Menü
So funktioniert'sKundenPartner
Unternehmen›
Beliebt
Die häufigsten Einstiege
›
Frameworks
ISO 27001, NIS2, TISAX und mehr
›
Branchenlösungen
Finanzen, Energie und mehr
›
Managed Compliance
ISB, DSB, QMB und KI-Beauftragter
›
Use Cases
ISMS, Datenschutz, QMS und mehr
›
Compliance-Plattform
Das Digital Compliance Office
›
AI FirewallNeu
KI gesetzeskonform verwenden
›
Managed Compliance

„SECJUR nimmt uns bei der Informationssicherheit den entscheidenden Teil der Arbeit ab. Wir hatten nur wenige Wochen bis zum Zertifizierungsaudit und im Unternehmen niemanden, der ein ISMS aufbaut. Dank SECJUR mussten wir bis heute keine eigene Stelle besetzen und haben dennoch problemlos das Audit bestanden.“

Jan Sorgenfrei
Jan Sorgenfrei
Vice President of Engineering, Circus SE
Das Digital Compliance Office
Auszug aus den Modulen
Navigator
Geführte Schritte für Aufbau und Betrieb.
Asset Management
Alle Werte an einem Ort, nach Kritikalität.
Risikomanagement
Risiken bewerten, behandeln, nachverfolgen.
Vendor Management
Dienstleister und Lieferanten im Blick.
Policy Management
Richtlinien erstellen, verknüpfen, freigeben.
Incident Management
Vorfälle erkennen, klassifizieren, melden.
Contract Management
Datenschutzverträge und AVV-Prüfung.
Task Management
Alle Aufgaben und Fristen im Überblick.
Navigator · ISO 27001
Hauptsitz
Fortschritt
80 %
✓
Anwendungsbereich festlegen
erledigt
✓
Assets erfassen
erledigt
✓
Risiken bewerten
erledigt
Ihr Experte
hat 3 Nachweise verknüpft
Und vieles mehr
Audit Management, Online-Schulungen, Verarbeitungsverzeichnis, KI-Inventar, TOM und weitere Funktionen
Plattform entdecken →
SECJUR AI FirewallBeta
Das Problem
44 %
Ihrer Mitarbeitenden verstoßen bei der KI-Nutzung gegen Firmenrichtlinien oder Gesetze.

Ihr Team lädt vertrauliche Kunden- und Personendaten in ChatGPT, Claude und Co. Mit Ihrer Erlaubnis oder ohne.

Quelle: KPMG, 2025
Die Lösung
KI nutzen, nach Ihren Regeln.

Die AI Firewall prüft jede Anfrage direkt im KI-Tool und sagt sofort, ob sie erlaubt ist.

Ihr KI-Assistent · Claude
Fasse die Krankmeldungen aus dem Team in einer Tabelle zusammen.
Geprüft mit SECJUR AI Firewall
Nicht erlaubt
Regel 2.1 · Keine Gesundheitsdaten in KI-Tools
KI verbieten oder einfach laufen lassen? Beides geht schief.
Zur AI Firewall →
Wissen
Fachartikel und Guides
›
Vorlagen & Downloads
Whitepaper und Checklisten
›
Produkt & Hilfe
Hilfe, Integrationen und Updates
›
Glossar
Compliance-Begriffe einfach erklärt
›
Beitrag teilen
HOME
/
blog
/
Datenschutz-Folgenabschätzung: So funktioniert das Risiko-Werkzeug

Datenschutz-Folgenabschätzung: So funktioniert das Risiko-Werkzeug

Niklas Hanitsch

Volljurist und Compliance-Experte

10 Sep 2026

10 min

Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.

Key Takeaways

Eine Datenschutz-Folgenabschätzung ist immer dann Pflicht, wenn eine Datenverarbeitung ein voraussichtlich hohes Risiko für Betroffene erzeugt.

Die DSFA ersetzt die frühere Vorabkontrolle und verpflichtet Unternehmen zu einer umfassenderen Risikoanalyse.

Eine vollständige DSFA umfasst die Beschreibung der Verarbeitung, die Zweckprüfung, die Risikobewertung und konkrete Schutzmaßnahmen.

Unternehmen müssen ihre Verarbeitungsprozesse kontinuierlich prüfen, da die DSFA kein einmaliger, sondern ein fortlaufender Compliance-Prozess ist.

Seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) am 25. Mai 2018 sind Unternehmen dazu verpflichtet, den Schutz personenbezogener Daten ernst zu nehmen. Eine wichtige Neuerung, die im Rahmen der DSGVO eingeführt wurde, ist die Datenschutz-Folgenabschätzung (DSFA). Diese Maßnahme stellt Datenschutzbeauftragte vor neue Herausforderungen und fordert Unternehmen dazu auf, ihre Verantwortung bei der Verarbeitung personenbezogener Daten zu erkennen.

In diesem Artikel werden wir uns genauer mit der DSFA befassen und erläutern, wann sie benötigt wird sowie ihren Inhalt und Umfang.

‍

Vorabkontrolle vs. Datenschutz-Folgenabschätzung

‍

Bereits in der alten Fassung des Bundesdatenschutzgesetzes (BDSG) existierte eine ähnliche Pflichtmaßnahme, die als "Vorabkontrolle" bezeichnet wurde. Dabei prüfte der Datenschutzbeauftragte die Risiken und Folgen für die Rechte des Betroffenen im Falle der Verarbeitung sensibler Daten. Mit der DSFA wurden diese Maßnahmen erweitert und präzisiert, um Unternehmen stärker in die Pflicht zu nehmen, wenn sie personenbezogene Daten verarbeiten.

‍

Wann wird eine Datenschutz-Folgenabschätzung benötigt?

‍

Art. 35 Abs. 1 DSGVO beschreibt die Indikation wie folgt:

„Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“

Entscheidend ist also, ob durch die Verarbeitung seiner Daten ein „hohes Risiko“ für den Betroffenen entsteht. Gibt es im Unternehmen einen Datenschutzbeauftragten, ist er bei der Durchführung der Datenschutz-Folgeabschätzung hinzuzuziehen (Art. 35 Abs. 2 DSGVO).

‍

Wann besteht ein besonders hohes Risiko?

‍

Nach Art. 35 Abs. 3 DSGVO besteht dieses Risiko zum Beispiel bei systematischer Bewertung personenbezogener Daten und „automatisierte[r] Verarbeitung einschließlich Profiling“ und umfangreicher Verarbeitung einzelner Kategorien personenbezogener Daten, strafrechtlich relevante Informationen, sowie Überwachung öffentlicher Orte.

In ihrem „Kurzpapier Nr. 5 Datenschutz-Folgenabschätzung nach-Art. 35 DSGVO“ empfiehlt die Datenschutzkonferenz die Datenschutz-Folgenabschätzung nicht als linearen oder abgeschlossenen Prozess zu sehen, sondern die Verarbeitungsprozesse stets auf Einhaltung der EU-Datenschutzverordnung hin zu überprüfen.

‍

4 Punkte, die eine Datenschutz-Folgenabschätzung enthalten muss

‍

Laut Art. 35 Abs. 7 DSGVO muss eine DSFA folgende vier verpflichtende Inhaltspunkte umfassen:

  • „eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen“
  • „eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck“
  • „eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen […]“ und
  • „die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird“.

‍

Fazit: Die Datenschutz-Folgenabschätzung gehört zum DSGVO-Werkzeugkasten

‍

Die Datenschutz-Folgenabschätzung ist ein wichtiges Instrument im Rahmen der DSGVO, um den Schutz personenbezogener Daten zu gewährleisten. Unternehmen sind verpflichtet, diese Maßnahme durchzuführen, wenn eine Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt.

Die DSFA erfordert eine systematische Beschreibung der Verarbeitungsvorgänge, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung und die Planung von Abhilfemaßnahmen. Als externer Datenschutzbeauftragter unterstützen wir Unternehmen dabei, diese Anforderungen zu erfüllen und den Datenschutz kontinuierlich zu gewährleisten.

Als externer Datenschutzbeauftragter übernehmen wir für Sie natürlich auch die Prozesse rund um die Datenschutz-Folgenabschätzung. Kontaktieren Sie uns noch heute für ein unverbindliches Angebot!

‍

Niklas Hanitsch

Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.

Über SECJUR

SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.

Compliance, completed

Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office

Mehr erfahren

Häufig gestellte Fragen

Die häufigsten Fragen zum Thema

Wann wird eine Datenschutz-Folgenabschätzung benötigt?

Hat eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung durch.

Wann besteht ein besonders hohes Risiko?

Dieses Risiko besteht z.B. bei systematischer Bewertung personenbezogener Daten, automatisierter Verarbeitung einschließlich Profiling und Überwachung öffentlicher Orte.

Weiterlesen

Schutzziele der Informationssicherheit - CIA-Triade, Vertraulichkeit, Integrität und Verfügbarkeit | SECJUR Blog
June 19, 2026
9 min
Schutzziele der Informationssicherheit: CIA-Triade und erweiterte Ziele

Vertraulichkeit, Integrität, Verfügbarkeit: Die CIA-Triade und die erweiterten Schutzziele der Informationssicherheit, erklärt und im ISMS umgesetzt.

Lesen
March 19, 2026
7 min
TISAX Rezertifizierung: Ablauf, Timing und Kosten nach 3 Jahren

TISAX Rezertifizierung nach 3 Jahren: Re-Assessment-Ablauf, Timeline, Kosten und typische Fehler bei der Vorbereitung.

Lesen
June 7, 2023
12 min
TISAX – Alles was Ihr Unternehmen wissen muss

TISAX ist der Informationssicherheits-Standard für Automobilzulieferer. Der Komplett-Guide erklärt, wer ein Label braucht, wie der Ablauf funktioniert und welche Module geprüft werden.

Lesen
TO TOP