{"id":33841,"date":"2026-10-26T14:29:29","date_gmt":"2026-10-26T13:29:29","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/datenschutz-folgenabschaetzung\/"},"modified":"2026-10-26T14:39:07","modified_gmt":"2026-10-26T13:39:07","slug":"datenschutz-folgenabschaetzung","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/datenschutz-datensicherheit\/datenschutz-folgenabschaetzung\/","title":{"rendered":"Datenschutz-Folgenabsch\u00e4tzung"},"content":{"rendered":"

Was ist Datenschutz-Folgenabsch\u00e4tzung?<\/h2>\n

Nach Kurzpapier Nr. 5 der Datenschutzkonferenz ist die Datenschutz-Folgenabsch\u00e4tzung ein spezielles Instrument zur Beschreibung, Bewertung und Eind\u00e4mmung von Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen bei der Verarbeitung personenbezogener Daten. Der Verantwortliche f\u00fchrt die Absch\u00e4tzung nach Art. 35 Abs. 1 DSGVO vorab durch, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund von Art, Umfang, Umst\u00e4nden und Zwecken voraussichtlich ein hohes Risiko<\/strong> f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge hat. Ob dieses Risiko vorliegt, ergibt sich nach der Datenschutzkonferenz aus einer Schwellwertanalyse; ergibt diese ein voraussichtlich hohes Risiko, ist eine DSFA durchzuf\u00fchren. Die Aufsichtsbeh\u00f6rde erstellt eine Liste der Verarbeitungsvorg\u00e4nge, f\u00fcr die gem\u00e4\u00df Absatz 1 eine Datenschutz-Folgenabsch\u00e4tzung durchzuf\u00fchren ist, und ver\u00f6ffentlicht diese (Art. 35 Abs. 4 DSGVO).<\/p>\n

Art. 35 Abs. 3 DSGVO z\u00e4hlt F\u00e4lle auf, in denen eine DSFA insbesondere erforderlich<\/strong> ist, darunter die systematische umfangreiche \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche. Plant ein Versicherer eine umfangreiche Verarbeitung von Gesundheitsdaten, etwa in der Krankenversicherung, f\u00fchrt er vorab eine Datenschutz-Folgenabsch\u00e4tzung durch, denn die umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten nennt Art. 35 Abs. 3 DSGVO ausdr\u00fccklich.<\/p>\n

Wie funktioniert Datenschutz-Folgenabsch\u00e4tzung?<\/h2>\n

Die Folgenabsch\u00e4tzung enth\u00e4lt zumindest eine systematische Beschreibung der geplanten Verarbeitungsvorg\u00e4nge und der Zwecke der Verarbeitung, eine Bewertung der Notwendigkeit und Verh\u00e4ltnism\u00e4\u00dfigkeit, eine Bewertung der Risiken f\u00fcr die Rechte und Freiheiten der betroffenen Personen sowie die zur Bew\u00e4ltigung der Risiken geplanten Abhilfema\u00dfnahmen. Dieser Mindestinhalt steht in Art. 35 Abs. 7 DSGVO. F\u00fcr die Untersuchung mehrerer \u00e4hnlicher Verarbeitungsvorg\u00e4nge mit \u00e4hnlich hohen Risiken kann nach Art. 35 Abs. 1 DSGVO eine einzige Absch\u00e4tzung<\/strong> vorgenommen werden.<\/p>\n

Erforderlichenfalls f\u00fchrt der Verantwortliche eine \u00dcberpr\u00fcfung durch, um zu bewerten, ob die Verarbeitung gem\u00e4\u00df der Datenschutz-Folgenabsch\u00e4tzung durchgef\u00fchrt wird; dies gilt zumindest, wenn hinsichtlich des mit den Verarbeitungsvorg\u00e4ngen verbundenen Risikos \u00c4nderungen eingetreten sind<\/strong> (Art. 35 Abs. 11 DSGVO). Nach Auffassung der Datenschutzkonferenz (Kurzpapier Nr. 5) muss sp\u00e4testens dann erneut eine DSFA durchgef\u00fchrt werden, wenn sich das mit der Verarbeitung verbundene Risiko \u00e4ndert. Geht aus der Absch\u00e4tzung hervor, dass die Verarbeitung ein hohes Risiko zur Folge h\u00e4tte, sofern der Verantwortliche keine Ma\u00dfnahmen zur Eind\u00e4mmung des Risikos trifft, konsultiert er vor der Verarbeitung die Aufsichtsbeh\u00f6rde (Art. 36 Abs. 1 DSGVO). Die Leitlinien WP 248 verwenden f\u00fcr die DSFA nach der DSGVO die Bezeichnung \u201eData Protection Impact Assessment\u201c (DPIA).<\/p>\n

Datenschutz-Folgenabsch\u00e4tzung im Vergleich<\/h2>\n\n\n\n\n\n\n\n
Kriterium<\/th>\nDatenschutz-Folgenabsch\u00e4tzung<\/th>\nDatenschutzrisikobewertung (Schwellwertanalyse)<\/th>\n<\/tr>\n<\/thead>\n
Bezeichnung<\/td>\nDeutsche Bezeichnung f\u00fcr die vorab durchzuf\u00fchrende Absch\u00e4tzung nach Art. 35 DSGVO<\/td>\nVon der Datenschutzkonferenz \u201eSchwellwertanalyse\u201c genannt (Kurzpapier Nr. 5)<\/td>\n<\/tr>\n
Gegenstand<\/td>\nInstrument zur Beschreibung, Bewertung und Eind\u00e4mmung von Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen (Kurzpapier Nr. 5)<\/td>\nAbsch\u00e4tzung der Risiken der Verarbeitungsvorg\u00e4nge, aus der sich ergibt, ob eine DSFA durchzuf\u00fchren ist<\/td>\n<\/tr>\n
Ergebnis<\/td>\nFolgenabsch\u00e4tzung mit dem Mindestinhalt nach Art. 35 Abs. 7 DSGVO: Beschreibung der Verarbeitungsvorg\u00e4nge und Zwecke, Bewertung von Notwendigkeit und Verh\u00e4ltnism\u00e4\u00dfigkeit, Bewertung der Risiken und geplante Abhilfema\u00dfnahmen<\/td>\nErgibt sie ein voraussichtlich hohes Risiko, ist eine DSFA durchzuf\u00fchren; weist der Vorgang kein hohes Risiko auf, ist eine DSFA nicht zwingend erforderlich<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Wann ist eine Datenschutz-Folgenabsch\u00e4tzung erforderlich?<\/h2>\n\n\n\n\n\n\n\n\n\n
Fall<\/th>\nWas das bedeutet<\/th>\n<\/tr>\n<\/thead>\n
Allgemeine Voraussetzung (Art. 35 Abs. 1 DSGVO)<\/td>\nEine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, hat aufgrund von Art, Umfang, Umst\u00e4nden und Zwecken voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge; dann f\u00fchrt der Verantwortliche vorab eine Absch\u00e4tzung durch.<\/td>\n<\/tr>\n
Bewertung pers\u00f6nlicher Aspekte (Art. 35 Abs. 3 lit. a DSGVO)<\/td>\nEin Fall, in dem eine DSFA insbesondere erforderlich ist: systematische und umfassende Bewertung pers\u00f6nlicher Aspekte nat\u00fcrlicher Personen auf Grundlage automatisierter Verarbeitung einschlie\u00dflich Profiling, die als Grundlage f\u00fcr Entscheidungen dient, die Rechtswirkung entfalten oder die Personen in \u00e4hnlich erheblicher Weise beeintr\u00e4chtigen.<\/td>\n<\/tr>\n
Besondere Datenkategorien (Art. 35 Abs. 3 lit. b DSGVO)<\/td>\nEbenfalls ein Fall, in dem eine DSFA insbesondere erforderlich ist: umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 oder von Daten \u00fcber strafrechtliche Verurteilungen und Straftaten nach Art. 10.<\/td>\n<\/tr>\n
\u00dcberwachung (Art. 35 Abs. 3 lit. c DSGVO)<\/td>\nEbenfalls ein Fall, in dem eine DSFA insbesondere erforderlich ist: systematische umfangreiche \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche.<\/td>\n<\/tr>\n
Schwellwertanalyse (Kurzpapier Nr. 5 der DSK)<\/td>\nErgibt die Schwellwertanalyse ein voraussichtlich hohes Risiko, dann ist eine DSFA durchzuf\u00fchren.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Wenn eine Verarbeitung voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge hat, die Absch\u00e4tzung der Folgen der vorgesehenen Verarbeitungsvorg\u00e4nge vorab durchf\u00fchren (Art. 35 Abs. 1 DSGVO).<\/li>\n
  • Bei der Durchf\u00fchrung den Rat des Datenschutzbeauftragten einholen, sofern ein solcher benannt wurde (Art. 35 Abs. 2 DSGVO).<\/li>\n
  • Erforderlichenfalls \u00fcberpr\u00fcfen, ob die Verarbeitung gem\u00e4\u00df der DSFA durchgef\u00fchrt wird, zumindest bei \u00c4nderungen des mit den Verarbeitungsvorg\u00e4ngen verbundenen Risikos (Art. 35 Abs. 11 DSGVO).<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Geht aus einer DSFA hervor, dass die Verarbeitung ein hohes Risiko zur Folge h\u00e4tte, sofern keine Ma\u00dfnahmen zur Eind\u00e4mmung des Risikos getroffen werden, konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbeh\u00f6rde (Art. 36 Abs. 1 DSGVO).<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,406,405],"class_list":["post-33841","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-dsgvo-datenschutz","glossary_intl_topic-datenschutz-datensicherheit"],"acf":{"card_description":"Datenschutz-Folgenabsch\u00e4tzung (DSFA): Absch\u00e4tzung der Folgen vorgesehener Verarbeitungsvorg\u00e4nge f\u00fcr den Schutz personenbezogener Daten.","nav_theme":"Datenschutz & Datensicherheit","nav_subtheme":"DSGVO & Datenschutz","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Datenschutzfolgeabsch\u00e4tzung"}],"lead_definition":"Die Datenschutz-Folgenabsch\u00e4tzung (DSFA) ist die Absch\u00e4tzung der Folgen vorgesehener Verarbeitungsvorg\u00e4nge f\u00fcr den Schutz personenbezogener Daten, die der Verantwortliche vorab durchf\u00fchrt, wenn eine Verarbeitung voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge hat.","at_a_glance":[{"bullet":"Voraussetzung ist ein voraussichtlich hohes Risiko; die Absch\u00e4tzung erfolgt nach Art. 35 Abs. 1 DSGVO vorab, also vor der Verarbeitung."},{"bullet":"Art. 35 Abs. 3 DSGVO nennt drei F\u00e4lle, in denen eine DSFA insbesondere erforderlich ist, darunter die systematische umfangreiche \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche."},{"bullet":"Der Verantwortliche konsultiert vor der Verarbeitung die Aufsichtsbeh\u00f6rde, wenn aus einer DSFA hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge h\u00e4tte, sofern er keine Ma\u00dfnahmen zur Eind\u00e4mmung des Risikos trifft (Art. 36 Abs. 1 DSGVO)."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Werden biometrische Daten mit einer Gesichtserkennungssoftware verarbeitet, etwa um den Zutritt zu einem Bereich zu kontrollieren, ist nach einer Orientierungshilfe der Datenschutzkonferenz im Vorfeld der Verarbeitung zwingend eine Datenschutz-Folgenabsch\u00e4tzung durchzuf\u00fchren."},{"example":"Plant eine Stelle die systematische umfangreiche \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche, liegt ein Fall vor, den Art. 35 Abs. 3 lit. c DSGVO ausdr\u00fccklich nennt."},{"example":"Ein Versicherer plant die umfangreiche Verarbeitung von Gesundheitsdaten in der Krankenversicherung; vorab f\u00fchrt er eine Datenschutz-Folgenabsch\u00e4tzung durch, weil Art. 35 Abs. 3 DSGVO die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten ausdr\u00fccklich nennt."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33741,33845,33851,33846,33850],"pillar_link":null,"sources":[{"publisher":"","name":"Verordnung (EU) 2016\/679 (Datenschutz-Grundverordnung)","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Kurzpapier Nr. 5: Datenschutz-Folgenabsch\u00e4tzung nach Art. 35 DS-GVO","url":"https:\/\/www.datenschutzkonferenz-online.de\/media\/kp\/dsk_kpnr_5.pdf","doc_type":"2018","group":"used"},{"publisher":"","name":"Leitlinien zur Datenschutz-Folgenabsch\u00e4tzung (WP 248 rev.01)","url":"https:\/\/www.datenschutzkonferenz-online.de\/media\/wp\/20171004_wp248_rev01.pdf","doc_type":"2017","group":"used"},{"publisher":"","name":"Orientierungshilfe Video\u00fcberwachung durch nicht-\u00f6ffentliche Stellen","url":"https:\/\/www.datenschutzkonferenz-online.de\/media\/oh\/20200903_oh_v%C3%BC_dsk.pdf","doc_type":"2020","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-23"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t