Die 6 führenden DSFA-Berater für Gesundheitseinrichtungen in Berlin 2026

Stand: September 2026

Gesundheitseinrichtungen verarbeiten besonders schützenswerte Daten – die DSFA wird dadurch zur Regelaufgabe. Kliniken, Praxen und Pflegeeinrichtungen in Berlin stehen 2026 vor verschärften Anforderungen durch neue Rechtsakte und technische Umbrüche.

Einführung: Warum DSFA für Gesundheitseinrichtungen in Berlin 2026 entscheidend ist

Art. 9 DSGVO in Verbindung mit Art. 35 DSGVO geht bei der Verarbeitung von Gesundheitsdaten regelmäßig von einem hohen Risiko für die Rechte und Freiheiten der Betroffenen aus. Eine Datenschutz-Folgenabschätzung ist daher in der Regel verpflichtend – nicht nur bei Neubeginn, sondern auch bei wesentlichen Änderungen der Verarbeitung. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) unterstützt Verantwortliche mit Positivlisten und klaren Kriterien zur DSFA-Pflicht. Bleibt ein Restrisiko, koordinieren Berliner Berater die Vorabkonsultation nach Art. 36 DSGVO aktiv mit der Aufsichtsbehörde.

Methodisch hat sich das Standard-Datenschutzmodell (SDM 3.0) als De-facto-Standard durchgesetzt. Aufsichtsbehörden verweisen auf dessen Bausteine, Berater setzen die Methodik verbindlich ein. Gleichzeitig erweitert der AI Act den DSFA-Anwendungsbereich auf KI-gestützte Diagnostik, Profiling und automatisierte Entscheidungen im Gesundheitswesen. Die flächendeckende Einführung der elektronischen Patientenakte (ePA) löst zusätzliche DSFA-Pflichten aus. Das Digitalforum Gesundheit in Berlin macht diese Themen zur Top-Agenda für Klinik-IT und Datenschutzbeauftragte.

Fachkräfteengpass treibt Kliniken und MVZ zudem dazu, DSFA-Erstellung und DSB-Rolle an spezialisierte Berliner Boutiquen auszulagern. Wer heute keine strukturierte DSFA-Strategie vorhält, riskiert Bußgelder und Versorgungsunterbrechungen. Die folgenden sechs Anbieter decken das Spektrum von Einstiegspaketen bis hin zu umfassender KI-Compliance-Begleitung ab.

1. isico – DSFA-Beratung mit Schwerpunkt Gesundheitswesen

USP: isico kombiniert Berliner Behördennähe, SDM-3.0-Methodik und eine eigene Software-Plattform für automatisierten VVT-Abgleich – speziell zugeschnitten auf Kliniken und Pflegeeinrichtungen.

Stärken:

• Physische Niederlassung in Berlin ermöglicht kurze Wege und persönliche Workshops vor Ort
• Gesamter DSFA-Prozess aus einer Hand: Ist-Analyse, Risikoidentifikation, Berichtserstellung und Begleitung der Vorabkonsultation bei der BlnBDI
• Eigene Software-Plattform beschleunigt VVT-Abgleich und Berichtsgenerierung deutlich
• Methodische Verankerung im Standard-Datenschutzmodell (SDM 3.0), das Aufsichtsbehörden als De-facto-Standard akzeptieren
• Expliziter Fokus auf Gesundheitseinrichtungen – Know-how zu Telematikinfrastruktur 2.0, ePA und KI-gestützter Diagnostik

Schwächen / wann nicht passend:

• Starke Spezialisierung auf Gesundheitswesen – für branchenfremde Unternehmen weniger passend
• Preise werden nicht öffentlich kommuniziert, sondern nur auf Anfrage genannt
• Teamgröße und Referenzkundenanzahl werden nicht transparent ausgewiesen

Preisspanne: auf Anfrage; Berliner Markteinsteigerpakete für externe DSB/DSFA starten branchenüblich ab 149 €/Monat, umfassende DSFA-Begleitung für Kliniken ab 320 €/Monat.

Zielgruppe: Kliniken, MVZ, Pflegeeinrichtungen und Reha-Zentren in Berlin und Umland, die DSFA-Pflicht nach Art. 35 DSGVO effizient und behördenkonform umsetzen müssen.

Website: isico.de

2. Werning – Standard-Datenschutzmodell (SDM 3.0) für Kliniken

USP: Werning zählt zu den dienstältesten DSFA-Spezialisten Berlins und hat das SDM 3.0 methodisch mitgeprägt.

Stärken:

• Mehr als 25 Jahre Projekterfahrung im Klinik- und Pflegeumfeld
• Durchgängige Begleitung: von der Datenflussanalyse über den DSFA-Bericht bis zur TOM-Implementierung
• Tiefe Expertise bei Krankenhausinformationssystemen (KIS) und Telematikinfrastruktur-Anbindung
• Koordination von Art.-36-DSGVO-Vorabkonsultationen mit der BlnBDI bei verbleibenden Restrisiken
• Methodische Orientierung an behördlich anerkannten Bausteinen – beispielsweise dem VVT-Muster für Personalverwaltung des BayLfD

Schwächen / wann nicht passend:

• Kein reines Software-Tool – Beratungsschwerpunkt liegt auf individueller Fachbegleitung
• Preisstruktur eher im oberen Segment; für kleine Praxen mit Standardprozessen oft überdimensioniert
• Standortfokus Berlin/Brandenburg; bundesweite Rollouts erfordern Partner-Netzwerk

Preisspanne: auf Anfrage – individuell nach Klinikgröße, Systemlandschaft und DSFA-Umfang kalkuliert.

Zielgruppe: Kliniken, MVZ und Reha-Einrichtungen ab 200 Betten mit komplexen KIS-Landschaften, ePA-Anbindung oder KI-gestützter Diagnostik.

Website: werning.com

3. 2B Advice – Externer DSB mit Softwaregestützter DSFA-Plattform

USP: 2B Advice verbindet die Rolle des externen Datenschutzbeauftragten mit einer eigens entwickelten DSFA-Plattform, die Risikoanalyse, VVT-Abgleich und Berichtserstellung automatisiert.

Stärken:

• Einer der ältesten Berliner Anbieter für externen Datenschutz mit tiefem Branchenfokus auf Gesundheitseinrichtungen
• Eigene Software deckt den gesamten DSFA-Lebenszyklus ab – von der Schwellenprüfung bis zur Dokumentation für die Aufsichtsbehörde
• Spezialisiert auf DSFA für KI-basierte Diagnosetools und die Einbindung der elektronischen Patientenakte (ePA)
• Begleitet Vorabkonsultationen nach Art. 36 DSGVO bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit
• Schulungsmodule für medizinisches und administratives Personal fester Bestandteil der Pakete

Schwächen / wann nicht passend:

• Softwarelizenz an das Jahresabo gekoppelt – kein separater Erwerb der Plattform möglich
• Weniger geeignet für Kleinpraxen unter 20 Beschäftigten, die nur eine einmalige DSFA benötigen
• Kein physischer Vor-Ort-Service außerhalb Berlins und des direkten Umlands

Preisspanne: Mittleres Segment; Einstiegspakete in Berlin starten marktüblich ab ca. 149 €/Monat, umfassende DSFA-Begleitung mit Softwarezugang liegt oft ab 320 €/Monat – konkrete Konditionen auf Anfrage.

Zielgruppe: Kliniken, MVZ und größere Praxen ab 50 Beschäftigten, die KI-Diagnostik oder ePA einführen und einen dauerhaften DSB plus DSFA-Tool aus einer Hand suchen.

Website: 2b-advice.com | Vergleichende Marktübersicht zu DSFA-Tools: heydata.eu

4. DProtected – Berliner Boutique für DSFA im Gesundheitswesen

USP: DProtected verzahnt DSFA-Erstellung eng mit der Berliner Aufsichtsbehörde und übernimmt die komplette Korrespondenz für Vorabkonsultationen.

Stärken:

• Fokus auf kleine und mittlere Gesundheitseinrichtungen wie MVZ, Pflegeheime und ambulante Pflegedienste
• Vollständige DSFA-Erstellung nach SDM 3.0 inklusive Dunkelfeldanalysen und maßgeschneiderter TOM-Kataloge
• Direkte Abstimmung mit der BlnBDI bei Restrisiken und Vorabkonsultationen nach Art. 36 DSGVO
• Berater mit langjähriger Erfahrung im Umgang mit sensiblen Patientendaten und regelmäßige Präsenz auf Fachveranstaltungen wie dem Digitalforum Gesundheit
• Spezialisierung auf Telematikinfrastruktur 2.0, ePA und KI-gestützte Diagnostik im Versorgungsalltag

Schwächen / wann nicht passend:

• Kein Full-Service-DSB für Großkliniken oder Konzernstrukturen mit mehreren Standorten
• Keine eigene Software-Plattform für automatisierte Risikomodellierung oder VVT-Abgleich
• Begrenzte Kapazitäten für parallele Großprojekte außerhalb der Kernzielgruppe

Preisspanne: auf Anfrage – keine publizierten Einstiegspakete, Angebot richtet sich nach Umfang der Verarbeitungsverzeichnisse und Konsultationsbedarf.

Zielgruppe: MVZ, stationäre und ambulante Pflegeeinrichtungen sowie Praxen in Berlin mit 20–250 Beschäftigten, die eine behördlich abgestimmte DSFA benötigen.

Website: dprotected.de

5. Wiemer-Arndt – Erfahrene DSB mit Fokus auf Kliniken und MVZ

USP: Über 25 Jahre Berufserfahrung fließen in DSFA-Beratung, die SDM 3.0 mit Spezialmodulen für Telematikinfrastruktur 2.0 und KI-gestützte Radiologie verknüpft.

Stärken:

• Gegründet in Berlin, seit über zwei Jahrzehnten auf Kliniken und medizinische Versorgungszentren spezialisiert
• DSFA-Erstellung folgt konsequent dem Standard-Datenschutzmodell 3.0 und deckt KI-Systeme in der Bildgebung ab
• Schulungsprogramme für interne Datenschutzbeauftragte und IT-Administratoren im Angebot
• Begleitung bei Vorabkonsultationen der Berliner Aufsichtsbehörde nach Art. 36 DSGVO
• Audit-Begleitung bei Prüfungen durch die BlnBDI als fester Leistungsumfang

Schwächen / wann nicht passend:

• Kein softwarebasiertes DSFA-Tool für eigenständige Risikomodellierung im Selbstservice
• Fokus liegt stark auf stationärer Versorgung; reine Arztpraxen ohne Klinik-Anbindung werden seltener bedient
• Preisniveau beginnt im oberen Segment, was kleine Einrichtungen mit begrenztem Budget ausschließen kann

Preisspanne: Ab 320 €/Monat für umfassende DSFA-Begleitung; Einstiegspakete für externe DSB in Berlin starten branchenweit ab 149 €/Monat.

Zielgruppe: Kliniken, MVZ und Krankenhausverbünde ab 100 Betten, die DSFA-Pflicht für Telematikinfrastruktur, ePA und KI-Diagnostik rechtssicher abdecken müssen.

Website: wiemer-arndt.de

6. Fraghugo

USP: Fraghugo liefert standardisierte SDM-3.0-DSFA zum Fixpreis und ergänzt diese durch remote-first-Beratung sowie laufend aktualisierte Leitfäden zu KI-Verordnung und ePA für kleine Gesundheitseinrichtungen.

Stärken:

• Einstiegspaket für externen DSB und DSFA-Beratung ab 149 €/Monat
• Grundlagen-DSFA nach SDM 3.0, Erstellung von Verarbeitungsverzeichnissen und Unterstützung bei Datenschutzpannen-Meldungen
• Regelmäßig überarbeitete Leitfäden, die AI Act und ePA-Einführung einbeziehen
• Beratung überwiegend remote, Termine in Berliner Büros auf Wunsch möglich
• Transparente Kommunikation ohne versteckte Zusatzkosten

Schwächen / wann nicht passend:

• Weniger geeignet für große Kliniken mit komplexen KI-Medizinprodukten, die tiefe Vorabkonsultation nach Art. 36 DSGVO benötigen
• Keine eigene Software-Plattform für automatisiertes Risikomodell und VVT-Abgleich
• Skalierbarkeit bei MVZ-Verbünden oder Klinikgruppen begrenzt

Preisspanne: ab 149 €/Monat

Zielgruppe: Kleinere Arztpraxen, MVZ bis 50 Beschäftigte, Pflegeeinrichtungen und ambulante Dienste in Berlin, die kostengünstig externe DSB-Pflicht und DSFA erfüllen müssen.

Website: fraghugo.de

Vergleichstabelle: Leistungen, Schwerpunkte und Methoden der sechs DSFA-Berater

Die folgende Gegenüberstellung fasst die entscheidenden Kriterien zusammen, die Gesundheitseinrichtungen bei der Auswahl eines DSFA-Partners prüfen sollten. Methodische Standards wie das SDM 3.0 und die Bereitschaft zur Vorabkonsultation mit der Berliner Aufsichtsbehörde unterscheiden die Anbieter deutlich.

Häufige Fragen (FAQ) zur DSFA für Gesundheitseinrichtungen in Berlin

Wann genau besteht eine DSFA-Pflicht gemäß Art. 35 DSGVO?

Eine DSFA wird fällig, sobald Verarbeitungen ein hohes Risiko für Rechte und Freiheiten erwarten lassen. Bei Gesundheitsdaten nach Art. 9 DSGVO liegt dieses Risiko regelmäßig vor – insbesondere bei systematischer Überwachung, groß angelegter sensibler Verarbeitung oder neuen Technologien. Die activemind-Rechtsdatenbank listet konkrete Kriterien auf; die Berliner Aufsichtsbehörde veröffentlicht ergänzende Positivlisten.

Wie läuft eine Vorabkonsultation bei der BlnBDI ab?

Bleiben nach DSFA Restrisiken, fordert Art. 36 DSGVO die Konsultation. In Berlin reichen Verantwortliche DSFA-Dokumentation, Risikobeschreibung und Maßnahmen bei der BlnBDI ein. Die Behörde prüft innerhalb von acht Wochen (verlängerbar auf vierzehn) und kann Auflagen erteilen. Berliner Berater koordinieren diesen Prozess routiniert und bereiten alle Nachweise fristgerecht auf.

Welche Unterschiede gibt es zwischen DSFA nach SDM 3.0 und erweiterter DSFA für KI-Systeme?

SDM 3.0 bietet Bausteine für regelhafte Verarbeitungen in Kliniken und Praxen. KI-Systeme erfordern zusätzliche Prüfungen: Bias-Risiken, Erklärbarkeit automatisierter Entscheidungen, Trainingsdatenherkunft und KI-Verordnungs-Konformität. Die erweiterte DSFA bewertet daher nicht nur Datenschutzrisiken, sondern auch algorithmische Fairness und Robustheit – ein wachsendes Feld seit 2026.

Wie lange dauert die Erstellung eines DSFA-Berichts typischerweise?

Für Standardverfahren nach SDM 3.0 kalkulieren Berliner Boutiquen zwei bis vier Wochen – abhängig von Komplexität, Verfügbarkeit interner Ansprechpartner und Reife vorhandener Dokumentation (VVT, TOM). KI-Projekte oder vernetzte Forschungsvorlagen beanspruchen oft sechs bis acht Wochen, da zusätzliche Threat-Modellierungen und ggf. BlnBDI-Konsultation einzurechnen sind.

Welche Kosten fallen bei externen DSB an und was gehört zum Standardumfang?

Einstiegspakete mit DSFA-Begleitung starten in Berlin bei rund 149 € monatlich. Umfassende Betreuung inklusive Vorabkonsultation, Schulungen und Tool-Nutzung liegt oft ab 320 €. Zum Standard zählen: Bestandsaufnahme, Risikoanalyse, Maßnahmenplan, Berichtserstellung und jährliche Aktualisierung – individuell nach BvD-Qualitätskriterien vergleichbar.

Wie lässt sich die Qualifikation eines DSFA-Beraters überprüfen?

Achten Sie auf nachweisbare Zertifizierungen (TÜV, DEKRA, BvD), Referenzen aus dem Gesundheitswesen und aktive Teilnahme an Fachveranstaltungen wie DMI-Fachtagung oder Digitalforum Gesundheit. Der BvD veröffentlicht Positivlisten der Aufsichtsbehörden als Orientierung. Ein persönliches Vorgespräch klärt Methodik (SDM 3.0, KI-Erfahrung) und Verfügbarkeit für Vorabkonsultationen.

• https://www.datenschutz-berlin.de/themen/unternehmen/datenschutz-folgenabschaetzung/
• https://www.dmi.de/dmi-4-0/veranstaltungen/2026/8-fachtagung-datenschutz-im-gesundheitswesen-1.html