Eine DSFA-Vorlage hilft, eine geplante Verarbeitung so zu prüfen, dass Risiken für Menschen vor dem Einsatz erkannt und wirksam begrenzt werden. Die Vorlage muss deshalb mehr leisten als eine Liste technischer Sicherheitsmaßnahmen. Sie verbindet den konkreten Zweck mit den Datenflüssen, der rechtlichen Zulässigkeit, den möglichen Folgen für Betroffene und einer begründeten Entscheidung über den Betrieb.
Das folgende Muster ist ein Arbeitsgerüst zur Anpassung, keine bereits abgeschlossene Datenschutz-Folgenabschätzung. Vorgegebene Risikowerte wären ohne Kenntnis Ihrer Verarbeitung irreführend. Sie tragen deshalb die tatsächlichen Bedingungen, Nachweise und offenen Fragen selbst ein. Der allgemeine DSFA-Leitfaden erläutert das Instrument; dieser Beitrag zeigt, wie aus den Feldern einer Vorlage ein belastbares Entscheidungsdokument wird.
Vor dem Ausfüllen: Pflicht und Prüfgegenstand bestimmen
Art. 35 Abs. 1 DSGVO verlangt eine DSFA vor der Verarbeitung, wenn diese aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht. Neue Technik ist ein möglicher Faktor. Weder der Einsatz irgendeiner KI-Funktion noch jedes einzelne Gesundheitsdatum löst ohne weitere Prüfung dieselbe gesetzliche Pflicht aus.
Die besonderen Fälle aus Art. 35 Abs. 3 müssen vollständig gelesen werden. Dazu gehören systematische und umfassende Bewertungen persönlicher Aspekte aufgrund automatisierter Verarbeitung einschließlich Profiling, auf deren Grundlage Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Menschen getroffen werden. Hinzu kommen umfangreiche Verarbeitung von Daten nach Art. 9 oder 10 sowie systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die Einschränkungen zum Umfang und zur Wirkung dürfen in einer kurzen Auslösertabelle nicht verschwinden. Näheres erläutert die Prüfung der DSFA-Pflicht.
Zusätzlich prüfen Sie die für Ihre Aufsicht und Ihren Bereich geltende Liste nach Art. 35 Abs. 4. Die DSK-Liste für den nichtöffentlichen Bereich, Version 1.1, enthält konkrete Beschreibungen und teilweise Kombinationen mehrerer Merkmale. Bei biometrischer Identifizierung verlangt ihr erster Eintrag beispielsweise ein weiteres dort genanntes Kriterium. Eine bloße Stichwortsuche nach „Biometrie“ ersetzt diese Prüfung nicht.
Auch KI wird in der Liste genauer beschrieben: Ein einschlägiger Eintrag betrifft personenbezogene Verarbeitung zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte. Die Liste ist nicht abschließend. Umgekehrt dürfen die Beispiele nicht ohne ihren maßgeblichen Tatbestand auf jede Anwendung übertragen werden. Das Bayerische Landesamt für Datenschutzaufsicht weist ausdrücklich darauf hin, dass eine nicht gelistete Verarbeitung dennoch eine DSFA erfordern kann.
Die neun Kriterien der europäischen Leitlinien unterstützen die Einschätzung. Zwei erfüllte Kriterien sind eine Orientierung und keine gesetzliche Rechenformel; je nach Umständen kann bereits ein Kriterium genügen. Dokumentieren Sie auch ein negatives Ergebnis mit den wesentlichen Tatsachen. Eine frühere Bewertung lässt sich nur übernehmen, wenn die vergleichbaren Verarbeitungen tatsächlich ähnlich hohe Risiken aufweisen und abweichende Bedingungen berücksichtigt sind.
Art. 35 Abs. 10 enthält eine eng begrenzte Ausnahme für bestimmte gesetzlich geregelte Verarbeitungen nach Art. 6 Abs. 1 Buchst. c oder e, deren konkrete Vorgänge bereits bei Erlass der Rechtsgrundlage einer entsprechenden Folgenabschätzung unterzogen wurden. Die dortigen Bedingungen und mögliche zusätzliche nationale Anforderungen sind zu prüfen. „Unser Projekt erfüllt eine gesetzliche Aufgabe“ reicht als Begründung für einen Verzicht nicht aus.
Ein Arbeitsgerüst mit offenen Entscheidungen
Das Gerüst lässt sich in einem Dokument oder einer geeigneten Anwendung führen. Wichtig ist, dass Änderungen und Entscheidungsstände erkennbar bleiben. Die Zahl der Seiten ist kein Qualitätsmaßstab. Eine knappere, nachvollziehbare Bewertung kann mehr leisten als ein umfangreicher Text, dessen Maßnahmen und Risiken keinen Bezug zur tatsächlichen Lösung haben.
Projekt, Verantwortlicher, Version, vorgesehener Start:
Geprüfte Verarbeitung und ausdrücklich ausgeschlossene Funktionen:
Begründung der DSFA-Pflicht und maßgebliche Kriterien:
Beteiligte Fachbereiche; Rat des DSB, sofern benannt:
1. Beschreibung
Zwecke, Datenquellen, Personengruppen und Datenkategorien:
Datenflüsse, Rollen, Empfänger, Speicherung und Löschung:
2. Notwendigkeit und Verhältnismäßigkeit
Rechtsgrundlagen und Zweckgrenzen:
Alternativen, Datenminimierung, Transparenz und Betroffenenrechte:
3. Risiken für Personen
Szenario, Ursache, betroffene Gruppe, mögliche Folgen:
Begründete Wahrscheinlichkeit und Schadensschwere:
4. Maßnahmen
Maßnahme, zuständige Person, Umsetzungsstand, Nachweis:
Verbleibendes Risiko und Begründung:
Entscheidung
Offene Bedingungen, erforderliche Konsultation, Verantwortlicher:
Freigabeumfang, Auflagen, Kontrollereignisse und nächste Überprüfung:
Setzen Sie die Vorlage früh genug ein, damit Alternativen noch möglich sind. Wer erst nach der Beschaffung beginnt, entdeckt möglicherweise notwendige Änderungen, die der Vertrag nicht abdeckt. Eine nachträgliche Bewertung kann zur Korrektur beitragen, macht einen bereits erfolgten Verstoß gegen die vorherige Prüfungspflicht aber nicht ungeschehen. Verknüpfen Sie die Arbeit deshalb mit Beschaffung und Freigabe des tatsächlichen Prozesses.
Projektgrenze und Verantwortlichkeit ausfüllen
Tragen Sie die juristisch verantwortliche Stelle ein, nicht nur den Projektnamen oder den Hersteller. Bei gemeinsam verantworteten Vorgängen müssen die jeweiligen Aufgaben erkennbar werden. Ein Konzernlogo beantwortet nicht, welche Gesellschaft über Zweck und wesentliche Mittel entscheidet. Ebenso wenig übernimmt ein Dienstleister allein durch Bereitstellung einer Muster-DSFA die Verantwortung für Ihre Nutzung seines Produkts.
Beschreiben Sie anschließend den vorgesehenen Betrieb. Ein Bewerbungswerkzeug kann Unterlagen lediglich strukturieren oder Kandidaten nach vermeintlicher Eignung sortieren. Dieselbe Oberfläche kann somit sehr unterschiedliche Folgen haben. Halten Sie fest, welche Funktionen eingesetzt werden, welche ausgeschaltet bleiben und wie eine spätere Aktivierung kontrolliert wird. Die Begrenzung muss zu Einstellungen, Vertrag und Arbeitsanweisung passen.
Benennen Sie eine fachlich verantwortliche Person, die offene Fragen klärt und Maßnahmen umsetzen lassen kann. Der Rat des Datenschutzbeauftragten ist nach Art. 35 Abs. 2 einzuholen, wenn ein solcher benannt wurde. Für nichtöffentliche deutsche Stellen ist zusätzlich § 38 BDSG relevant: Eine DSFA-pflichtige Verarbeitung kann unabhängig von der Personenzahl eine Benennungspflicht auslösen. Die DSFA ist deshalb kein Weg, eine erforderliche Benennung zu umgehen.
Der DSB soll beraten und überwachen können, ohne sämtliche Entscheidungen selbst treffen und anschließend kontrollieren zu müssen. Beteiligen Sie die Menschen, die den Prozess, die Technik und die rechtlichen Anforderungen kennen. Das ist eine praktische Organisationsentscheidung; die DSGVO verlangt kein Projektteam mit festgelegter Stellenzahl. Wichtiger ist, dass die entscheidenden Informationen tatsächlich zusammenkommen und Verantwortlichkeiten nicht offenbleiben.
Teil 1: Beschreibung anhand eines Datenflusses
Beginnen Sie bei der Quelle. Werden Daten unmittelbar bei der Person erhoben, aus einem Altsystem übernommen oder von Dritten ergänzt? Beschreiben Sie anschließend Speicherung, Auswertung, Weitergabe und Löschung. Nehmen Sie auch Exporte, Supportzugriffe und temporäre Dateien auf, soweit sie zur untersuchten Verarbeitung gehören. Ein Diagramm kann helfen, wenn es die tatsächlichen Verbindungen verständlicher macht.
Das Verzeichnis der Verarbeitungstätigkeiten liefert dafür einen Ausgangspunkt, ersetzt aber die Prüfung nicht. Vergleichen Sie seine Angaben mit den Beteiligten und der geplanten Konfiguration. Ein jahrelang unveränderter Registereintrag kann neue Funktionen übersehen. Korrigieren Sie Widersprüche gemeinsam, statt dieselbe ungesicherte Beschreibung in weitere Unterlagen zu kopieren.
Beschreiben Sie Betroffene und Daten ausreichend konkret. „Kundendaten“ verschleiert, ob nur Kontaktdaten oder auch Beschwerdeinhalte, finanzielle Schwierigkeiten und Gesundheitsinformationen verarbeitet werden. Die tatsächlichen Kategorien beeinflussen sowohl die Zulässigkeit als auch die Folgen eines Fehlers. Für die DSFA benötigen Sie normalerweise keine echten Patientenakten oder Bewerbungsunterlagen als Anlagen; anonymisierte oder hypothetische Beispiele können den Ablauf erläutern.
Kennzeichnen Sie unbekannte Angaben ausdrücklich. Wenn der Ort des technischen Supports noch nicht feststeht, darf das Feld „Drittlandzugriff“ nicht einfach mit Nein ausgefüllt werden. Vergeben Sie einen Klärungsauftrag mit Zuständigkeit und Entscheidungstermin. Dann ist sichtbar, welche Informationslücke die Freigabe möglicherweise verhindert. Ein ausgefülltes Formular mit geratenen Antworten wäre deutlich weniger verlässlich.
Teil 2: Erforderlichkeit und Verhältnismäßigkeit begründen
Prüfen Sie zunächst, ob der Zweck konkret und rechtmäßig ist und welche Rechtsgrundlage nach Art. 6 die Verarbeitung trägt. Besondere Kategorien verlangen gegebenenfalls zusätzlich eine Ausnahme nach Art. 9. Eine DSFA schafft keine fehlende Erlaubnis. Auch ein sehr gut geschütztes System kann unzulässig sein, wenn es unnötige Informationen für einen nicht gedeckten Zweck verarbeitet.
Vergleichen Sie ernsthafte Alternativen. Kann ein Vorgang ohne dauerhafte Identifizierung durchgeführt werden? Genügen weniger Daten oder kürzere Speicherzeiten? Könnte eine fachliche Entscheidung ohne automatisierte Rangfolge getroffen werden? Die Alternative muss den zulässigen Zweck sinnvoll erreichen können. Ein pauschaler Satz, der Markt biete nichts anderes, ist ohne nachvollziehbare Untersuchung keine belastbare Verhältnismäßigkeitsprüfung.
Die Prüfung von Pflichtfeldern und Datenflüssen hilft, abstrakte Datenminimierung in einzelne Entscheidungen zu übersetzen. Im Bewerbungsbeispiel fragen Sie etwa, ob ein persönliches Merkmal für die konkrete Stelle erforderlich ist oder nur ein Modell verbessert, dessen Zweck selbst problematisch bleibt. Ein höherer statistischer Nutzen rechtfertigt nicht automatisch jede zusätzliche Information.
Prüfen Sie außerdem Information und Rechte. Menschen müssen verstehen können, was mit ihren Daten geschieht und welche Handlungsmöglichkeiten sie haben. Bei erheblichen automatisierten Entscheidungen ist Art. 22 DSGVO gesondert zu prüfen. Eine Person, die Vorschläge nur mechanisch bestätigt, bewirkt nicht zwangsläufig eine relevante menschliche Entscheidung. Beschreiben Sie tatsächliche Befugnisse, Zeit und Möglichkeiten zur Korrektur.
Teil 3: Risiken als konkrete Szenarien formulieren
Eine Risikobeschreibung braucht ein Ereignis, eine Ursache und mögliche Folgen für Menschen. „Datenverlust“ ist dafür oft zu allgemein. Aussagekräftiger wäre, dass eine falsche Zuordnung medizinischer Befunde zu einer unangemessenen Behandlung führen könnte. Dann wird verständlich, warum Identitätsabgleich, Datenqualität und Korrekturmechanismen relevant sind. Reine Unternehmensfolgen wie Umsatzverlust reichen für die DSFA nicht aus.
Betrachten Sie auch rechtmäßigen technischen Zugriff mit falscher Verwendung. Ein System kann hervorragend gegen externe Angreifer geschützt sein und dennoch Beschäftigte systematisch benachteiligen oder vertrauliche Lebensumstände zu vielen internen Personen zugänglich machen. Datenschutzrisiken bestehen deshalb nicht nur bei Sicherheitslücken. Auch Zweckänderungen, unverständliche Bewertungen und schwer ausübbare Rechte können erhebliche Folgen haben.
Bewerten Sie die Schwere im Kontext der betroffenen Gruppe. Ein unzutreffender Hinweis kann bei einer unverbindlichen Produktempfehlung andere Auswirkungen haben als bei der Vergabe einer dringend benötigten Leistung. Kinder, Patienten oder Beschäftigte können oft weniger frei ausweichen oder widersprechen. Erklären Sie diese Umstände im Dokument, statt für alle Gruppen dieselbe Standardbeschreibung zu verwenden.
Schätzen Sie die Wahrscheinlichkeit mit nachvollziehbaren Annahmen ein. Vorhandene Erfahrungen, Systembedingungen und festgestellte Schwachstellen können helfen, ersetzen aber keine Begründung. „Bisher kein Vorfall“ beweist keine geringe Wahrscheinlichkeit, wenn eine neue Funktion erstmals eingesetzt wird. Halten Sie wesentliche Unsicherheiten fest, insbesondere wenn ein Hersteller keine ausreichenden Informationen über Fehlerraten oder Grenzen der Nutzung liefert.
Eine Risikomatrix sinnvoll verwenden
Eine Matrix kann unterschiedliche Szenarien vergleichbar machen. Definieren Sie zunächst, was Ihre Stufen bedeuten: Welche Folgen gelten als erheblich, und worauf bezieht sich eine hohe Wahrscheinlichkeit? Ohne diese Erläuterung können verschiedene Bearbeiter denselben Sachverhalt unterschiedlich einordnen. Die Zahl im Feld ist das Ergebnis der Bewertung, nicht ihre Begründung.
Die DSGVO schreibt keine allgemeine Formel vor, nach der Wahrscheinlichkeit und Schaden zu multiplizieren wären. Ebenso wenig entspricht jede intern rot markierte Zeile automatisch einer abschließenden rechtlichen Bewertung nach Art. 36. Die verwendete Methode muss das gesetzlich relevante Risiko abbilden. Ein schwerer Eingriff darf nicht allein dadurch unbedenklich wirken, dass man eine schwach begründete kleine Wahrscheinlichkeit einsetzt.
Vermeiden Sie vorgefüllte Standardwerte im kopierbaren Muster. Gerade sie bleiben bei der Bearbeitung häufig stehen, obwohl die tatsächlichen Bedingungen abweichen. Lassen Sie die Felder zunächst offen und verlangen Sie einen kurzen Erklärungssatz. So wird erkennbar, ob die Einstufung aus der Untersuchung stammt oder lediglich aus dem Beispiel übernommen wurde.
Teil 4: Maßnahmen mit Nachweisen verbinden
Ordnen Sie jedem relevanten Szenario passende Maßnahmen zu. Ein engeres Berechtigungskonzept kann unbefugte interne Einsicht verhindern; ein zusätzlicher fachlicher Abgleich kann fehlerhafte Entscheidungen vermindern. Verschlüsselung hilft dagegen nicht bei jedem Problem, etwa wenn gerade berechtigte Nutzer Daten zweckwidrig auswerten. Das TOM-Muster unterstützt die Beschreibung, ersetzt aber diese Zuordnung nicht.
Trennen Sie umgesetzte Maßnahmen von geplanten Änderungen. Für jede wesentliche Maßnahme sollten Zuständigkeit, notwendiger Zeitpunkt und eine sinnvolle Kontrolle feststehen. Eine zugesagte Herstellerfunktion, die erst später verfügbar wird, kann eine heutige Lücke nicht schließen. Prüfen Sie dann, ob der Start verschoben oder die betroffene Funktion aus dem freigegebenen Umfang entfernt werden muss.
Beschreiben Sie anschließend das verbleibende Risiko für dieselben Szenarien. Der Wert darf nicht allein deshalb sinken, weil die Maßnahmenliste lang ist. Zeigen Sie, welche Ursache die Maßnahme beeinflusst und weshalb dies wahrscheinlich oder wirksam ist. Wo ein Nachweis fehlt, bleibt eine offene Frage. Eine Leitungssignatur kann diese fachliche Lücke nicht ersetzen.
Beteiligung Betroffener und Entscheidung über den Start
Nach Art. 35 Abs. 9 sind, soweit angemessen, die Standpunkte betroffener Personen oder ihrer Vertreter einzuholen; dabei sind der Schutz öffentlicher oder gewerblicher Interessen und die Sicherheit der Verarbeitung zu berücksichtigen. Notieren Sie, wie diese Angemessenheit beurteilt wurde. Eine Rückmeldung kann beispielsweise zeigen, dass ein vermeintlich gleichwertiger alternativer Zugang für eine bestimmte Gruppe praktisch nicht nutzbar ist.
Verbleibt trotz geeigneter Maßnahmen ein hohes Risiko, muss der Verantwortliche vor der Verarbeitung die zuständige Aufsicht nach Art. 36 konsultieren. Die vorherige Konsultation ist keine freiwillige Eskalation, die durch interne Risikoakzeptanz ersetzt werden könnte. Bereiten Sie die Verarbeitung, Zuständigkeiten, Schutzmaßnahmen und offenen Risiken so auf, dass die Behörde die konkrete Situation beurteilen kann.
Art. 36 sieht unter seinen Voraussetzungen schriftlichen Rat innerhalb von bis zu acht Wochen vor; wegen Komplexität ist eine Verlängerung um sechs Wochen möglich. Über Verlängerung und Gründe muss innerhalb eines Monats nach Eingang des Konsultationsersuchens informiert werden. Die Fristen können bis zum Eingang notwendiger Informationen ausgesetzt werden. Schweigen nach acht Wochen ist keine allgemeine Genehmigung für den Projektstart.
Die abschließende Entscheidung soll den tatsächlich geprüften Umfang, erfüllte Bedingungen und noch notwendige Schritte nennen. Dokumentieren Sie den Rat des DSB und den Umgang damit. Bei einem begrenzten Start muss erkennbar sein, welche Funktionen ausgeschlossen bleiben. Vermeiden Sie eine pauschale Freigabe für sämtliche zukünftigen Versionen eines Produkts, deren Eigenschaften und Risiken noch unbekannt sind.
Die ausgefüllte Vorlage im Betrieb erhalten
Art. 35 Abs. 11 verlangt erforderlichenfalls eine Überprüfung, insbesondere wenn sich das Risiko ändert. Es gibt keine allgemeine gesetzliche Gültigkeit von zwei oder drei Jahren. Neue Zwecke, Datenquellen, Empfänger, Modelle oder erkannte Fehler können eine frühere Aktualisierung auslösen. Ein zusätzlich geplanter Überprüfungsrhythmus ist eine organisatorische Entscheidung, die zur Veränderlichkeit der Verarbeitung passen sollte.
Die Nachweise zur Rechenschaftspflicht verbinden die DSFA mit ihrer Umsetzung. Bewahren Sie relevante Versionen, Änderungsentscheidungen und Wirkungsprüfungen so auf, dass spätere Fragen beantwortet werden können. Ein Dienstleisterwechsel sollte nicht nur einen neuen Namen in der Vorlage erzeugen, sondern auch eine Prüfung geänderter Zugriffe, Unterauftragnehmer und technischer Bedingungen.
Aus Art. 35 folgt keine allgemeine Pflicht, die gesamte DSFA öffentlich zu veröffentlichen. Andere anwendbare Regeln, insbesondere zum Informationszugang öffentlicher Stellen, sind gesondert zu beachten. Ein verständliches öffentliches Ergebnis kann Transparenz schaffen, muss aber Sicherheitsdetails und geschützte Interessen angemessen berücksichtigen. Die Information der Betroffenen über die Verarbeitung bleibt eine eigene Pflicht.
Wenn viele Bewertungen parallel gepflegt werden, kann ein Vergleich von DSFA-Software bei der Auswahl einer geeigneten Arbeitsumgebung helfen. Achten Sie auf Versionen, Verantwortlichkeiten, nachvollziehbare Änderungen und einen vollständigen Export. Ein automatisch erzeugtes Dokument ist nur so tragfähig wie seine überprüften Eingaben. Die entscheidende Leistung bleibt die fachliche Prüfung des konkreten Vorhabens und seiner Folgen für Menschen.