Zuletzt aktualisiert: 9. Juli 2026 — Peter Fürsicht, zertifizierter DSB

DSFA – Datenschutz-Folgenabschaetzung (Art. 35 DSGVO)

Die Datenschutz-Folgenabschaetzung (DSFA) nach Artikel 35 DSGVO ist die systematische Analyse der Risiken, die eine geplante Verarbeitung fuer die Rechte betroffener Personen birgt. Sie ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko fuer die Rechte der betroffenen Personen birgt.

Wann ist eine DSFA Pflicht?

Artikel 35 nennt Beispiele fuer hohe Risiken:

  • Systematische und umfassende Bewertung persoenlicher Aspekte (Profiling)
  • Grossmaestige Verarbeitung sensibler Daten (Gesundheit, Biometrie)
  • Systematische Ueberwachung oeffentlich zugaenglicher Bereiche

Eine einfache E-Mail-Erfassung braucht keine DSFA – ein Scoring-System, Biometrie an Schulen oder ein grosses Tracking-Setup sehr wohl.

Ablauf einer DSFA

  1. Systematische Beschreibung der Verarbeitung (Zweck, Datenkategorien, Betroffene)
  2. Bewertung der Notwendigkeit und Verhaeltnismaessigkeit
  3. Risikoanalyse fuer Rechte betroffener Personen
  4. Massnahmen zur Risikobegrenzung – die TOM
  5. Dokumentation und ggf. Konsultation der Aufsichtsbehoerde

Risiko-Cluster

Risiken lassen sich clustern in Diskriminierung, Identitaetsdiebstahl, finanzieller Verlust, Rufschmaedigung und Verlust der Kontrolle ueber eigene Daten. Die DSFA bewertet Wahrscheinlichkeit und Schweregrad dieser Risiken.

Praxis-Beispiel

Ein Arbeitgeber plant ein Video-Monitoring an Arbeitsplaetzen. Das birgt hohes Risiko fuer Arbeitnehmerrechte. Eine DSFA ist Pflicht – sie zeigt, dass die Massnahme nicht verhaeltnismaessig ist, und fuehrt zu einem Verzicht auf die Verarbeitung.

Wer fuehrt die DSFA durch?

Der Verantwortliche, im Zweifel mit Unterstuetzung des DSB. Aufsichtsbehoerden koennen eine DSFA anfordern.

Was passiert, wenn die DSFA hohes Risiko ergibt?

Der Verantwortliche muss die Aufsichtsbehoerde konsultieren (Art. 36). Vorher darf die Verarbeitung nicht begonnen werden.

Wie lange dauert eine DSFA?

Eine Standard-DSFA dauert einige Tage bis zu zwei Wochen je nach Komplexitaet. Eine Konsultation der Aufsicht kann Wochen dauern.

Gibt es positive Listen?

Ja. Aufsichtsbehoerden veroeffentlichen Listen verarbeitungstaetigkeiten, die zwingend eine DSFA erfordern.