DSFA (Datenschutz-Folgenabschätzung)
Eine DSFA (Datenschutz-Folgenabschätzung) ist nach Art. 35 DSGVO eine vorab durchzuführende Abschätzung der Folgen einer Verarbeitung für den Schutz personenbezogener Daten, die Pflicht ist, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Stand:
Auch: Datenschutz-Folgenabschätzung, DPIA
Art. 35 Abs. 1 Satz 1 DSGVO lautet: „Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch.“
Die ausdrückliche Nennung neuer Technologien zielt auf Fälle wie KI. Nicht jeder KI-Einsatz braucht eine DSFA. Ein Assistent, der Marketingtexte ohne Personenbezug entwirft, eher nicht. Wer dagegen Bewerbungen, Gesundheitsdaten oder Leistungsdaten von Mitarbeitern mit KI auswertet, kommt um die Prüfung kaum herum. Die Aufsichtsbehörden veröffentlichen Listen mit Verarbeitungen, für die eine DSFA immer nötig ist.
Eine DSFA beschreibt die Verarbeitung, prüft Notwendigkeit und Verhältnismäßigkeit, bewertet die Risiken und legt Gegenmaßnahmen fest. Den Datenschutzbeauftragten binden Sie dabei ein. Sie ist keine Formalie für den Ordner, sondern zwingt zu den Fragen, die ein KI-Projekt ohnehin klären muss: welche Daten, wofür, wie lange und wer sieht sie.
Quelle: Verordnung (EU) 2016/679 (DSGVO), Art. 35, abgerufen am 27.10.2026