Datenschutz-Folgenabschätzung (DSFA)

Muster nach Art. 35 DSGVO · Rechtsstand August 2026 · Kostenlose Vorlage von Custodio (NordPrax GmbH)

Hinweis: Diese Vorlage ist ein Muster zur eigenverantwortlichen Bearbeitung und ersetzt keine Rechtsberatung im Einzelfall. Rot markierte [Platzhalter] müssen durch Ihre tatsächlichen Angaben ersetzt werden. Prüfen Sie das Ergebnis auf Vollständigkeit und Richtigkeit für Ihre konkrete Situation. Rechtsstand: August 2026.

Teil A — Schwellwertanalyse: Ist eine DSFA erforderlich?

Eine DSFA ist durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO).

A.1 Regelbeispiele nach Art. 35 Abs. 3 DSGVO

Eine DSFA ist stets erforderlich bei:

systematischer und umfassender Bewertung persönlicher Aspekte auf automatisierter Verarbeitung — einschließlich Profiling —, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient (lit. a);
umfangreicher Verarbeitung besonderer Datenkategorien nach Art. 9 Abs. 1 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 (lit. b);
systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (lit. c).

A.2 Kriterienkatalog (WP 248 rev.01, vom EDSA gebilligt)

Zusätzlich gilt die Faustregel der Art.-29-Datenschutzgruppe: Sind zwei oder mehr der folgenden neun Kriterien erfüllt, ist regelmäßig von einem hohen Risiko und damit von einer DSFA-Pflicht auszugehen.

#	Kriterium	Zutreffend?
1	Bewerten oder Einstufen (Scoring, Profiling) einschließlich Erstellen von Persönlichkeitsprofilen und Prognosen	☐ ja	☐ nein
2	Automatisierte Entscheidungsfindung mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung der betroffenen Person	☐ ja	☐ nein
3	Systematische Überwachung Beobachtung, Überwachung oder Kontrolle betroffener Personen, auch im öffentlich zugänglichen Raum	☐ ja	☐ nein
4	Vertrauliche oder höchst persönliche Daten besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) oder Daten nach Art. 10	☐ ja	☐ nein
5	Datenverarbeitung in großem Umfang gemessen an Zahl der Betroffenen, Datenvolumen, Dauer und geografischer Ausdehnung	☐ ja	☐ nein
6	Abgleichen oder Zusammenführen von Datensätzen aus verschiedenen Verarbeitungsvorgängen oder von verschiedenen Verantwortlichen	☐ ja	☐ nein
7	Daten schutzbedürftiger Betroffener z. B. Kinder, Beschäftigte, Patienten, Personen in Abhängigkeitsverhältnissen	☐ ja	☐ nein
8	Innovative Nutzung oder Anwendung neuer Technologien z. B. KI-Systeme, biometrische Verfahren, IoT	☐ ja	☐ nein
9	Betroffene werden an der Ausübung eines Rechts gehindert oder von einer Dienstleistung bzw. einem Vertrag ausgeschlossen	☐ ja	☐ nein
Summe der zutreffenden Kriterien		[Anzahl]

A.3 Prüfung der Positivliste der Aufsichtsbehörde

Die zuständige Aufsichtsbehörde führt nach Art. 35 Abs. 4 DSGVO eine Liste von Verarbeitungsvorgängen, für die eine DSFA verpflichtend ist (sogenannte „Muss-Liste"). Prüfen Sie die Liste Ihrer Landesbehörde — für Arztpraxen ist dort typischerweise die umfangreiche Verarbeitung von Patientendaten aufgeführt.

Geprüfte Liste (Behörde, Stand)	[z. B. LfDI Baden-Württemberg, Liste vom …]
Verarbeitung dort gelistet?	☐ ja ☐ nein

Ergebnis der Schwellwertanalyse: [DSFA erforderlich / nicht erforderlich]. Auch ein negatives Ergebnis ist zu dokumentieren — die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt den Nachweis, dass die Prüfung stattgefunden hat. Datum: [Datum], Durchgeführt von: [Name].

Teil B — Durchführung der DSFA (Art. 35 Abs. 7 DSGVO)

Ist die DSFA erforderlich, muss sie mindestens die vier folgenden Bestandteile enthalten. Der Rat der/des Datenschutzbeauftragten ist einzuholen, sofern eine solche Person benannt ist (Art. 35 Abs. 2 DSGVO).

B.1 Systematische Beschreibung der Verarbeitung (lit. a)

Bezeichnung der Verarbeitung	[Bezeichnung]
Zwecke, ggf. berechtigte Interessen	[Zwecke]
Rechtsgrundlage	[Art. 6 / ggf. Art. 9 DSGVO]
Datenkategorien und Betroffene	[Kategorien]
Datenflüsse, beteiligte Systeme und Dienstleister	[Beschreibung / Diagramm]
Speicherdauer und Löschkonzept	[Fristen]
Empfänger, ggf. Drittlandbezug	[Empfänger, Garantien]

B.2 Bewertung der Notwendigkeit und Verhältnismäßigkeit (lit. b)

Erforderlichkeit: Ist der Zweck ohne diese Daten oder mit weniger Daten erreichbar? [Begründung]
Datenminimierung und Speicherbegrenzung: [Maßnahmen]
Transparenz und Betroffenenrechte: Wie werden Information (Art. 13/14), Auskunft, Berichtigung, Löschung und Widerspruch umgesetzt? [Maßnahmen]
Auftragsverarbeiter: Liegen AVV nach Art. 28 DSGVO vor? [Status]

B.3 Risikobewertung für die Rechte und Freiheiten (lit. c)

Bewerten Sie je Risiko Eintrittswahrscheinlichkeit und Schwere (jeweils gering / mittel / hoch) aus Sicht der betroffenen Person — nicht aus Unternehmenssicht.

Nr.	Risiko / Schadensszenario	Eintrittswahrscheinlichkeit	Schwere	Risikostufe
1	Unbefugter Zugriff auf Daten (Vertraulichkeitsverlust)	[g/m/h]	[g/m/h]	[Stufe]
2	Unbeabsichtigte Veränderung oder Verfälschung (Integritätsverlust)	[g/m/h]	[g/m/h]	[Stufe]
3	Verlust oder Nichtverfügbarkeit der Daten	[g/m/h]	[g/m/h]	[Stufe]
4	Zweckentfremdung oder unzulässige Weitergabe	[g/m/h]	[g/m/h]	[Stufe]
[5]	[weiteres Risiko]	[g/m/h]	[g/m/h]	[Stufe]

B.4 Abhilfemaßnahmen und Restrisiko (lit. d)

Risiko-Nr.	Geplante Maßnahme (technisch / organisatorisch)	Verantwortlich	Frist	Restrisiko
[Nr.]	[Maßnahme]	[Name]	[Datum]	[g/m/h]
[Nr.]	[Maßnahme]	[Name]	[Datum]	[g/m/h]

Vorherige Konsultation (Art. 36 DSGVO): Bleibt trotz aller geplanten Maßnahmen ein hohes Restrisiko bestehen, ist die Aufsichtsbehörde vor Beginn der Verarbeitung zu konsultieren. Ohne verbleibendes hohes Restrisiko ist keine Konsultation erforderlich.

Teil C — Ergebnis, Freigabe und Überprüfung

Gesamtergebnis	[Verarbeitung zulässig / zulässig mit Auflagen / Konsultation nach Art. 36 erforderlich]
Stellungnahme der/des DSB (Art. 35 Abs. 2)	[Stellungnahme / „keine DSB benannt"]
Standpunkt betroffener Personen (Art. 35 Abs. 9), soweit eingeholt	[Ergebnis oder Begründung des Verzichts]
Freigabe durch	[Name, Funktion, Datum]
Nächste Überprüfung (Art. 35 Abs. 11)	[Datum — spätestens bei Änderung des Risikos, empfohlen jährlich]

Ort, Datum

Unterschrift Verantwortliche:r