DSFA

Was ist eine DSFA?

Die DSFA ist kein einmaliges Formular, sondern ein dokumentierter Bewertungsprozess. Sie beschreibt die geplante Verarbeitung systematisch, prüft deren Notwendigkeit und Verhältnismäßigkeit, bewertet die Risiken für die betroffenen Personen und legt fest, mit welchen Maßnahmen diese Risiken auf ein vertretbares Maß gesenkt werden.

Verantwortlich für die Durchführung ist der Verantwortliche im Sinne der DSGVO. Ist ein Datenschutzbeauftragter benannt, muss dessen Rat nach Art. 35 Abs. 2 DSGVO eingeholt werden. Das Ergebnis ist zu dokumentieren und bei Bedarf gegenüber der Aufsichtsbehörde nachzuweisen.

Wann ist eine DSFA verpflichtend?

Art. 35 Abs. 3 DSGVO nennt drei Regelfälle, in denen eine DSFA immer erforderlich ist:

• Systematische und umfassende Bewertung persönlicher Aspekte, einschließlich Profiling, als Grundlage automatisierter Entscheidungen mit Rechtsfolgen.
• Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder von Daten über Straftaten.
• Systematische, umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Zusätzlich führen die Aufsichtsbehörden Positivlisten mit Verarbeitungen, die zwingend eine DSFA erfordern. Als Faustregel aus den Leitlinien der Datenschutzbehörden gilt außerdem: Treffen zwei oder mehr der neun Risikokriterien zu, ist von einem hohen Risiko auszugehen.

Was in eine DSFA gehört

• Systematische Beschreibung der Verarbeitungsvorgänge und ihrer Zwecke.
• Bewertung der Notwendigkeit und Verhältnismäßigkeit in Bezug auf den Zweck.
• Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen.
• Geplante Abhilfemaßnahmen, Garantien und Sicherheitsvorkehrungen samt Bewertung des Restrisikos.

Warum ist die DSFA relevant?

Eine fehlende oder unzureichende DSFA ist selbst ein Verstoß und nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt. Bleibt nach allen Maßnahmen ein hohes Restrisiko, muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert werden (Art. 36 DSGVO). Die DSFA ist damit kein Dokumentations-Selbstzweck, sondern eine Freigabeentscheidung.

In der Praxis scheitert die DSFA selten an der juristischen Bewertung, sondern an der Datengrundlage: Ohne saubere Verarbeitungsübersicht fehlen Zwecke, Empfänger und Fristen. Das SECJUR Digital Compliance Office setzt hier an, weil die DSFA auf dem bereits geführten Verarbeitungsverzeichnis aufsetzt und die Risikobewertung strukturiert mitführt.