Datenschutz-Folgenabschätzung (DSFA): wann sie Pflicht ist und wie Sie sie durchführen

Für wen

Für wen dieser Ratgeber ist

Für alle, die in einem KMU entscheiden müssen, ob ein neues Projekt eine Datenschutz-Folgenabschätzung (DSFA) braucht, und für Datenschutzbeauftragte (DSB) und Berater, die ihre Mandanten begleiten und eine Methode suchen, die sie immer wieder anwenden können. Betreuen Sie mehrere Mandanten, erklärt der Ratgeber für externe DSB mit mehreren Mandanten, wie Sie beraten, ohne die Entscheidung zu übernehmen.

Für wen er nicht ist. Für alle, die eine Rechtsberatung zu einem konkreten Fall brauchen. Dieser Ratgeber erklärt die Regeln und eine praktische Methode, ersetzt aber keine fachliche Beratung.

Die Szene · Montag, 9:10 Uhr

Die Klinik, die Gesichtserkennung am Eingang wollte

Die Clínica Sorriso ist eine Zahnklinik mit 22 Beschäftigten. Vor einem Monat rief der Leiter der Klinik Inês an, die externe Datenschutzbeauftragte: „Wir führen am Eingang Gesichtserkennung ein. Machen Sie uns die Folgenabschätzung und unterschreiben Sie sie, wir vertrauen Ihnen.“

Inês lehnte ab. Sie erklärte, dass die Abschätzung Sache der Klinik ist, schickte eine Vorlage und sagte eine schriftliche Stellungnahme zu. Heute Morgen öffnet Sofia, die Verwaltungsleiterin, die Vorlage zum ersten Mal. Sie hat ein Angebot des Systemanbieters, in drei Wochen einen Termin mit der Klinikleitung und keine Ahnung, wo sie anfangen soll.

Wir begleiten sie Schritt für Schritt durch die Abschätzung.

Die Clínica Sorriso, Sofia, Inês und die übrigen Personen sind erfunden. Die zitierten Regeln, Listen und Leitlinien sind echt.

1 · Was sie ist

Was eine DSFA ist

Eine Datenschutz-Folgenabschätzung ist eine schriftliche Analyse, die Sie erstellen, bevor eine Verarbeitung beginnt. Sie beantwortet vier Fragen: Was machen wir mit den Daten? Müssen wir es wirklich so machen? Was kann für die betroffenen Personen schiefgehen? Und was tun wir dagegen? (Art. 35 Abs. 7)

Die DSGVO hat die frühere Pflicht, praktisch jede Verarbeitung der Behörde zu melden, durch diese Abschätzung ersetzt, die sich auf Verarbeitungen mit hohem Risiko konzentriert (Erwägungsgründe 89 und 90). Deshalb schicken Sie die DSFA nicht an die Aufsichtsbehörde. Sie bleibt in Ihrer Organisation und liegt bereit, wenn die Behörde sie anfordert. Zur Behörde geht sie nur, wenn sich das Risiko nicht senken lässt: Dann folgt die vorherige Konsultation (Abschnitt 7).

In der Praxis spart eine gute DSFA Geld: Ein Projekt auf dem Papier zu ändern ist billiger, als ein bereits gekauftes System abzuschalten, weil die Aufsichtsbehörde es für rechtswidrig hält.

2 · Brauchen Sie eine?

Brauchen Sie eine? Die drei Filter

Prüfen Sie die Verarbeitung mit drei Filtern, in dieser Reihenfolge. Schlägt einer an, machen Sie eine DSFA.

Filter 1: die drei Fälle der DSGVO

Eine DSFA ist unter anderem in diesen Fällen Pflicht (Art. 35 Abs. 3):

1. bei einer systematischen und umfassenden Bewertung persönlicher Aspekte, die auf automatisierter Verarbeitung einschließlich Profiling beruht und als Grundlage für Entscheidungen dient, die Rechtswirkung entfalten oder die Person in ähnlich erheblicher Weise beeinträchtigen. Beispiel: ein System, das Kredite anhand eines automatischen Scores ablehnt;
2. bei der umfangreichen Verarbeitung besonderer Kategorien von Daten (Gesundheit, Biometrie, ethnische Herkunft und andere) oder von Daten über strafrechtliche Verurteilungen und Straftaten;
3. bei der systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche, etwa der Videoüberwachung eines Einkaufszentrums.

Die Patienten- oder Mandantendaten eines einzelnen Arztes, eines anderen Angehörigen eines Gesundheitsberufs oder eines Rechtsanwalts gelten nicht als umfangreich. In diesen Fällen sollte eine DSFA nicht zwingend vorgeschrieben sein (Erwägungsgrund 91).

Filter 2: die Liste der DSK

Welche Verarbeitungen in Deutschland zusätzlich eine DSFA erfordern, legt eine Liste nach Art. 35 Abs. 4 fest. Für Unternehmen, Vereine und Praxen, also den nicht-öffentlichen Bereich, gilt die gemeinsame Liste der Datenschutzkonferenz (DSK), in der sich die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder abstimmen. Es ist die Liste von Verarbeitungsvorgängen nach Art. 35 Abs. 4 DS-GVO für den nicht-öffentlichen Bereich, Version 1.1 vom 17. Oktober 2018. Sie hat 17 Nummern. Hier sind sie in Gruppen zusammengefasst und vereinfacht:

1. Biometrische Daten zur eindeutigen Identifizierung (Nr. 1) und genetische Daten (Nr. 2), jeweils wenn mindestens ein weiteres Kriterium der europäischen Leitlinien hinzukommt. Beispiel: Fingerabdruckscanner an den Türen eines Betriebs.
2. Umfangreiche Verarbeitung von Daten, die einem Berufs- oder Amtsgeheimnis unterliegen, auch wenn es keine besonderen Kategorien sind (Nr. 3). Beispiel: eine große Steuerberatungskanzlei mit Tausenden Mandanten.
3. Aufenthaltsort und Bewegung von Personen in großem Umfang, auch über die Sensoren oder Funksignale mobiler Geräte, sowie umfassende Bewegungs- und Kaufprofile (Nr. 4, 12 und 14). Beispiel: WLAN-Tracking von Kunden in einem Einkaufszentrum oder eine Kundenkarte, die jeden Einkauf speichert.
4. Bewertung von Personen: Daten aus verschiedenen Quellen zusammenführen, um nicht nachvollziehbare algorithmische Entscheidungen zu treffen, Bewertungsdaten in großem Umfang sammeln oder veröffentlichen, umfassende Profile über Interessen, Beziehungen oder Persönlichkeit erstellen, Big-Data-Analysen zusammengeführter Daten und die automatisierte Auswertung von Audio- oder Videoaufnahmen, um die Persönlichkeit zu bewerten (Nr. 5, 7, 9, 10 und 13). Beispiel: Ein Onlineshop entscheidet per Score, wer auf Rechnung kaufen darf.
5. Umfangreiche Verarbeitung von Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeit genutzt werden können (Nr. 8). Beispiel: GPS-Ortung der Firmenwagen, um die Fahrer zu bewerten.
6. Einsatz künstlicher Intelligenz, um die Interaktion mit den Betroffenen zu steuern oder persönliche Aspekte zu bewerten (Nr. 11). Beispiel: ein Chatbot, der Kundenanfragen mit Hilfe der Kundendaten beantwortet.
7. Mobile optisch-elektronische Erfassung in öffentlichen Bereichen, wenn die Daten zentral und in großem Umfang zusammengeführt werden (Nr. 6). Beispiel: die Kameras einer Fahrzeugflotte, deren Aufnahmen zentral ausgewertet werden.
8. Besondere Kategorien von Daten in drei Situationen: Sie werden anonymisiert, um sie an Dritte weiterzugeben (Nr. 15), über innovative Sensoren oder Apps wiederholt erhoben und zentral verarbeitet, auch wenn es nicht um große Mengen geht (Nr. 16), oder dazu genutzt, die Leistungsfähigkeit von Personen zu bestimmen (Nr. 17). Beispiel: eine Telemedizin-App, die Blutzuckerwerte an die Praxis überträgt.

Die Beispiele stammen von uns. Den genauen Wortlaut jeder Nummer mit den Beispielen der DSK finden Sie in der Liste selbst (Link in den Quellen). Die DSK weist darauf hin, dass die Liste nicht abschließend ist: Auch andere Verarbeitungen können ein hohes Risiko mit sich bringen.

Für öffentliche Stellen des Bundes gilt eine eigene Liste der BfDI, der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, vom 9. Oktober 2019. Für den nicht-öffentlichen Bereich verweist die BfDI auf ihrer Seite zur Datenschutz-Folgenabschätzung ebenfalls auf die DSK-Liste.

Die DSGVO erlaubt den Behörden außerdem eine Liste der Verarbeitungen, für die keine DSFA nötig ist (Art. 35 Abs. 5). Eine solche Liste haben weder die DSK noch die BfDI veröffentlicht, und im Register des Europäischen Datenschutzausschusses (EDSA) ist für Deutschland nur die Liste nach Abs. 4 eingetragen (Stand: 4. November 2026). Anders in Österreich: Dort hat die Datenschutzbehörde beide Listen als Verordnungen erlassen, die DSFA-V (BGBl. II Nr. 278/2018) für Verarbeitungen mit DSFA-Pflicht und die DSFA-AV (BGBl. II Nr. 108/2018) für die Ausnahmen.

Filter 3: die neun europäischen Kriterien

Taucht die Verarbeitung in den Filtern 1 und 2 nicht auf, prüfen Sie sie anhand der neun Kriterien aus den europäischen Leitlinien zur DSFA (WP248). Der EDSA hat diese Leitlinien übernommen, und auch die DSK-Liste baut auf ihnen auf:

1. Bewerten oder Einstufen von Personen, einschließlich Profiling und Prognosen;
2. automatisierte Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung;
3. systematische Überwachung von Personen;
4. sensible oder höchst persönliche Daten;
5. Datenverarbeitung in großem Umfang;
6. Abgleichen oder Zusammenführen von Datensätzen, die für unterschiedliche Zwecke erhoben wurden;
7. Daten schutzbedürftiger Personen, etwa von Kindern, Beschäftigten, Patienten oder älteren Menschen;
8. innovative technische oder organisatorische Lösungen, etwa die kombinierte Nutzung von Fingerabdruck und Gesichtserkennung für eine bessere Zutrittskontrolle;
9. Verarbeitungen, die Personen daran hindern, ein Recht auszuüben oder eine Dienstleistung oder einen Vertrag zu nutzen.

Die Faustregel der Leitlinien: In den meisten Fällen kann der Verantwortliche davon ausgehen, dass eine Verarbeitung, die zwei Kriterien erfüllt, eine DSFA erfordert. Auch ein einziges Kriterium kann genügen, wenn das Risiko offensichtlich ist.

Beschäftigte gelten wegen des Machtgefälles zum Arbeitgeber als schutzbedürftig. Deshalb erfüllen fast alle Projekte, die Beschäftigte überwachen oder ihre Leistung messen, sofort zwei Kriterien.

Einige Fälle, durch die Filter geschickt

• Gesichtserkennung am Personaleingang der Clínica Sorriso. Ja. DSK-Liste Nr. 1 (Biometrie zur Zutrittskontrolle, dazu das Kriterium Beschäftigte). Kriterien 4, 7 und 8.
• Software, die Computer- und Internetnutzung der Beschäftigten protokolliert. In der Regel ja. DSK-Liste Nr. 8. Kriterien 3 und 7.
• Automatische Vorauswahl von Bewerbungen, die Kandidaten ohne menschliche Prüfung aussortiert. Ja. Art. 35 Abs. 3 Buchst. a. Kriterien 1, 2 und 7.
• Armbänder, die die Vitalwerte der Bewohner eines Pflegeheims an das Personal senden. Ja. DSK-Liste Nr. 16. Kriterien 4 und 7.
• Patientenkartei einer Praxis mit nur einem Arzt. Keine Pflicht (Erwägungsgrund 91). Kriterien 4 und 7, aber kein großer Umfang.
• Monatlicher Newsletter an Kunden, die ihn bestellt haben. Nein. Kein Kriterium.

Die Einordnung dient nur der Veranschaulichung. Im Einzelfall kommt es auf die konkreten Umstände der Verarbeitung an.

Wenn Sie keine DSFA brauchen, schreiben Sie auf, warum

Erfüllt eine Verarbeitung ein Kriterium und kommen Sie zu dem Schluss, dass kein hohes Risiko besteht, halten Sie die Begründung und die Stellungnahme des DSB fest. Genau das verlangen die europäischen Leitlinien. Ein guter Ort dafür ist Ihr Verzeichnis von Verarbeitungstätigkeiten (VVT): In der Spalte „DSFA erforderlich?“ steht dann „Nein, weil …“ mit Datum.

3 · Wer was macht

Wer was macht

• Verantwortlicher. Sorgt dafür, dass die DSFA durchgeführt wird, und entscheidet. Er kann sie intern oder extern in Auftrag geben, verantwortlich bleibt er trotzdem (Art. 35 Abs. 2).
• DSB, falls vorhanden. Berät, ob eine DSFA nötig ist, welche Methode passt und ob die Ergebnisse der DSGVO entsprechen. Seine Stellungnahme und die Entscheidungen dazu werden schriftlich in der DSFA festgehalten (Art. 35 Abs. 2; Art. 39 Abs. 1 Buchst. c).
• Auftragsverarbeiter (der Systemanbieter). Liefert die Informationen, die der Verantwortliche für die Abschätzung braucht (Art. 28 Abs. 3 Buchst. f).
• Betroffene Personen oder ihre Vertreter. Werden zur geplanten Verarbeitung angehört, wenn das angemessen ist (Art. 35 Abs. 9).
• Interne Teams (IT, Informationssicherheit, die künftigen Nutzer des Systems). Erklären, wie das System funktioniert und welche Risiken sie im Alltag sehen.

Der Leiter der Clínica Sorriso wollte, dass Inês die DSFA erstellt und unterschreibt. Nach den europäischen Leitlinien ist die DSFA aber Sache des Verantwortlichen, und die Stellungnahme des DSB ist nur etwas wert, wenn sie unabhängig ist. Deshalb erstellt Sofia die DSFA, Inês nimmt Stellung und die Klinikleitung entscheidet.

4 · Die Methode

Die Methode in sechs Schritten

Für eine Verarbeitung wie die der Clínica Sorriso rechnen Sie mit einer Woche Arbeit, verteilt auf zwei bis drei Kalenderwochen, weil Sie auf Antworten des Anbieters warten. Für eine einfache Verarbeitung reichen zwei bis drei Tage.

1. Beschreiben Sie die Verarbeitung so, dass sie jemand versteht, der sie nie gesehen hat

Halten Sie den Zweck in einem Satz fest, dazu die erhobenen Daten, wessen Daten es sind, woher sie kommen, wo sie gespeichert werden, wer Zugriff hat, wie lange sie aufbewahrt werden und welche Dienstleister beteiligt sind. Stützen Sie sich auf berechtigte Interessen, schreiben Sie auf, welche (Art. 35 Abs. 7 Buchst. a). Eine einfache Skizze des Datenflusses, von der Kamera bis zum Server, hilft mehr als eine Seite Text.

Sofia bittet den Anbieter um drei schriftliche Antworten: Speichert das System Fotos oder nur ein mathematisches Modell des Gesichts? Wo liegt dieses Modell? Wer hat Zugriff auf die Zutrittsprotokolle? Dabei stellt sich heraus, dass in der angebotenen Version die Modelle der 22 Gesichter auf einem Server des Anbieters außerhalb der Klinik liegen.

2. Fragen Sie, ob es wirklich so sein muss

Erklären Sie, welches Problem die Verarbeitung löst und warum es keinen weniger eingreifenden Weg gibt (Art. 35 Abs. 7 Buchst. b). Prüfen Sie außerdem die Rechtsgrundlage, ob Sie nur die nötigen Daten erheben, die Speicherdauer und wie Sie die Betroffenen informieren.

Das Problem der Klinik sind Zugangskarten, die sich Kollegen gegenseitig ausleihen oder verlieren. Eine Karte mit persönlicher PIN würde fast alles lösen. In Deutschland kommt eine weitere Hürde hinzu: Biometrische Daten zur eindeutigen Identifizierung gehören zu den besonderen Kategorien (Art. 9 Abs. 1 DSGVO). Im Beschäftigungsverhältnis erlaubt § 26 Abs. 3 BDSG ihre Verarbeitung nur, wenn sie erforderlich ist, um Rechte auszuüben oder Pflichten zu erfüllen, die sich aus dem Arbeitsrecht oder dem Sozialrecht ergeben. Für eine Gesichtserkennung an der Tür einer Zahnklinik lässt sich das kaum begründen, solange eine Karte mit PIN denselben Zweck erfüllt.

Bleibt die Einwilligung der Beschäftigten: Sie muss sich ausdrücklich auf die biometrischen Daten beziehen, grundsätzlich schriftlich oder elektronisch erteilt werden und freiwillig sein, was im Arbeitsverhältnis wegen der Abhängigkeit besonders genau zu prüfen ist (§ 26 Abs. 2 und 3 BDSG). Ohne echte Alternative zum Gesichtsscan ist sie kaum freiwillig. Die Einwilligung gilt außerdem nur für den Zweck, für den sie erteilt wurde: Wollte der Klinikleiter das System auch nutzen, um Pausen zu messen, wäre das davon nicht gedeckt. Hat die Klinik einen Betriebsrat, bestimmt dieser mit, denn das System ist eine technische Einrichtung, mit der sich das Verhalten der Beschäftigten überwachen lässt (§ 87 Abs. 1 Nr. 6 BetrVG).

3. Bewerten Sie die Risiken aus Sicht der Betroffenen

Hier zählt das Risiko für die Menschen, deren Daten verarbeitet werden, nicht das Risiko für das Unternehmen (Art. 35 Abs. 7 Buchst. c). Überlegen Sie für jedes Risiko, was passieren kann, wie wahrscheinlich es ist und wie schwer die Folgen wären. Drei Fragen helfen, nichts zu vergessen: Was, wenn Unbefugte auf die Daten zugreifen? Was, wenn die Daten verändert werden oder falsch sind? Was, wenn sie verschwinden oder nicht mehr verfügbar sind?

Sofias Liste:

• Ein Abfluss der Gesichtsmodelle wiegt schwer, denn ein Gesicht lässt sich nicht austauschen wie ein Passwort.
• Das System könnte später dazu dienen, Arbeitszeiten und Pausen zu überwachen, ohne dass das je jemand beschlossen hat.
• Das System erkennt eine Person nicht, und sie steht vor verschlossener Tür.
• Wer sein Gesicht nicht scannen lassen will, hat das Gefühl, keine Wahl zu haben.

4. Legen Sie die Maßnahmen fest, die jedes Risiko senken

Notieren Sie für jedes Risiko die Maßnahme, wer sie umsetzt und bis wann (Art. 35 Abs. 7 Buchst. d). Am wirksamsten sind meist Maßnahmen, die die Verarbeitung selbst anders gestalten, statt nur Sicherheit obendrauf zu setzen.

Die Maßnahmen der Klinik:

• Das Gesichtsmodell wird auf der Karte jedes Beschäftigten gespeichert und nur im Lesegerät an der Tür abgeglichen, ohne zentrale Datenbank und ohne Fotos.
• Der Vertrag mit dem Anbieter nach Art. 28 legt fest, dass die Zutrittsprotokolle nur der Zutrittskontrolle dienen.
• Die Tür öffnet sich auch mit Karte und PIN, für alle, die das System nicht erkennt oder die ihr Gesicht nicht nutzen wollen.
• Die Beschäftigten erhalten die Informationen nach Art. 13, bevor das System in Betrieb geht, und die Klinik holt ihre Meinung in einer Besprechung ein (Art. 35 Abs. 9).

5. Schließen Sie die DSFA mit einer unterschriebenen Entscheidung ab

Bewerten Sie nach den Maßnahmen das verbleibende Risiko. Fügen Sie die Stellungnahme des DSB bei und, falls die Leitung ihr nicht folgt, die Begründung dafür. Die abschließende Entscheidung trifft die Leitung der Organisation und hält sie mit Name und Datum fest.

Bleibt das Restrisiko hoch, starten Sie die Verarbeitung nicht, sondern konsultieren zuerst die Aufsichtsbehörde.

In der Clínica Sorriso bestätigt Inês schriftlich, dass das Risiko mit dem Modell auf der Karte und der Alternative mit PIN nicht mehr hoch ist. Die Klinikleitung genehmigt diese Version. Wäre das Ergebnis anders ausgefallen, hätte die Klinik vor dem Einschalten des Systems die zuständige Aufsichtsbehörde konsultieren müssen.

6. Legen Sie die nächste Überprüfung fest

Die DSFA begleitet die Verarbeitung, solange es sie gibt. Überprüfen Sie sie mindestens dann, wenn sich die Risiken ändern: ein neuer Dienstleister, mehr Daten, ein neuer Zweck, ein Vorfall (Art. 35 Abs. 11). Die europäischen Leitlinien verlangen, dass die DSFA laufend überprüft und regelmäßig neu bewertet wird, nennen aber keine feste Frist. Eine jährliche Überprüfung und eine weitere bei jeder wesentlichen Änderung sind eine vernünftige Routine.

5 · Der Inhalt

Was in die DSFA gehört

Prüfen Sie mit dieser Liste, ob Ihre DSFA vollständig ist. Die ersten vier Punkte sind das gesetzliche Minimum, die übrigen stammen aus den europäischen Leitlinien.

• Beschreibung. Zweck, Daten, betroffene Personen, Empfänger, Speicherdauer, Systeme und Dienstleister (Art. 35 Abs. 7 Buchst. a).
• Notwendigkeit und Verhältnismäßigkeit. Rechtsgrundlage, Datenminimierung, Fristen, Information der Betroffenen, Ausübung ihrer Rechte (Art. 35 Abs. 7 Buchst. b).
• Risiken. Jedes Risiko mit Ursache, Eintrittswahrscheinlichkeit und Schwere für die Betroffenen (Art. 35 Abs. 7 Buchst. c).
• Maßnahmen. Maßnahmen, Garantien und Verfahren, jeweils mit Zuständigkeit und Frist (Art. 35 Abs. 7 Buchst. d).
• Stellungnahme des DSB. Schriftlich, mit Datum, und was die Leitung dazu entschieden hat.
• Meinung der Betroffenen. Wie sie angehört wurden oder warum das nicht angemessen war.
• Entscheidung. Restrisiko, Freigabe mit Name und Datum, gegebenenfalls Konsultation der Aufsichtsbehörde.
• Überprüfung. Datum der nächsten Überprüfung und welche Ereignisse sie vorziehen würden.

Eine einzige DSFA kann mehrere ähnliche Verarbeitungen mit ähnlich hohen Risiken abdecken (Art. 35 Abs. 1). Eine Klinikkette mit demselben System an allen Eingängen kann also eine Abschätzung für alle Standorte erstellen.

6 · Fehler

Sechs Fehler, die eine DSFA wertlos machen

• Die DSFA erst nach dem Kauf des Systems erstellen. Dann will niemand mehr hören, dass das Projekt anders aussehen müsste. Das Gesetz verlangt die DSFA vor der Verarbeitung.
• Das Risiko für das Unternehmen bewerten. Bußgelder und Reputation misst die DSFA nicht. Es geht darum, was den Menschen passieren kann.
• Die Notwendigkeit überspringen. Viele DSFA beschreiben das System und springen gleich zur Sicherheit, ohne zu fragen, ob es einen weniger eingreifenden Weg zum selben Ergebnis gegeben hätte.
• Die Unterlagen des Anbieters abschreiben. Der Anbieter kennt sein Produkt, aber nicht Ihre Umgebung, Ihre Beschäftigten und Ihre Kunden.
• Den DSB die DSFA erstellen und unterschreiben lassen. Der DSB berät. Erstellt er die Abschätzung selbst, kann er sie nicht mehr unabhängig prüfen.
• Ablegen und vergessen. Eine DSFA von 2021 zu einem System, das seither Anbieter und Zweck gewechselt hat, beschreibt nichts mehr.

7 · Vorherige Konsultation

Wenn das Risiko hoch bleibt: die vorherige Konsultation der Aufsichtsbehörde

Zeigt die DSFA, dass die Verarbeitung ohne Maßnahmen des Verantwortlichen ein hohes Risiko hätte, und reichen die Maßnahmen nicht, um es zu senken, müssen Sie die Aufsichtsbehörde konsultieren, bevor die Verarbeitung beginnt (Art. 36 Abs. 1; Erwägungsgrund 94).

Zuständig ist für Unternehmen in der Regel die Datenschutzbehörde des Bundeslandes, in dem sie ihren Sitz haben, denn nach § 40 BDSG beaufsichtigen die Länder die nicht-öffentlichen Stellen. Für öffentliche Stellen des Bundes sowie für Telekommunikations- und Postdienste ist die BfDI zuständig. Ein bundesweit einheitliches Formular für die Konsultation haben wir nicht gefunden. Fragen Sie deshalb vorab bei Ihrer Behörde nach, auf welchem Weg sie die Unterlagen haben möchte und ob nach Landesrecht eine Gebühr anfällt. Legen Sie die vollständige DSFA mit den geplanten Maßnahmen zur Risikominderung bei, dazu die Kontaktdaten Ihres DSB (Art. 36 Abs. 3).

Kommt die Behörde zu dem Schluss, dass die Verarbeitung gegen die DSGVO verstoßen würde, gibt sie Ihnen innerhalb von höchstens acht Wochen nach Eingang des Ersuchens schriftliche Empfehlungen. Bei komplexen Verarbeitungen kann sie die Frist um bis zu sechs Wochen verlängern und teilt Ihnen das innerhalb eines Monats mit. Solange die Behörde auf Informationen wartet, die sie angefordert hat, ruhen die Fristen (Art. 36 Abs. 2).

Mit Verlängerung kann die Antwort also bis zu 14 Wochen dauern, Unterbrechungen nicht mitgerechnet. Planen Sie den Start mit diesem Puffer, und beginnen Sie die Verarbeitung nicht, während Sie warten.

8 · Vorlagen

Kostenlose Vorlagen und Werkzeuge

Ein eigenes Formular müssen Sie nicht erfinden. Diese Vorlagen stammen aus amtlichen Quellen:

• EDSA, DSFA-Vorlage (Word, mit Erläuterungen). Sie ist als gemeinsame Grundlage für die europäischen Aufsichtsbehörden gedacht. Laut EDSA werden die Behörden sie als einzige Vorlage übernehmen oder als „meta-template“, mit dem nationale Vorlagen vereinbar sein müssen. Sie liegt bisher nur auf Englisch vor, in Version 1 vom April 2026. Die öffentliche Konsultation endete am 9. Juni, die endgültige Fassung ist noch nicht veröffentlicht. Die Nutzung ist freiwillig.
• DSK, Standard-Datenschutzmodell (SDM), Version 3.1. Die Methode der deutschen Aufsichtsbehörden, mit der sich die Anforderungen der DSGVO in technische und organisatorische Maßnahmen übersetzen lassen. Die WP248-Leitlinien nennen es in Anhang 1 als Beispiel für einen DSFA-Rahmen. Nützlich vor allem für Schritt 4.
• CNIL, Software PIA. Open-Source-Programm der französischen Datenschutzbehörde, das Schritt für Schritt durch die DSFA führt, auch auf Deutsch verfügbar. Es folgt der Methode der CNIL.
• CNIL, PIA-Leitfäden: Methode, Vorlagen und Wissensbasen. Beispiele für Risiken und Maßnahmen als Anregung für die eigene Analyse. Auf Französisch.
• Leitlinien WP248 (Seite der Europäischen Kommission mit allen Sprachfassungen). Die neun Kriterien und die Anforderungen an eine akzeptable DSFA (Anhang 2). Eine Vorlage zum Ausfüllen sind sie nicht.

Sind Sie DSB für mehrere Mandanten, wählen Sie eine Vorlage und verwenden Sie sie überall. Naheliegend ist die des EDSA, denn auf ihr werden die europäischen Aufsichtsbehörden aufbauen.

Ein Pulsaiq-Kit für die DSFA gibt es noch nicht. Bis es so weit ist, hilft das Kit für das Verzeichnis von Verarbeitungstätigkeiten: An seiner Spalte „DSFA erforderlich?“ sehen Sie, welche Verarbeitungen Sie zuerst prüfen sollten.

Was sich ändern kann · aktualisiert am 4. Nov. 2026

Die Listen könnten europäisch werden. Gesetz ist das noch nicht.

Der Digital Omnibus, den die Europäische Kommission im November 2025 vorgeschlagen hat (COM(2025) 837), sieht EU-weit gemeinsame Listen der Verarbeitungen vor, die eine Folgenabschätzung erfordern und die keine erfordern. Der Rat geht in seinem am 21. Oktober 2026 beschlossenen Verhandlungsmandat weiter: Eine einzige EU-Liste würde die nationalen Listen ersetzen, und eine Liste der Verarbeitungen ohne DSFA-Pflicht würde verpflichtend (Erwägungsgrund 40 des Mandats, Dokument 14756/26). Das Europäische Parlament hat seinen Standpunkt noch nicht festgelegt.

Was das heute für Sie bedeutet: Bis ein endgültiger Text im Amtsblatt steht, gelten die DSK-Liste und die europäischen Kriterien aus diesem Ratgeber. Was der Omnibus sonst noch ändern würde, steht im Artikel zum Digital Omnibus.

Und künstliche Intelligenz? Setzen Sie ein Hochrisiko-KI-System ein, verpflichtet Sie die KI-Verordnung (AI Act), für die DSFA die Informationen zu nutzen, die Ihnen der Anbieter gibt (Verordnung (EU) 2024/1689, Art. 26 Abs. 9). Manche Betreiber, etwa öffentliche Stellen und Unternehmen, die mit KI die Kreditwürdigkeit prüfen, müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen (Art. 27). Diese Regeln gelten für die Bereiche aus Anhang III ab dem 2. Dezember 2027. Den Rest erklärt der Artikel zum AI Act.

Zum Ausdrucken

Checkliste: Ist Ihre DSFA fertig?

• Die Verarbeitung ist durch alle drei Filter gegangen, und das Ergebnis ist festgehalten, auch wenn es Nein lautete.
• Die DSFA wurde erstellt, bevor die Verarbeitung begann.
• Die Beschreibung sagt, welche Daten, von wem, wofür, wo sie liegen, wer Zugriff hat und wie lange sie gespeichert werden.
• Die DSFA begründet, warum es keinen weniger eingreifenden Weg zum selben Ergebnis gibt.
• Die Risiken sind aus Sicht der Betroffenen beschrieben, mit Wahrscheinlichkeit und Schwere.
• Jedes Risiko hat eine Maßnahme, eine zuständige Person und eine Frist.
• Der Anbieter hat die nötigen technischen Informationen schriftlich geliefert.
• Der DSB hat schriftlich Stellung genommen, und die Entscheidung dazu ist dokumentiert.
• Die Betroffenen oder ihre Vertreter wurden angehört, oder es ist festgehalten, warum das nicht angemessen war.
• Die abschließende Entscheidung trägt Name und Datum und sagt, ob das Restrisiko hoch ist.
• Bleibt das Risiko hoch, wurde die Aufsichtsbehörde vor dem Start konsultiert.
• Ein Termin für die nächste Überprüfung steht fest.

Häufige Fragen

Häufige Fragen

Muss ein KMU überhaupt Folgenabschätzungen machen?

Ja, für Verarbeitungen mit hohem Risiko. Die Größe des Unternehmens spielt dabei keine Rolle. Eine Klinik mit 22 Beschäftigten, die Gesichtserkennung einführen will, braucht eine DSFA. Ein Konzern, der einen Newsletter an Abonnenten verschickt, braucht dafür keine.

Muss ich die DSFA an die Aufsichtsbehörde schicken?

Nein. Die DSFA bleibt in Ihrer Organisation. Zur Behörde geht sie nur, wenn das Risiko hoch bleibt und Sie deshalb die vorherige Konsultation einleiten, oder wenn die Behörde sie anfordert.

Darf der DSB die DSFA erstellen?

Besser nicht. Die DSFA ist Aufgabe des Verantwortlichen, der DSB nimmt dazu Stellung (Art. 35 Abs. 2 und Art. 39 Abs. 1 Buchst. c). Er kann die Vorlage liefern und die Arbeit begleiten, die Entscheidung wird aber als die der Organisation dokumentiert.

Wie oft muss ich die DSFA überprüfen?

Eine feste Frist nennt das Gesetz nicht. Es verlangt eine Überprüfung zumindest dann, wenn sich die Risiken ändern (Art. 35 Abs. 11), und die europäischen Leitlinien fordern eine regelmäßige Neubewertung. Eine jährliche Überprüfung plus eine bei jeder wesentlichen Änderung deckt beides ab.

Kann eine DSFA für mehrere Verarbeitungen gelten?

Ja, wenn sie ähnlich sind und ähnlich hohe Risiken haben (Art. 35 Abs. 1). Das lohnt sich, wenn Sie dasselbe System in mehreren Filialen, Praxen oder Büros einsetzen.

Muss ich die DSFA veröffentlichen?

Nein. Die europäischen Leitlinien regen aber an, zumindest eine Zusammenfassung oder die Ergebnisse zu veröffentlichen, weil das den Betroffenen zeigt, dass über das Risiko nachgedacht wurde.

Kann ich die Vorlage des EDSA schon verwenden?

Ja. Der EDSA ermutigt Organisationen, sie zu nutzen, und betont, dass sie nicht verpflichtend ist. Sie liegt in Version 1 vom April 2026 vor, die endgültige Fassung kann sich noch ändern.

Nur amtliche Quellen

Quellen

Gesetze

• Verordnung (EU) 2016/679 (DSGVO), Artikel 9, 13, 28, 35, 36 und 39 sowie Erwägungsgründe 89, 90, 91 und 94 (EUR-Lex)
• Bundesdatenschutzgesetz (BDSG), § 26 und § 40 (gesetze-im-internet.de)
• Betriebsverfassungsgesetz (BetrVG), § 87, Abs. 1 Nr. 6 (gesetze-im-internet.de)
• Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act), Artikel 26 und 27 (EUR-Lex)

Aufsichtsbehörden

• DSK, Liste von Verarbeitungsvorgängen nach Art. 35 Abs. 4 DS-GVO für den nicht-öffentlichen Bereich, Version 1.1, 17. Okt. 2018
• DSK, Kurzpapier Nr. 5: Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO, Stand 17. Dez. 2018
• DSK, Das Standard-Datenschutzmodell (SDM), Version 3.1
• BfDI, Datenschutz-Folgenabschätzungen und Listen von Verarbeitungsvorgängen
• BfDI, Liste von Verarbeitungsvorgängen der BfDI für die öffentlichen Stellen des Bundes, 9. Okt. 2019
• EDSA, Register der Listen zur Datenschutz-Folgenabschätzung
• Österreichische Datenschutzbehörde, Datenschutzbericht 2018, zu DSFA-V und DSFA-AV
• Artikel-29-Datenschutzgruppe, Leitlinien zur Datenschutz-Folgenabschätzung (WP248 rev.01), überarbeitet am 4. Okt. 2017, vom EDSA übernommen
• EDSA, Meldung zur DSFA-Vorlage, 14. Apr. 2026 (Englisch)
• EDSA, öffentliche Konsultation zur DSFA-Vorlage, mit Vorlage und Erläuterungen (Englisch)
• CNIL, Software PIA (Französisch)
• CNIL, Ce qu’il faut savoir sur l’AIPD (Französisch)

Laufende Vorschläge

• Europäische Kommission, Vorschlag COM(2025) 837, Digital Omnibus
• Rat der EU, Verhandlungsmandat, Dokument 14756/26, 22. Okt. 2026 (Englisch)
• EDSA und EDSB, Gemeinsame Stellungnahme 2/2026 zum Digital Omnibus (Englisch)

Zuletzt geprüft: 4. November 2026. Wir überarbeiten diesen Ratgeber, sobald sich das Gesetz oder die Leitlinien der Aufsichtsbehörden ändern.

Dieser Ratgeber ist eine allgemeine Information zur DSGVO und ersetzt keine Rechtsberatung. Für Entscheidungen im Einzelfall wenden Sie sich an eine qualifizierte Fachperson. Die Personen und Unternehmen in den Beispielen sind erfunden.