dsfa-erstellung

DSFA – Datenschutz-Folgenabschätzung Art. 35 DSGVO

Zweck

Vollständige Datenschutz-Folgenabschätzung nach Art. 35 DSGVO: von der Schwellwertanalyse über die Risikoidentifikation bis zur Maßnahmenplanung und Freigabe. Das Format richtet sich nach dem Hausformat aus der Referenz-DSFA in CLAUDE.md; fehlt diese, wird die EDSA-Methodik (Leitlinien 09/2022) genutzt.

Eingaben

• Beschreibung des Verarbeitungsvorhabens (Zweck, Datenarten, Betroffene, Technologie)
• Vorabklassifikation aus anwendungsfall-triage (falls bereits erfolgt)
• Praxisprofil aus CLAUDE.md (Systemliste, Hausformat, Freigabe-Eskalation)
• Optional: technische Spezifikation, Dienstleisterbeschreibung, AVV-Entwurf

Ablauf

1. Schwellwertanalyse (Muss-DSFA-Prüfung).

Art. 35 Abs. 1 DSGVO: DSFA erforderlich bei voraussichtlich hohem Risiko. Mindestens zwei der folgenden Kriterien aus EDSA-Leitlinien 09/2022 treffen zu:

| Kriterium | Prüfung | |---|---| | Bewertung / Scoring | Ja / Nein | | Automatisierte Entscheidung mit Rechtswirkung (Art. 22 DSGVO) | Ja / Nein | | Systematische Überwachung | Ja / Nein | | Verarbeitung sensibler Daten (Art. 9/10 DSGVO) | Ja / Nein | | Verarbeitung großer Mengen oder im großen Umfang | Ja / Nein | | Abgleich oder Zusammenführung von Datensätzen | Ja / Nein | | Verarbeitung betreffend schutzbedürftige Personen (Kinder, Patienten) | Ja / Nein | | Einsatz neuer Technologien (KI, Biometrie, IoT) | Ja / Nein | | Verarbeitung verhindert Betroffenenrechte oder Dienstnutzung | Ja / Nein |

Art. 35 Abs. 3 DSGVO: In jedem Fall DSFA bei systematischer umfangreicher Verarbeitung besonderer Kategorien, umfangreicher Überwachung öffentlicher Bereiche, oder wenn auf der BfDI-Blacklist aufgeführt.

1. BfDI-Blacklist-Abgleich.

Abgleich gegen die Blacklist des BfDI (§ 67 BDSG i.V.m. Art. 35 Abs. 4 DSGVO). [Modellwissen – aktuellen Stand auf bfdi.bund.de prüfen] Typische Blacklist-Einträge: Biometrische Erfassungssysteme zur eindeutigen Identifizierung, Videoüberwachung öffentlicher Bereiche im großen Umfang, Scoring-Systeme für Kreditwürdigkeit, Gesundheitsdaten-Plattformen für Forschung.

BfDI-Whitelist (§ 67 Abs. 2 BDSG): Wenn Verarbeitungsart auf Whitelist, entfällt DSFA-Pflicht. [Modellwissen – prüfen]

1. Beschreibung der Verarbeitungstätigkeit (Art. 35 Abs. 7 lit. a DSGVO).
2. Zweck und Art der Verarbeitung
3. Datenkategorien und betroffene Personengruppen
4. Empfänger, Übermittlungen (inkl. Drittland)
5. Aufbewahrungsfristen
6. Technische Umgebung (Hosting, Sub-AVs)
7. Eigentümer der Verarbeitung (Fachabteilung, Produkt)

1. Notwendigkeit und Verhältnismäßigkeit (Art. 35 Abs. 7 lit. b DSGVO).
2. Ist die Verarbeitung für den Zweck erforderlich (Erforderlichkeit)?
3. Werden nicht mehr Daten verarbeitet als nötig (Datenminimierung Art. 5 Abs. 1 lit. c DSGVO)?
4. Ist die Zweckbindung eingehalten (Art. 5 Abs. 1 lit. b DSGVO)?
5. Ist die Rechtsgrundlage klar (Art. 6, 9 DSGVO)?
6. Ist die Speicherfrist verhältnismäßig (Art. 5 Abs. 1 lit. e DSGVO)?

1. Risikoidentifikation und -bewertung (Art. 35 Abs. 7 lit. c DSGVO).

Für jeden identifizierten Risikotyp: Eintrittswahrscheinlichkeit × Schwere des Schadens:

| Risiko | Kategorie | Eintrittsws. | Schwere | Risikostufe | |---|---|---|---|---| | Unbefugter Zugriff | Vertraulichkeit | [hoch/mittel/gering] | [hoch/mittel/gering] | 🔴/🟠/🟡/🟢 | | Datenverlust | Verfügbarkeit | … | … | … | | Profiling ohne Kenntnis | Transparenz | … | … | … | | Diskriminierung | Schaden Betroffener | … | … | … | | Identitätsdiebstahl | Sicherheit | … | … | … |

Referenz: EDSA-Leitlinien 09/2022, Abschn. 6; ENISA-Leitfaden DSFA.

1. Maßnahmen zur Risikominimierung (Art. 35 Abs. 7 lit. d DSGVO).

Für jedes Risiko ≥ 🟡 konkrete Maßnahme:

• Technische Maßnahmen (Verschlüsselung, Pseudonymisierung, Zugriffskontrolle)
• Organisatorische Maßnahmen (Schulungen, Vier-Augen-Prinzip, Berechtigungskonzept)
• Vertragsmaßnahmen (AVV, SCC)
• Restrisiko nach Maßnahmen (bleibt 🔴? → Vorab-Konsultation Art. 36 DSGVO)

1. Vorab-Konsultation Art. 36 DSGVO.

Wenn nach Maßnahmen ein hohes Restrisiko verbleibt: Pflicht zur Vorab-Konsultation bei der zuständigen Aufsichtsbehörde (Art. 36 Abs. 1 DSGVO). Frist: Aufsichtsbehörde hat 8 Wochen zur Antwort (Art. 36 Abs. 2 DSGVO), verlängerbar um 6 Wochen.

1. DSB-Beteiligung.

DSB ist bei der DSFA zu beteiligen (Art. 35 Abs. 2 DSGVO). Stellungnahme des DSB einholen und dokumentieren.

1. Freigabe und Dokumentation.

Freigabeprozess aus CLAUDE.md; DSFA im Verarbeitungsverzeichnis vermerken (Art. 30 Abs. 1 DSGVO). DSFA ist bei wesentlicher Änderung der Verarbeitung zu wiederholen (Art. 35 Abs. 11 DSGVO).

Quellen und Zitierweise

Verbindlich nach ../../references/zitierweise.md.

• Art. 35 DSGVO (DSFA: Pflicht, Inhalt, Vorab-Konsultation)
• Art. 36 DSGVO (Vorab-Konsultation Aufsichtsbehörde)
• Art. 5 Abs. 1 lit. b, c, e DSGVO (Zweckbindung, Datenminimierung, Speicherbegrenzung)
• § 67 BDSG (Blacklist/Whitelist BfDI)
• EDSA-Leitlinien 09/2022 zur DSFA und Bestimmung von "voraussichtlich hohem Risiko"
• Artikel-29-Datenschutzgruppe, WP 248 rev.01 (DSFA-Methodik, heute EDSA-Referenz)
• Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen zitieren. Literatur nur nutzen, wenn der Nutzer die Quelle bereitstellt oder ein lizenzierter Live-Zugriff sie verifiziert.
• Martini, in: Paal/Pauly, DSGVO/BDSG, 3. Aufl. 2021, Art. 35 Rn. 1 ff.
• Klabunde, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 1. Aufl. 2019, Art. 35 Rn. 1 ff.
• Quellenregel: Literatur nur mit Nutzerquelle oder lizenziertem Live-Zugriff; keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen.

Strategische Optionen (vor dem Template entscheiden)

Bevor das Template eins-zu-eins gefuellt wird, ist zu pruefen welche Variante zur Mandantenkonstellation passt. Das Template ist eine moegliche Form — nicht die einzige.

| Konstellation | Empfohlener Weg | |---|---| | Standard — DSFA fuer neue Verarbeitung durchfuehren | Schwellenwertanalyse und vollstaendige DSFA nach Template unten | | Variante A — Verarbeitung schon laeuft ohne DSFA | Nachtraegliche DSFA; Massnahmen-Umsetzungsplan erstellen | | Variante B — Ergebnis der DSFA negativ (hohes Restrisiko) | Verarbeitung anpassen oder Aufsichtsbehoerde konsultieren | | Variante C — DSFA fuer mehrere aehnliche Verarbeitungen | Muster-DSFA-Dokument erstellen; individuell anpassen |

Wenn die Mandantenkonstellation nicht ins Standardschema passt, ist das Template anzupassen oder durch ein anderes Skill abzuloesen — nicht das Mandat in das Schema zu pressen.

Ausgabeformat

DSFA im Hausformat (aus Referenz-DSFA in CLAUDE.md) oder, falls nicht verfügbar, folgendes Standardformat:

1. Deckblatt (Vorhaben, Datum, Verantwortlicher, DSB, Version)
2. Zusammenfassung (Executive Summary: Risikostufe Gesamt, Ergebnis, Freigabe-Status)
3. Beschreibung Verarbeitungstätigkeit
4. Schwellwertanalyse (Tabelle + Begründung)
5. Notwendigkeit und Verhältnismäßigkeit
6. Risikoidentifikation und -bewertung (Risikotabelle)
7. Maßnahmen (Tabelle: Risiko | Maßnahme | Verantwortlich | Frist | Restrisiko)
8. DSB-Stellungnahme (Platzhalter für Unterschrift)
9. Freigabe-Dokumentation
10. Überprüfungsplan (wann wiederholen)

Beispiel (Schwellwertanalyse)

Vorhaben: Einführung eines KI-gestützten Bewerberscreenings mit automatischer Vorauswahl.

Schwellwertanalyse:

• Bewertung/Scoring: Ja (Bewerber werden automatisch bewertet und gereiht)
• Automatisierte Entscheidung mit Rechtswirkung: Ja (Vorauswahl entscheidet über Einladung zum Gespräch → erhebliche Beeinträchtigung i.S.d. Art. 22 Abs. 1 DSGVO, sofern keine Menschenentscheidung zwischengeschaltet)
• Einsatz neuer Technologien (KI): Ja
• Schutzbedürftige Personen: ggf. (Bewerber in angespannter Arbeitsmarktsituation)

Ergebnis Schwellwert: Mindestens 3 Krite