Eine Datenschutz-Folgenabschätzung (DSFA) ist kein optionales Instrument — sie ist nach Art. 35 DSGVO in vielen Situationen Pflicht. Doch viele Unternehmen scheitern nicht am Willen, sondern an der praktischen Umsetzung: Wie sieht ein vollständiges DSFA-Muster aus? Was muss es enthalten? Und wie strukturiert man die Bewertung rechtssicher?
Dieser Leitfaden liefert Ihnen ein konkretes DSFA-Muster nach Art. 35 Abs. 7 DSGVO mit allen Pflichtbestandteilen — von der Beschreibung der Verarbeitungsvorgänge bis zu den Abhilfemaßnahmen. Er ergänzt unsere weiterführenden Artikel zu DSFA bei KI-Systemen und zur Abgrenzung von DSFA und allgemeiner Risikobewertung.
Wann ist eine DSFA Pflicht?
Art. 35 Abs. 1 DSGVO verpflichtet den Verantwortlichen zur DSFA, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ birgt. Die Aufsichtsbehörden haben in sogenannten Blacklists konkretisiert, welche Verarbeitungen stets einer DSFA bedürfen.
Typische Pflichtfälle nach der Orientierungshilfe der Datenschutzkonferenz (DSK):
- Umfangreiche Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO), z. B. Gesundheitsdaten
- Systematische und umfangreiche Bewertung persönlicher Aspekte durch automatisierte Verarbeitung, einschließlich Profiling
- Systematische Überwachung öffentlich zugänglicher Bereiche (z. B. Videoüberwachung)
- Einsatz neuer Technologien oder innovativer Nutzung etablierter Technologien (z. B. KI-gestützte Verarbeitung)
- Verarbeitung biometrischer Daten zur eindeutigen Identifizierung
Das Verwaltungsgericht Wiesbaden (Az. 6 K 222/19.WI) hat bestätigt, dass die Pflicht zur DSFA bereits entsteht, wenn ein hohes Risiko wahrscheinlich ist — nicht erst wenn es eingetreten ist. Unternehmen tragen die Beweislast dafür, dass eine DSFA nicht erforderlich war.
Pflichtbestandteile nach Art. 35 Abs. 7 DSGVO: Das DSFA-Muster
Art. 35 Abs. 7 DSGVO legt abschließend fest, welche vier Elemente eine DSFA mindestens enthalten muss. Nachfolgend finden Sie für jedes Element eine praxiserprobte Vorlage-Struktur.
a) Systematische Beschreibung der geplanten Verarbeitungsvorgänge
Art. 35 Abs. 7 lit. a DSGVO fordert eine „systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen“.
Vorlage für Abschnitt A:
- Bezeichnung der Verarbeitung: [z. B. KI-gestützte Bonitätsprüfung für Kreditentscheidungen]
- Verarbeitungszweck: [z. B. Automatisierte Risikobewertung zur Kreditvergabe]
- Betroffene Datenkategorien: [z. B. Name, Adresse, Schufa-Score, Kontobewegungen]
- Kategorien betroffener Personen: [z. B. Kreditantragsteller, volljährige natürliche Personen]
- Empfänger oder Kategorien von Empfängern: [z. B. Kreditabteilung, externer Auskunfteidienst]
- Übermittlungen in Drittländer: [z. B. keine / unter Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO]
- Löschfristen: [z. B. 3 Jahre nach Ablehnung, 10 Jahre nach Vertragsende gem. § 147 AO]
- Technisch-organisatorische Maßnahmen (überblicksartig): [z. B. Pseudonymisierung, Zugriffskontrolle, Verschlüsselung]
b) Bewertung der Notwendigkeit und Verhältnismäßigkeit
Art. 35 Abs. 7 lit. b DSGVO verlangt eine Bewertung der „Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck“.
Vorlage für Abschnitt B:
- Rechtsgrundlage: [z. B. Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung; Art. 22 Abs. 2 lit. a DSGVO — automatisierte Entscheidung bei Vertragsnotwendigkeit]
- Ist der Zweck legitim? [Begründung, z. B. Risikominimierung bei Kreditvergabe ist anerkannter Geschäftszweck]
- Sind die Mittel verhältnismäßig? [Prüfung: Gibt es weniger eingreifende Alternativen? Wenn ja, warum wurden sie nicht gewählt?]
- Datenminimierung: [Welche Daten werden tatsächlich benötigt? Werden keine überschüssigen Daten verarbeitet?]
- Speicherbegrenzung: [Ist die Speicherdauer auf das Notwendige beschränkt?]
- Betroffenenrechte: [Wie werden Auskunft, Berichtigung, Widerspruch technisch umgesetzt?]
Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien 04/2022 zur Berechnung von Bußgeldern klargestellt, dass fehlende oder mangelhafte DSFA-Dokumentation als erschwerender Umstand bei der Bußgeldbemessung gilt.
c) Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
Art. 35 Abs. 7 lit. c DSGVO fordert die Bewertung der „Risiken für die Rechte und Freiheiten der betroffenen Personen“. Dies ist das Herzstück der DSFA.
Vorlage für Abschnitt C:
Für jedes identifizierte Risiko sind zu dokumentieren:
- Risikobeschreibung: [z. B. Falsch-negative Bonitätseinstufung führt zu ungerechtfertigter Kreditablehnung]
- Quelle des Risikos: [z. B. Unvollständige oder fehlerhafte Trainingsdaten im KI-Modell]
- Wahrscheinlichkeit des Eintritts (ohne Maßnahmen): [niedrig / mittel / hoch]
- Schwere der möglichen Auswirkung: [niedrig / mittel / hoch]
- Gesamtrisiko: [Kombination aus Wahrscheinlichkeit × Schwere, z. B. mittel]
Typische Risikokategorien nach DSGVO-Erwägungsgrund 75:
- Diskriminierung, Rufschädigung oder finanzielle Verluste der Betroffenen
- Identitätsdiebstahl oder -betrug
- Verhinderung der Ausübung von Rechten und Freiheiten
- Verlust der Kontrolle über eigene Daten
- Physische, materielle oder immaterielle Schäden
Das Oberlandesgericht München hat in einem wegweisenden Urteil (Az. 3 U 2906/20) Schadensersatz nach Art. 82 DSGVO zugesprochen und dabei betont, dass unzureichende Risikoanalyse vor der Verarbeitung ein Indiz für organisatorisches Verschulden ist. Eine sorgfältige DSFA schützt also nicht nur die Betroffenen, sondern auch Ihr Unternehmen vor Haftungsrisiken.
Wenn Ihre Verarbeitung mit dem Einsatz von KI-Systemen verbunden ist, beachten Sie außerdem unseren Artikel DSFA bei KI-Systemen, der die spezifischen Anforderungen des EU AI Act berücksichtigt.
d) Abhilfemaßnahmen einschließlich Garantien und Sicherheitsvorkehrungen
Art. 35 Abs. 7 lit. d DSGVO verlangt „die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung dieser Verordnung nachgewiesen wird“.
Vorlage für Abschnitt D:
Für jedes in Abschnitt C identifizierte Risiko sind Maßnahmen zu dokumentieren:
- Technische Maßnahmen (TOM): [z. B. Verschlüsselung, Pseudonymisierung, Zugriffslogging, regelmäßige Modellvalidierung]
- Organisatorische Maßnahmen: [z. B. Schulungen, 4-Augen-Prinzip bei Ablehnungsentscheidungen, DSB-Konsultation]
- Rechtliche Garantien: [z. B. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit KI-Anbieter, Standardvertragsklauseln für Drittlandübermittlung]
- Restrisiko nach Maßnahmen: [niedrig / mittel / hoch]
- Verbleibendes hohes Risiko? [Wenn ja: Pflicht zur Vorabkonsultation bei der Aufsichtsbehörde nach Art. 36 DSGVO]
Ergebnis der Risikobehandlung aus Abschnitt C und D fließen unmittelbar in Ihre technisch-organisatorischen Maßnahmen (TOM) ein. Details zu TOM-Anforderungen finden Sie in unserem Artikel TOM-Maßnahmen als Ergebnis der DSFA.
Vorabkonsultation nach Art. 36 DSGVO
Ergibt die DSFA, dass das Restrisiko trotz aller Maßnahmen hoch bleibt, ist vor Aufnahme der Verarbeitung eine Vorabkonsultation bei der zuständigen Aufsichtsbehörde zwingend (Art. 36 Abs. 1 DSGVO). Die Behörde hat 8 Wochen Zeit zu antworten (verlängerbar auf 14 Wochen).
Eine Vorabkonsultation ist kein Zeichen von Schwäche — sie ist Ausdruck von Compliance-Reife und kann im Streitfall als Haftungsausschlussargument dienen.
Einbeziehung des Datenschutzbeauftragten
Art. 35 Abs. 2 DSGVO schreibt vor, dass der Verantwortliche den Datenschutzbeauftragten bei der DSFA zu konsultieren hat, sofern ein DSB benannt ist. Die Konsultation muss dokumentiert werden — eine kurze E-Mail-Bestätigung des DSB genügt formal, empfohlen wird jedoch ein formelles Stellungnahme-Dokument.
Wenn Sie noch keinen DSB haben oder prüfen, ob Sie einen benötigen, lesen Sie unseren Artikel Datenschutzbeauftragter und DSFA.
DSFA-Dokumentation und Aufbewahrung
Art. 35 Abs. 9 DSGVO verpflichtet den Verantwortlichen dazu, die DSFA zu dokumentieren und die Dokumentation der Aufsichtsbehörde auf Anfrage zugänglich zu machen. Es gibt keine explizite gesetzliche Aufbewahrungsfrist für DSFA-Unterlagen — da sie eng mit dem Nachweis der Compliance aus Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) verknüpft sind, empfiehlt die Datenschutzkonferenz eine Aufbewahrung für mindestens die Dauer der Verarbeitung zuzüglich 3 Jahre.
Für die Dokumentation empfiehlt sich eine strukturierte DSFA-Akte mit:
- Deckblatt: Bezeichnung der Verarbeitung, Verantwortlicher, Datum, Version, Freigabe durch DSB
- Abschnitte A-D gemäß Art. 35 Abs. 7 DSGVO
- Ergebnis: Restrisikoeinstufung, Freigabe oder Vorabkonsultations-Notwendigkeit
- Änderungshistorie: Datum jeder Überprüfung nach Art. 35 Abs. 11 DSGVO und wesentliche Änderungen
- Anlagen: Gutachten des DSB, Protokoll der Konsultation, Vorabkonsultations-Korrespondenz (falls anwendbar)
Die Aufbewahrung in einem Datenschutzmanagementsystem (DSMS) ist der papierbasierten Ablage überlegen, da Versionen, Genehmigungsworkflows und Verknüpfungen mit dem Verarbeitungsverzeichnis elektronisch nachvollzogen werden können.
DSFA und Datenschutzverletzungen
Eine sorgfältig durchgeführte DSFA ist auch präventiv relevant: Viele Datenschutzverletzungen lassen sich durch die im Rahmen der DSFA identifizierten und implementierten Maßnahmen verhindern. Sollte es dennoch zu einer Verletzung kommen, erleichtert eine vorhandene DSFA die Meldung nach Art. 33 DSGVO erheblich, da die Verarbeitungsrisiken bereits dokumentiert sind. Mehr zur Meldepflicht finden Sie in unserem Artikel Datenschutzverletzung — Meldepflicht und Prävention.
Checkliste: DSFA vollständig?
Nutzen Sie diese Checkliste vor Abschluss Ihrer DSFA:
- Abschnitt A: Systematische Beschreibung aller Verarbeitungsvorgänge vorhanden (Art. 35 Abs. 7 lit. a DSGVO)
- Abschnitt B: Notwendigkeit und Verhältnismäßigkeit bewertet (Art. 35 Abs. 7 lit. b DSGVO)
- Abschnitt C: Risiken für Betroffenenrechte und -freiheiten bewertet (Art. 35 Abs. 7 lit. c DSGVO)
- Abschnitt D: Abhilfemaßnahmen und Garantien dokumentiert (Art. 35 Abs. 7 lit. d DSGVO)
- DSB konsultiert und Konsultation dokumentiert (Art. 35 Abs. 2 DSGVO)
- Bei verbleibendem hohen Risiko: Vorabkonsultation bei Aufsichtsbehörde eingeleitet (Art. 36 Abs. 1 DSGVO)
- DSFA regelmäßig überprüft und aktualisiert (Art. 35 Abs. 11 DSGVO)
Datenschutz-Folgeabschätzung mit PLANIT PRIMA durchführen
Eine Datenschutz-Folgeabschätzung manuell in Word-Dokumenten zu führen ist fehleranfällig und schwer nachzuhalten. PLANIT PRIMA bietet Ihnen eine strukturierte DSFA-Führung, automatische Verlinkung mit Ihrem Verarbeitungsverzeichnis (VVT) und eine lückenlose Revisionierung aller Versionen.
Jetzt PLANIT PRIMA kennenlernen und DSFA rechtskonform durchführen
Häufige Fragen
Wann ist eine Datenschutz-Folgenabschätzung Pflicht?
Eine Datenschutz-Folgeabschätzung (DSFA) ist nach Art. 35 Abs. 1 DSGVO immer dann Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Die Aufsichtsbehörden haben in Blacklists konkrete Verarbeitungsarten benannt, die stets eine Datenschutz-Folgeabschätzung erfordern — etwa umfangreiche Gesundheitsdatenverarbeitung, KI-gestütztes Profiling oder Videoüberwachung öffentlicher Räume.
Was sind die Pflichtbestandteile einer DSFA nach Art. 35 Abs. 7 DSGVO?
Art. 35 Abs. 7 DSGVO nennt vier Pflichtbestandteile: (a) systematische Beschreibung der Verarbeitungsvorgänge und Zwecke, (b) Bewertung von Notwendigkeit und Verhältnismäßigkeit, (c) Bewertung der Risiken für Betroffenenrechte und -freiheiten, sowie (d) Abhilfemaßnahmen einschließlich Garantien und Sicherheitsvorkehrungen.
Muss der Datenschutzbeauftragte bei der DSFA einbezogen werden?
Ja. Art. 35 Abs. 2 DSGVO verpflichtet den Verantwortlichen ausdrücklich, den Datenschutzbeauftragten bei der Durchführung einer DSFA zu konsultieren, sofern ein DSB benannt ist. Die Konsultation und das Ergebnis müssen dokumentiert werden.
Was passiert, wenn nach der DSFA noch ein hohes Risiko verbleibt?
Verbleibt nach allen geplanten Abhilfemaßnahmen ein hohes Risiko, ist vor Beginn der Verarbeitung eine Vorabkonsultation bei der zuständigen Aufsichtsbehörde nach Art. 36 DSGVO zwingend. Die Behörde hat 8 Wochen Zeit (verlängerbar auf 14 Wochen), um zu antworten oder Empfehlungen auszusprechen.
Wie oft muss eine DSFA aktualisiert werden?
Art. 35 Abs. 11 DSGVO fordert eine regelmäßige Überprüfung. Als Faustregel gilt: Bei jeder wesentlichen Änderung der Verarbeitung sowie mindestens alle 2-3 Jahre. Auslöser für eine sofortige Überprüfung sind z. B. neue Technologien, geänderte Rechtsgrundlagen oder eingetretene Datenschutzverletzungen.
Häufig gestellte Fragen
Was ist eine Datenschutz-Folgenabschätzung (DSFA)?
Eine Datenschutz-Folgenabschätzung (DSFA) ist ein Instrument zur Risikobewertung, das vor der Einführung neuer Datenverarbeitungsvorgänge durchgeführt wird, um potenzielle Risiken für die Rechte und Freiheiten natürlicher Personen zu identifizieren und zu mindern. Dies ist in Artikel 35 DSGVO festgelegt.
Wann muss eine DSFA durchgeführt werden?
Eine Datenschutz-Folgeabschätzung ist immer dann durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Artikel 35 Absatz 1 DSGVO gibt hierüber Auskunft.
Was passiert, wenn die DSFA ein hohes Restrisiko aufzeigt?
Wenn die Datenschutz-Folgeabschätzung trotz ergriffener Schutzmaßnahmen ein hohes Restrisiko für die Rechte und Freiheiten natürlicher Personen aufzeigt, muss die verantwortliche Stelle vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren. Dies ist in Artikel 36 DSGVO geregelt.
Welche Rolle spielt die Rechenschaftspflicht bei der DSFA?
Die Rechenschaftspflicht (Artikel 5 Absatz 2 DSGVO) bedeutet, dass der Verantwortliche die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten nachweisen können muss. Die Durchführung einer Datenschutz-Folgeabschätzung ist ein wichtiger Bestandteil dieses Nachweises, da sie die proaktive Risikobewertung und -minderung dokumentiert.
Gibt es eine offizielle DSFA-Vorlage?
Es gibt keine einzelne, offizielle DSFA-Vorlage, die von der DSGVO vorgeschrieben wird. Die DSGVO (Artikel 35) legt die Mindestanforderungen an den Inhalt einer DSFA fest, aber die konkrete Ausgestaltung der Vorlage obliegt dem Verantwortlichen, wobei branchenspezifische oder behördliche Empfehlungen hilfreich sein können.
