DSFA-Tool 2026 | Datenschutz-Folgenabschätzung

DSFA-Pflicht prüfen

Werte 2026

Art der Verarbeitung

Hauptkategorie der Datenverarbeitung

Anzahl Betroffene

Wie viele Personen sind betroffen?

Sensibilität der Daten

Art. 9 DSGVO: besondere Kategorien = hoch

Drittlandtransfer?

z.B. US-Cloud-Dienste, Offshore-Teams

Automatisierte Entscheidungen?

Art. 22 DSGVO: Entscheidungen ohne menschliches Eingreifen

DSFA Pflicht

2 von 9 EDPB-Kriterien erfüllt

DSFA erforderlich

DSFA erforderlich: Ja (ab 2 Kriterien)
EDPB-Kriterien: 2 von 9
Risikostufe: Hoch
Risikoscore: 60/100
Verarbeitungsart: Gesundheitsdaten
Betroffene: 200
Drittlandtransfer: Nein
Bußgeld (fehlende DSFA): Bis 10 Mio. € / 2% Umsatz (Art. 83 Abs. 4)

Erfüllte EDPB-Kriterien (2):

Sensible/besondere Datenkategorien
Umfangreiche Datenverarbeitung

Empfohlene Maßnahmen:

DSFA schriftlich dokumentieren (Art. 35 Abs. 7 DSGVO)
Datenschutzbeauftragten einbeziehen (Art. 35 Abs. 2)
Technische Maßnahmen implementieren (Verschlüsselung, Zugriffskontrolle)
Einwilligung oder gesetzliche Grundlage für Art. 9 DSGVO sicherstellen

Hinweis: Bei fehlender DSFA droht ein Bußgeld nach Art. 83 Abs. 4 DSGVO (bis 10 Mio. € / 2% Umsatz). Die Aufsichtsbehörde kann zudem die Verarbeitung untersagen. Die DSFA selbst erstellen Sie mit Ihrem Datenschutzbeauftragten – CERTISCAN liefert dafür dokumentierte technische und organisatorische Maßnahmen (WORM-Audit, Feldverschlüsselung, Row-Level-Security, Löschkonzepte) als Grundlage.

Weiterführend

Passende Themen

DSGVO-BußgeldrechnerDSGVO-Bußgeld berechnen Compliance-Score-RechnerGesamt-Compliance bewerten Datenschutz-Bußgeld-RechnerBußgeld nach Verstoßart HinSchG-Bußgeld-RechnerHinweisgeberschutz-Bußgeld CERTISCAN DatenschutzUnsere DSGVO-Konformität

Im Vergleich

Funktion	CERTISCAN	Excel-Vorlage	Berater
TOM dokumentiert	Automatisch	Manuell	Manuell
Audit-Trail	WORM (SHA-256)	Keiner	Keiner
Verschlüsselung	AES-256	Nein	N/A
Zugriffskontrolle	RBAC	Nein	N/A
Hosting Deutschland		N/A	N/A
Regelmäßige Updates	Automatisch	Manuell	Kostenpflichtig
DSFA-Grundlage		Eingeschränkt
Kosten	Auf Anfrage	0 €	2.000+ €

Gut zu wissen

Datenschutz-Folgenabschätzung: Vollständiger Leitfaden

Gesetzliche Grundlage

Die DSFA ist in der DSGVO geregelt:

Art. 35 Abs. 1 DSGVO: DSFA-Pflicht bei voraussichtlich hohem Risiko
Art. 35 Abs. 3 DSGVO: Drei Regelbeispiele (Profiling, sensible Daten, Videoüberwachung)
Art. 35 Abs. 4 DSGVO: Positivlisten der Aufsichtsbehörden
Art. 35 Abs. 7 DSGVO: Mindestinhalt einer DSFA
Art. 36 DSGVO: Vorherige Konsultation der Aufsichtsbehörde bei verbleibendem hohem Risiko

Wann ist eine DSFA erforderlich?

Die DSGVO nennt drei Regelbeispiele:

Scoring und Profiling: Systematische Bewertung persönlicher Aspekte mit rechtlicher Wirkung
Umfangreiche Verarbeitung besonderer Kategorien: Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen
Systematische Überwachung: Videoüberwachung öffentlich zugänglicher Bereiche

EDPB-Kriterien (Zwei-aus-neun-Regel)

Der Europäische Datenschutzausschuss (EDPB) empfiehlt eine DSFA bei mindestens zwei der folgenden Kriterien:

Scoring, Bewertung oder Profiling
Automatisierte Entscheidungsfindung mit rechtlicher Wirkung
Systematische Überwachung (Videoüberwachung, Tracking)
Verarbeitung sensibler Daten (Gesundheit, Biometrie, Straftaten)
Umfangreiche Datenverarbeitung (viele Betroffene)
Datenabgleich oder -zusammenführung
Daten zu vulnerablen Personen (Kinder, Beschäftigte, Patienten)
Innovative Technologien (KI, IoT, Fingerabdruck)
Drittlandtransfer (außerhalb EU/EWR)

Pflichtinhalt einer DSFA (Art. 35 Abs. 7)

Beschreibung: Art, Umfang, Umstände und Zwecke der Verarbeitung
Bewertung: Notwendigkeit und Verhältnismäßigkeit
Risikobewertung: Risiken für die Rechte und Freiheiten der Betroffenen
Abhilfemaßnahmen: Technische und organisatorische Maßnahmen zur Risikominderung

Typische DSFA-Szenarien im FM

GPS-Zeiterfassung: Standortdaten + systematische Überwachung + Beschäftigte = DSFA erforderlich
Videoüberwachung: In Gebäuden oder auf Geländen = DSFA fast immer erforderlich
Gesundheitsdaten: BEM-Verfahren, Krankmeldungen = bei systematischer Verarbeitung DSFA nötig
Biometrische Zutrittskontrolle: Fingerabdruck-Scanner = DSFA erforderlich

Praxistipps

Prüfen Sie die EDPB-Kriterien vor jeder neuen Datenverarbeitung
Dokumentieren Sie die DSFA schriftlich (Nachweis gegenüber Aufsichtsbehörde)
Beteiligen Sie den Datenschutzbeauftragten (Art. 35 Abs. 2 DSGVO)
Überprüfen Sie die DSFA regelmäßig (mindestens jährlich)
Nutzen Sie CERTISCAN als technische Grundlage – dokumentierte TOM, Audit-Trail, Verschlüsselung

Häufige Fragen

Was ist eine Datenschutz-Folgenabschätzung (DSFA)?

Eine systematische Bewertung der Risiken einer Datenverarbeitung für die Rechte und Freiheiten betroffener Personen. Vorgeschrieben in Art. 35 DSGVO bei voraussichtlich hohem Risiko.

Wann muss ich eine DSFA durchführen?

Bei voraussichtlich hohem Risiko: Profiling mit rechtlicher Wirkung, umfangreiche Verarbeitung sensibler Daten (Gesundheit, Biometrie), systematische Überwachung öffentlicher Bereiche. Der EDPB empfiehlt DSFA bei mindestens 2 von 9 Risikokritierien.

Was muss eine DSFA enthalten?

Art. 35 Abs. 7 DSGVO: Beschreibung der Verarbeitungsvorgänge, Bewertung der Notwendigkeit, Risikobewertung für Betroffene und geplante Abhilfemaßnahmen (technisch und organisatorisch).

Muss ich die Aufsichtsbehörde einbeziehen?

Nur wenn nach der DSFA ein hohes Restrisiko verbleibt, das nicht durch Maßnahmen reduziert werden kann (Art. 36 DSGVO – vorherige Konsultation). In der Praxis selten, da meist Maßnahmen möglich sind.

Ist GPS-Zeiterfassung DSFA-pflichtig?

In der Regel ja: Standortdaten + systematische Überwachung + Beschäftigtendaten = mindestens 3 EDPB-Kriterien. Die DSFA muss Verhältnismäßigkeit, Alternativen und Schutzmaßnahmen bewerten.

Wer ist für die DSFA verantwortlich?

Der Verantwortliche (Arbeitgeber/Unternehmen). Der DSB muss beratend einbezogen werden (Art. 35 Abs. 2). Die Durchführung kann delegiert werden, die Verantwortung nicht.

Was passiert wenn ich keine DSFA durchführe?

Bußgeld nach Art. 83 Abs. 4 DSGVO: bis 10 Mio. € oder 2% des Jahresumsatzes. Zudem kann die Aufsichtsbehörde die Verarbeitung untersagen (Art. 58 Abs. 2 DSGVO).

Wie oft muss eine DSFA überprüft werden?

Art. 35 Abs. 11 DSGVO: Regelmäßige Überprüfung, mindestens bei Änderungen des Risikos. In der Praxis: jährlich oder bei wesentlichen Änderungen der Verarbeitung.

Ist Videoüberwachung immer DSFA-pflichtig?

Bei systematischer Überwachung öffentlich zugänglicher Bereiche ja (Art. 35 Abs. 3 lit. c). Bei interner Videoüberwachung (Lager, Eingang) ist die DSFA empfohlen, aber nicht immer Pflicht.

Wie hilft CERTISCAN bei der DSFA?

CERTISCAN liefert dokumentierte technische Maßnahmen für die DSFA: deutsches Hosting, AES-256-Verschlüsselung, WORM-Audit-Trail, rollenbasierte Zugriffskontrolle. Diese TOM können direkt in die DSFA übernommen werden.

Brauche ich eine DSFA für Beschäftigtendaten?

Nicht grundsätzlich, aber sobald systematische Überwachung (Zeiterfassung, GPS), sensible Daten (Krankmeldungen) oder innovative Technologien (KI) hinzukommen, ist die DSFA in der Regel Pflicht.

Was sind technische Maßnahmen zur Risikominimierung?

Verschlüsselung (AES-256), Pseudonymisierung, Zugriffskontrolle, Audit-Trail, Datensparsamkeit, regelmäßige Backups und Löschkonzepte. CERTISCAN implementiert alle diese Maßnahmen.

Datenschutz-Folgenabschätzung (DSFA) 2026

DSFA-Pflicht prüfen

Passende Themen

Datenschutz-Folgenabschätzung – ist eine DSFA Pflicht?

Wann ist eine DSFA Pflicht?

DSFA-Kriterien des EDPB

Warum CERTISCAN für datenschutzkonforme Verarbeitung?

Im Vergleich

Datenschutz-Folgenabschätzung: Vollständiger Leitfaden

Gesetzliche Grundlage

Wann ist eine DSFA erforderlich?

EDPB-Kriterien (Zwei-aus-neun-Regel)

Pflichtinhalt einer DSFA (Art. 35 Abs. 7)

Typische DSFA-Szenarien im FM

Praxistipps

Verwandte Themen

Häufige Fragen

Verwandte Rechner

Datenschutz-Folgenabschätzung (DSFA) 2026

DSFA-Pflicht prüfen

Passende Themen

01Datenschutz-Folgenabschätzung – ist eine DSFA Pflicht?

Wann ist eine DSFA Pflicht?

DSFA-Kriterien des EDPB

Warum CERTISCAN für datenschutzkonforme Verarbeitung?

Im Vergleich

Datenschutz-Folgenabschätzung: Vollständiger Leitfaden

Gesetzliche Grundlage

Wann ist eine DSFA erforderlich?

EDPB-Kriterien (Zwei-aus-neun-Regel)

Pflichtinhalt einer DSFA (Art. 35 Abs. 7)

Typische DSFA-Szenarien im FM

Praxistipps

Verwandte Themen

Häufige Fragen

Verwandte Rechner

Datenschutz-Folgenabschätzung – ist eine DSFA Pflicht?