was ist der Unterschied?
ISO/IEC 27701 ist eine freiwillige, zertifizierbare Norm, die DSGVO ein EU-Gesetz. Unterschiede, Überschneidungen und wie ISO 27701 DSGVO-Nachweise ordnet.
Leitfaden lesen →Aktualisiert: 2026-10-28