DSFA in 9 Schritten: Von der Schwellwertanalyse bis zur Dokumentation

Stand: November 2026

Definition: Was ist eine DSFA?

Die Datenschutz-Folgenabschätzung (DSFA) ist ein strukturiertes Verfahren nach Art. 35 DSGVO. Sie bewertet systematisch Risiken für Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten. Der Prozess gliedert sich in vier Kernschritte: genaue Beschreibung des Verarbeitungsvorgangs, Prüfung von Notwendigkeit und Verhältnismäßigkeit, differenzierte Risikoanalyse sowie konkrete Maßnahmen zur Risikominimierung.

Eine DSFA ist kein einmaliges Projekt, das nach Abgabe eines Berichts erledigt wäre. Sie verlangt fortlaufende Aktualisierung, sobald sich Zweck, Umfang, technische Umsetzung oder die Risikolage wesentlich ändern – ein kontinuierlicher Prozess also. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO zwingt Verantwortliche zur lückenlosen Dokumentation jedes Verfahrensschritts. Fehlt die DSFA trotz bestehender Pflicht, drohen Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 lit. a DSGVO.

Die Wikipedia-Übersicht fasst das Verfahren treffend als „Risikoanalyse mit Dokumentationspflicht“ zusammen. Aufsichtsbehörden wie der BfDI stellen Muster, Checklisten und Online-Tools bereit, die den gesetzlichen Rahmen in die betriebliche Praxis übersetzen. Wer die DSFA als laufenden Prozess versteht, statt als reine Formularübung, erfüllt nicht nur rechtliche Vorgaben, sondern stärkt nachhaltig das Vertrauen in die eigene Datenverarbeitung. Aktuell 2026 verschärfen der AI Act und die EDSA-Leitlinien 2024/2025 die Anforderungen: KI-basierte Verarbeitungen wie Scoring, Biometrie und Profiling sind standardmäßig DSFA-pflichtig.

Schwellwertanalyse: Die 9 DSK-Kriterien prüfen

Die Schwellwertanalyse bildet den verbindlichen Einstieg in jeden DSFA-Prozess. Sie klärt, ob ein Verarbeitungsvorgang ein „voraussichtlich hohes Risiko“ im Sinne von Art. 35 Abs. 1 DSGVO birgt. Erst wenn die Prüfung positiv ausfällt, wird die vollständige Folgenabschätzung fällig. Die Datenschutzkonferenz (DSK) hat dafür in ihrem Kurzpapier Nr. 5 neun Risikokriterien definiert. Ergänzend sind die behördlichen Blacklists – etwa die Listen des BayLfD oder der LDA Bayern – zu konsultieren. Die Dokumentation dieser Vorprüfung selbst gehört zur Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Die neun DSK-Risikokriterien im Überblick

• Bewertung und Scoring: Systematische Beurteilung persönlicher Aspekte (Kreditwürdigkeit, Leistungsfähigkeit, Verhalten).
• Automatisierte Entscheidungen: Rechtswirksame oder erheblich beeinträchtigende Entscheidungen ohne menschliches Eingreifen (Art. 22 DSGVO).
• Systematische Überwachung: Flächendeckende Beobachtung öffentlich zugänglicher Räume oder am Arbeitsplatz.
• Sensible Daten: Verarbeitung besonderer Kategorien nach Art. 9 DSGVO (Gesundheit, Biometrie, politische Meinung).
• Daten in großem Umfang: Große Fallzahlen, weite räumliche Reichweite oder lange Speicherdauern.
• Zusammenführende Verarbeitung: Matching oder Abgleich von Datensätzen aus unterschiedlichen Quellen oder Zwecken.
• Daten schutzbedürftiger Personen: Kinder, Beschäftigte, Patient:innen, Hilfebedürftige – Gruppen mit eingeschränkter Durchsetzungsfähigkeit.
• Innovative Technologien: Neue Verfahren mit unklaren Auswirkungen (KI, Blockchain, Biometrie, IoT-Sensorik).
• Übermittlung in Drittländer: Datentransfer außerhalb des EWR ohne Angemessenheitsbeschluss oder geeignete Garantien.

Trifft mindestens ein Kriterium zu, ist die Schwelle in der Regel überschritten. Eine detaillierte Anleitung zur Durchführung liefert caralegal; Fraghugo stellt einen praxisnahen Ablaufplan bereit. Wird der Schwellenwert nicht erreicht, entfällt die DSFA-Pflicht – die Dokumentation der Verneinung bleibt jedoch obligatorisch.

Auswahlkriterien für die Prüfungstiefe

Die Tiefe der Schwellwertanalyse richtet sich nach der Komplexität des Verarbeitungsvorgangs. Ein einfaches CRM-System mit wenigen tausend Datensätzen erfordert weniger Detailtiefe als eine KI-gestützte Biometrie-Installation mit Millionen Betroffenen. Verantwortliche gewichten folgende Faktoren:

• Art der Verarbeitung: Scoring, Monitoring, KI oder Matching erhöhen die Prüfungstiefe erheblich. Ein KI-Recruiting-Tool verlangt tiefergehende Bias-Analysen als eine manuelle Bewerberauswahl.
• Betroffene Personenkreis: Schutzbedürftige Gruppen (Kinder, Patient:innen, Beschäftigte) rechtfertigen strengere Maßstäbe. Ein Schulportal mit Minderjährigen-Daten erfordert umfangreichere Dokumentation als ein B2B-Kundenverzeichnis.
• Datenkategorien: Art. 9-Daten (Gesundheit, Biometrie), Strafdaten oder Telekommunikationsdaten ziehen die Prüfung auf das höchste Niveau. Eine Patientenakte löst automatisch die volle DSFA aus.
• Technischer Reifegrad: Innovative Verfahren (Black-Box-KI, neue Biometrie-Verfahren) benötigen umfangreichere Risikomodelle als etablierte Standardsoftware. Open-Source-Lösungen erlauben tiefere Code-Prüfung als proprietäre Systeme.
• Übermittlungsempfänger: Drittlandtransfers, Auftragsverarbeiter-Ketten oder gemeinsame Verantwortlichkeit vervielfachen die Prüfpunkte. Ein US-Cloud-Provider erzwingt ergänzende Garantienprüfung nach Schrems II.
• Behördliche Blacklist-Einträge: Einträge in Listen des BayLfD, der LDA Bayern oder des BfDI machen die DSFA sofort verpflichtend – ohne Ermessensspielraum.
• Rechtsgrundlage und Zweckbindung: Einwilligungen bei Machtgefälle (Arbeitgeber-Arbeitnehmer) oder berechtigte Interessen bei Überwachung erfordern strengere Verhältnismäßigkeitsprüfung als klare gesetzliche Vorgaben.

Wie funktioniert die DSFA? Der 9-Schritte-Prozess

Nach positivem Ergebnis der Schwellwertanalyse folgt die vollständige Datenschutz-Folgenabschätzung. Der Prozess gliedert sich in neun aufeinander aufbauende Schritte, die sich an den EDSA-Leitlinien WP 248 rev.01 und den Behördenvorlagen von BfDI und BayLfD orientieren.

Schritt 1 – Verarbeitungsvorgang beschreiben. Der Verantwortliche dokumentiert Zweck, Rechtsgrundlage, Kategorien betroffener Personen und personenbezogener Daten, Empfängerkategorien, eingesetzte Technologien sowie Datenflüsse einschließlich Drittlandübermittlungen. Diese Bestandsaufnahme bildet die Grundlage für alle nachfolgenden Prüfungen.

Schritt 2 – Notwendigkeit und Verhältnismäßigkeit prüfen. Es muss dargelegt werden, dass die Verarbeitung den verfolgten Zweck tatsächlich erreicht (Geignetheit), keine milderen Alternativen existieren (Erforderlichkeit) und der Eingriff in das Grundrecht auf Datenschutz in einem angemessenen Verhältnis zum Ziel steht (Angemessenheit). Zweckbindung und Datenminimierung sind hier zentrale Maßstäbe.

Schritt 3 – Risiken identifizieren und bewerten. Für jedes Risiko wird Eintrittswahrscheinlichkeit und Schadensausmaß für die Rechte und Freiheiten der Betroffenen ermittelt. Die Bewertung bezieht sich auf Vertraulichkeit, Integrität, Verfügbarkeit sowie weitere Grundrechte wie Nichtdiskriminierung. Das Fraunhofer-Handbuch empfiehlt dafür strukturierte Risikomodelle nach BSI 200-3 oder ISO 27005.

Schritt 4 – Maßnahmen zur Risikominimierung festlegen. Technisch-organisatorische Maßnahmen (TOMs) werden den identifizierten Risiken zugeordnet: Pseudonymisierung, Verschlüsselung, rollenbasierte Zugriffskontrollen, Protokollierung, Löschkonzepte und Schulungen. Ziel ist die Reduktion auf ein akzeptables Niveau.

Schritt 5 – Restrisiken bewerten und dokumentieren. Nach Umsetzung der Maßnahmen verbleibende Risiken werden transparent ausgewiesen. Aufsichtsbehörden prüfen zunehmend, ob Restrisiken gegenüber Betroffenen kommuniziert und regelmäßig überprüft werden.

Schritt 6 – Datenschutzbeauftragten einbinden. Gemäß Art. 35 Abs. 2 DSGVO holt der Verantwortliche die Stellungnahme des DSB ein. Diese muss dokumentiert werden; weicht der Verantwortliche davon ab, sind die Gründe schriftlich festzuhalten.

Schritt 7 – Dokumentation zusammenstellen und genehmigen. Die vollständige DSFA-Dokumentation (Verarbeitungsbeschreibung, Notwendigkeitsprüfung, Risikoanalyse, Maßnahmenplan, Restrisiken, DSB-Stellungnahme) wird vom Verantwortlichen freigegeben. Das BfDI-Muster bietet hierfür eine praxiserprobte Vorlage.

Schritt 8 – Überwachung und Wirksamkeitsprüfung etablieren. Die umgesetzten Maßnahmen unterliegen einer fortlaufenden Kontrolle: regelmäßige Audits, Penetrationstests, Überwachung von Protokollen und Überprüfung der Löschfristen. Abweichungen lösen Nachjustierungen aus.

Schritt 9 – Aktualisierung bei Wesentlichkeitsänderungen. Ändern sich Zweck, Umfang, eingesetzte Technologie oder die Risikolage wesentlich, ist die DSFA anzupassen. Der Prozess ist damit kein Once-off-Projekt, sondern ein kontinuierlicher Zyklus, der die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO operationalisiert.

Dokumentationspflichten & Nachweise

Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und Art. 35 DSGVO verlangen eine schriftliche Dokumentation der DSFA. Fehlende oder unvollständige Unterlagen werten Aufsichtsbehörden wie eine unterlassene Folgenabschätzung – mit entsprechenden Bußgeldrisiken.

Der Mindestinhalt umfasst: genaue Verarbeitungsbeschreibung, Prüfung von Notwendigkeit und Verhältnismäßigkeit, Risikoanalyse mit Bewertungsmatrix, getroffene technische und organisatorische Maßnahmen, Restrisikobewertung, Stellungnahme des Datenschutzbeauftragten sowie gegebenenfalls das Ergebnis der Anhörung Betroffener nach Art. 35 Abs. 9 DSGVO. Die Dokumentation muss für Prüfungen jederzeit verfügbar sein.

Als Goldstandard für Behördenchecks gelten die BfDI-Muster in Version 9 sowie die EDSA-Vorlage (WP 248 rev.01) mit ihren sieben strukturierten Abschnitten. Beide Vorlagen decken den gesamten Lebenszyklus ab – von der Verarbeitungsbeschreibung über Risiken und Maßnahmen bis zur Genehmigung und fortlaufenden Überwachung. Die GDD-Praxishilfe (ca. 20 Seiten) und das Fraunhofer-Handbuch (68 Seiten) liefern methodische Tiefe für Bewertungsmatrizen und Dokumentationsstrukturen.

Ein praxisnaher Leitfaden zur Methodik liefert das Fraunhofer-Handbuch aus der Sommerakademie 2017, das Bewertungsmatrizen und Dokumentationsstrukturen detailliert erläutert. Wer diese Standards nutzt, schafft Nachweise, die Prüfungen standhalten und den Aktualisierungsprozess bei Wesentlichkeitsänderungen vereinfachen.

Rolle des DSB & Einbindung Aufsichtsbehörden

Der Datenschutzbeauftragte muss die Folgenabschätzung beratend begleiten. Art. 35 Abs. 2 DSGVO schreibt seine Einbindung vor; die Stellungnahme wird Bestandteil der Dokumentation. Bei öffentlichen Stellen sowie Verarbeitungen von Gesundheits- oder Beschäftigtendaten fordern GDD, BfDI und TLfDI die Anhörung Betroffener oder ihrer Vertretungen als Regelfall – gestützt auf Art. 35 Abs. 9 DSGVO. Bleiben Restrisiken nach Maßnahmen hoch, verlangt Art. 36 DSGVO die Konsultation der Aufsichtsbehörde vor Verarbeitungsbeginn.

Landesbehörden stellen dafür praxisnahe Hilfen bereit. Das Bayerische Landesamt für Datenschutzaufsicht (LDA Bayern) veröffentlicht Checklisten und Muster für die DSB-Stellungnahme. Das BayLfD bündelt auf seiner DSFA-Übersichtsseite aktuelle Online-Tools und Vorlagen (Stand 26.10.2026). Der Bundesbeauftragte für Datenschutz liefert mit seinen Mustern und Hinweisen zur DSFA einen bundesweit anerkannten Referenzrahmen.

Die Unabhängigkeit des DSB bleibt dabei unverhandelbar. Er darf keine Weisungen zum Inhalt der Stellungnahme erhalten und muss über Ressourcen verfügen, die eine fundierte Prüfung ermöglichen. Werden diese Vorgaben missachtet, wiegt der formale Mangel schwer – Aufsichtsbehörden werten ihn als Verstoß gegen die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Baden-Württemberg stellt zusätzlich ein eigenes Schwellwertanalyse-Formular (2024) bereit.

Beispiele aus der Praxis

Drei Fallkonstellationen verdeutlichen, wie sich die neun DSK-Kriterien in der Realität überlagern und eine DSFA auslösen.

Biometrische Zeiterfassung

Ein Unternehmen führt Fingerabdruck- oder Face-ID-Scanner zur Anwesenheitskontrolle ein. Hier treffen drei Trigger zusammen: systematische Überwachung der Belegschaft, Verarbeitung besonderer Kategorien personenbezogener Daten (biometrische Merkmale) und der Einsatz innovativer Technologie. Die Aufsichtsbehörden werten diese Kombination als „voraussichtlich hohes Risiko“ i.S.v. Art. 35 Abs. 1 DSGVO. Als Minderungsmaßnahmen bieten sich Pseudonymisierung der Rohdaten, strikte Zugriffsbeschränkung auf wenige Administratoren, festgelegte Löschfristen nach Abrechnungszeitraum sowie die Bereitstellung einer Alternative per Badge oder PIN an. Ein konkretes Praxisbeispiel dazu liefert ismslite.de.

KI-basiertes Recruiting-Scoring

Ein Personaldienstleister nutzt ein KI-Modell, das Bewerbungsunterlagen automatisiert bewertet, rankt und eine Vorauswahl trifft. Die Verarbeitung vereint automatisierte Entscheidungen, Bewertung/Scoring und potenziell Gesundheitsdaten (etwa bei Angaben zu Schwerbehinderung oder Krankheitszeiten). Auch hier ist die DSFA Pflicht. Zentrale Maßnahmen: Human-in-the-loop bei der finalen Einstellungsentscheidung, regelmäßige Bias-Tests des Modells auf Diskriminierungseffekte, transparente Informationen für Bewerber über Logik und Tragweite sowie ein wirksames Widerspruchsrecht gegen das reine Algorithmusergebnis. Der AI Act 2026 klassifiziert solche Systeme als Hochrisiko-KI mit zusätzlichen Konformitätsanforderungen.

Patientenportal mit US-Cloud-Anbindung

Eine Klinik betreibt ein Portal, über das Patientinnen Befunde, Termine und Arztbriefe einsehen – gehostet bei einem US-Cloud-Provider. Die Konstellation bündelt Gesundheitsdaten, Übermittlung in Drittländer und großen Umfang (tausende Betroffene). Neben Standardvertragsklauseln (SCCs) fordert die DSFA ergänzende Garantien (z. B. technische Verschlüsselung clientseitig, vertragliche Zusätze zu US-Zugriffsbefugnissen), einen vollständigen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO sowie eine Dokumentation der Restrisiken für den Fall behördlicher Zugriffe nach FISA 702 / EO 12333. Die Thüringer Landesbeauftragte für Datenschutz stellt in ihrer Handreichung zur DSFA passende Prüfkriterien für Drittlandübermittlungen bereit.

Alle drei Beispiele zeigen: Nicht das einzelne Kriterium, sondern die Kombination mehrerer Trigger begründet die DSFA-Pflicht. Wer die Schwellwertanalyse konsequent nach den neun DSK-Kriterien durchführt, erkennt diese Muster frühzeitig.

Häufige Fehler & Best Practices

Verantwortliche verwechseln die DSFA oft mit der Schwellwertanalyse. Die Vorprüfung klärt lediglich, ob ein hohes Risiko vorliegt; die vollständige DSFA folgt erst danach. Wer diese beiden Schritte nicht trennt, überspringt die Schwellwertanalyse oder liefert eine lückenhafte Begründung. Ein häufiger Formfehler: Die Dokumentation der negativen Schwellwertprüfung unterbleibt – dabei schreibt Art. 5 Abs. 2 DSGVO genau diese Nachweispflicht vor.

• Risiken nur qualitativ bewerten: Texte ohne Matrix machen Eintrittswahrscheinlichkeit und Auswirkung nicht vergleichbar. Das Fraunhofer-Handbuch liefert Bewertungsmatrizen nach BSI 200-3, die Wahrscheinlichkeit (1–5) und Schadensausmaß (1–5) in eine Risikomatrix überführen. Ohne quantitative Skalen bleiben Risiken nicht steuerbar.
• Generische TOMs einsetzen: Standardmaßnahmen passen nicht zu jedem Verarbeitungsvorgang. Ohne Anpassung bleiben Schutzlücken bestehen. Beispiel: Eine pauschale „Verschlüsselung“ nützt wenig, wenn Schlüsselmanagement, Algorithmenwahl und Zugriffsrollen für das konkrete Verfahren nicht definiert sind.
• Restrisiken verschweigen: Auch nach Maßnahmen bleibt ein Restrisiko. Die Verschleierung verletzt die Dokumentationspflicht und die Transparenz gegenüber Betroffenen. Behörden prüfen 2026 gezielt, ob Restrisiken im Maßnahmenplan ausgewiesen und kommuniziert werden.
• DSB erst am Ende einbinden: Späte Hinzuziehung des Datenschutzbeauftragten verursacht Nachbesserungen und verzögert die Einführung. Der DSB muss ab Schritt 1 beratend wirken – seine Stellungnahme nach Art. 35 Abs. 2 DSGVO ist Pflichtbestandteil der Dokumentation.
• Aktualisierungspflicht ignorieren: Wesentlichkeitsänderungen (neue Zwecke, erweiterter Personenkreis, Technikwechsel, geänderte Risikolage) erzwingen DSFA-Update. Unternehmen behandeln die DSFA oft als Once-off-Dokument statt als lebenden Prozess – ein Verstoß gegen die Rechenschaftspflicht.

Tools, Vorlagen & Aktuelle Entwicklungen 2026

Behörden liefern 2026 aktualisierte Arbeitshilfen. Das bayerische Landesamt stellt ein Online-Tool für Schwellwertanalyse und DSFA bereit (Stand 26.10.2026). Der BfDI veröffentlicht sein Muster in Version 9. Baden-Württemberg bietet ein eigenes Schwellwertanalyse-Formular aus dem Jahr 2024 an. Diese Vorlagen orientieren sich an den sieben EDSA-Abschnitten und decken Verarbeitungsbeschreibung, Notwendigkeitsprüfung, Risikoanalyse, Maßnahmen, Restrisiken, DSB-Stellungnahme und Freigabe ab.

Softwaregestützte Workflows binden diese Schritte in GRC-Plattformen ein. Anbieter wie caralegal, robin data und Innopulse verknüpfen Schwellwertanalyse, Risikomodelle nach BSI 200-3 oder ISO 27005 und die lückenlose Dokumentation. Das erspart manuelles Zusammenführen von Excel-Listen und Word-Vorlagen. GRC-Tools automatisieren auch die Wiederholungsprüfung bei Wesentlichkeitsänderungen.

Der AI Act und die EDSA-Leitlinien 2024/2025 ziehen KI-basierte Verarbeitungen in den DSFA-Anwendungsbereich. Scoring, Biometrie und Profiling werden damit standardmäßig prüfpflichtig. Der DAXAIS-Leitfaden (Stand August 2026) fasst die neuen Anforderungen praxisnah zusammen. KI-Systeme nach Anhang III AI Act (z. B. biometrische Identifikation, Recruiting, Kreditwürdigkeitsprüfung) lösen die DSFA-Pflicht nahezu immer aus.

Aufsichtsbehörden prüfen verstärkt, ob Restrisiken nach Maßnahmen transparent ausgewiesen und gegenüber Betroffenen kommuniziert werden. Die Anhörung Betroffener oder ihrer Vertretung wird bei Beschäftigten-, Gesundheits- und Behörden-Daten zum Regelfall erwartet – gestützt auf Art. 35 Abs. 9 DSGVO und die GDD-Praxishilfe. Für methodische Tiefe bleibt das Fraunhofer-Handbuch (68 Seiten) das praxisnahe Nachschlagewerk. Es begleitet den gesamten Prozess von der Schwellenwertprüfung bis zur fortlaufenden Aktualisierung bei Wesentlichkeitsänderungen.