Was ist eine DSFA?<\/h2>\n \n\n\n
Eine DSFA ist ein spezielles Instrument zur Beschreibung, Bewertung und Eind\u00e4mmung von Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen bei der Verarbeitung personenbezogener Daten. Die DSFA ist durchzuf\u00fchren, \u201ewenn die Form der Verarbeitung, insbesondere bei der Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umst\u00e4nde und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat\u201c. Sie befasst sich insbesondere mit Abhilfema\u00dfnahmen, durch die der Schutz personenbezogener Daten sichergestellt und die Einhaltung der Verordnung nachgewiesen werden kann (Art. 35 Abs. 1, 7 DS-GVO sowie ErwG. 84, 90).<\/p>\n<\/div><\/div>\n\n\n\n
Wann wird eine DSFA notwendig?<\/h2>\n \n\n\n
Ob eine DSFA durchzuf\u00fchren ist, ergibt sich aus einer Absch\u00e4tzung der Risiken der Verarbeitungsvorg\u00e4nge (\u201eSchwellwertanalyse\u201c). Ergibt diese ein voraussichtlich hohes Risiko, dann ist eine DSFA durchzuf\u00fchren. Wird festgestellt, dass der Verarbeitungsvorgang kein hohes Risiko aufweist, dann ist eine DSFA nicht zwingend erforderlich. In jedem Fall ist die Entscheidung \u00fcber die Durchf\u00fchrung oder Nichtdurchf\u00fchrung der DSFA mit Angabe der ma\u00dfgeblichen Gr\u00fcnde f\u00fcr den konkreten Verarbeitungsvorgang schriftlich zu dokumentieren.<\/p>\n\n\n\n
Art. 35 Abs. 3 DS-GVO benennt einige Faktoren, die wahrscheinlich zu einem hohen Risiko i. S. d. Art. 35 Abs. 1 DS-GVO f\u00fchren. Aufbauend auf den Leitlinien der Artikel-29-Datenschutzgruppe werden die Datenschutzaufsichtsbeh\u00f6rden zudem eine nicht abschlie\u00dfende Liste mit Verarbeitungst\u00e4tigkeiten, bei denen eine DSFA durchzuf\u00fchren ist, ver\u00f6ffentlichen.<\/p>\n\n\n\n
Eine DSFA ist vor der Aufnahme der zu betrachtenden Verarbeitungsvorg\u00e4nge durchzuf\u00fchren. Auch bereits bestehende Verarbeitungsvorg\u00e4nge k\u00f6nnen unter die Pflicht einer DSFA fallen. Da eine DSFA meist nicht ad hoc in wenigen Tagen erstellt werden kann, muss sie rechtzeitig, beispielsweise unterst\u00fctzt durch ein allgemeines Datenschutz-Managementsystem, auf den Weg gebracht werden.<\/p>\n\n\n\n
Begriffserkl\u00e4rung Risiko<\/summary>\nEin Risiko im Sinne der DS-GVO ist das Bestehen der M\u00f6glichkeit des Eintritts eines Ereignisses, das selbst einen Schaden (einschlie\u00dflich ungerechtfertigter Beeintr\u00e4chtigung von Rechten und Freiheiten nat\u00fcrlicher Personen) darstellt oder zu einem weiteren Schaden f\u00fcr eine oder mehrere nat\u00fcrliche Personen f\u00fchren kann.
Es hat zwei Dimensionen: Erstens die Schwere des Schadens und zweitens die Wahrscheinlichkeit, dass das Ereignis und die Folgesch\u00e4den eintreten.1<\/a><\/sup><\/p>\n<\/details>\n<\/div>\n\n\n\n<\/div>\n\n\n\nSchwellwertanalyse<\/h2>\n \n\n\n
Mit der Schwellwertanalyse soll festgestellt werden, ob die Schwelle zum hohen Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen \u00fcberschritten wird, oder nicht.<\/p>\n\n\n\n
Um festzustellen, ob ein hohes Risiko besteht und somit eine DSFA notwendig wird, werden die folgenden Schritte durchgef\u00fchrt (Standard-Datenschutzmodell (SDM)2<\/a><\/sup>: D3.2.1 Schwellwert-Analyse):<\/p>\n\n\n\n<\/div>\n\n\n\n1. Liste von Verarbeitungst\u00e4tigkeiten der Aufsichtsbeh\u00f6rde<\/h2>\n \n\n\n
Zuerst wird gepr\u00fcft, ob die Verarbeitungst\u00e4tigkeit in der Liste der Verarbeitungst\u00e4tigkeiten der Aufsichtsbeh\u00f6rde aufgef\u00fchrt ist.<\/p>\n\n\n\n
Durch die Aufsichtsbeh\u00f6rde wird eine Liste mit Verarbeitungst\u00e4tigkeiten ver\u00f6ffentlicht, welche eine DSFA notwendig machen. Die f\u00fcr die Ruhr-Universit\u00e4t zust\u00e4ndige Aufsichtsbeh\u00f6rde ist die Landesbeauftragte f\u00fcr Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).<\/p>\n\n\n\n
Aus der Liste3<\/a><\/sup> f\u00fcr den \u00f6ffentlichen Bereich<\/strong> ergeben sich folgende weitere F\u00e4lle in denen eine DSFA durchgef\u00fchrt werden muss:<\/p>\n\n\n\nListe der Verarbeitungst\u00e4tigkeiten, f\u00fcr die eine Datenschutz-
Folgenabsch\u00e4tzung durchzuf\u00fchren ist (Ausschnitt)<\/summary>\n<\/div>\n\n\n\nUmfangreiche Verarbeitung von personenbezogenen Daten im Rahmen der Kinder- und Jugendhilfe insbesondere der Beratung und Beantragung von Hilfen zur Erziehung, Eingliederungshilfe f\u00fcr seelisch behinderte Kinder und Jugendliche und Unterst\u00fctzung bei der Aus\u00fcbung der Personensorge und des Umgangsrechts, F\u00f6rderung von Kindern in Kindertagesbetreuung, Hilfe f\u00fcr junge Vollj\u00e4hrige sowie Beratung und Unterst\u00fctzung bei der Aus\u00fcbung der Personensorge und des Umgangsrechts (Verarbeitungst\u00e4tigkeiten der Kinder- und Jugendhilfe)<\/p>\n\n\n\n
Verarbeitung der Meldedaten, Melderegister und Spiegelregister von Mittel- und Gro\u00dfst\u00e4dten sowie vergleichbaren Kommunen und bei landesweiten Verfahren<\/p>\n\n\n\n
Umfangreiche Verarbeitung personenbezogener Daten im Rahmen der amtlichen Statistik, deren Erhebung, Speicherung und Verarbeitung, insbesondere der Anonymisierungsprozesse sowie deren statistische Aufbereitung vor\/f\u00fcr die \u00dcbermittlung der Informationen an Dritte (Verarbeitung der personenbezogenen Daten im Rahmen der amtlichen Statistik)<\/p>\n<\/details>\n\n\n\n
\n\n\n![\"\"](\"https:\/\/dsb.ruhr-uni-bochum.de\/wp-content\/uploads\/2025\/06\/ak_ldi_0-300x83.png\")
<\/figure>\n<\/div>\n\n\n\nInfoseite zur Datenschutzfolge-Absch\u00e4tzung der LDI NRW<\/h2>\n \n\n\n
Auf der Website der LDI NRW finden sich die Listen von Verarbeitungsvorg\u00e4ngen nach Art. 35 Abs. 4 DS-GVO f\u00fcr den \u00f6ffentlichen und nicht-\u00f6ffentlichen Bereich<\/p>\n\n\n\t\t
\n\t\t\t\n\t\t\t \t\t\n\n\t\t\t\n\t\t\t\t\n\t\t\t\t\t\n\n\t\t\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\tLDI NRW – DSFA<\/span>\n\t\t\t\t\t<\/div>\n \t\t\t<\/div>\n \t\t\t<\/div>\n \t\t<\/div>\n \t\t\t<\/a>\n\t\t<\/div>\n<\/div>\n<\/section>\n\n\n\n
\n\n\n\n<\/div>\n<\/div><\/div>\n<\/div><\/div>\n\n\n\n<\/div>\n\n\n\n2. F\u00e4lle die zu einer DSFA f\u00fchren<\/h2>\n \n\n\n
Falls die Verarbeitungst\u00e4tigkeit nicht durch die Aufsichtsbeh\u00f6rde gelistet ist, wird lt. Art. 35 (3), DSGVO eine DSFA insbesondere in den folgenden F\u00e4llen erforderlich:<\/p>\n\n\n\n
\nSystematische und umfassende Bewertung pers\u00f6nlicher Aspekte nat\u00fcrlicher Personen<\/summary>\n“systematische und umfassende Bewertung pers\u00f6nlicher Aspekte nat\u00fcrlicher Personen, die sich auf automatisierte Verarbeitung einschlie\u00dflich Profiling gr\u00fcndet und die ihrerseits als Grundlage f\u00fcr Entscheidungen dient, die Rechtswirkung gegen\u00fcber nat\u00fcrlichen Personen entfalten oder diese in \u00e4hnlich erheblicher Weise beeintr\u00e4chtigen;” Art. 35 (3) a), DSGVO<\/p>\n\n\n\n
Als Beispiel w\u00e4re hier z.B. die Verarbeitungst\u00e4tigkeit der Schufa zu nennen oder die automatisierte Bewertung von Bewerber:innen in einem Unternehmen.<\/p>\n<\/details>\n\n\n\nUmfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten<\/summary>\n“umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gem\u00e4\u00df Artikel 9 Absatz 1 oder von personenbezogenen Daten \u00fcber strafrechtliche Verurteilungen und Straftaten gem\u00e4\u00df Artikel 10” Art. 35 (3) b), DSGVO<\/p>\n\n\n\nDefinition besonderer Kategorien personenbezogener Daten<\/summary>\nDie besonderen Kategorien personenbezogener Daten lassen sich aus Art. 9, DSGVO4<\/a><\/sup> herleiten:<\/p>\n\n\n\n\n- Rassische und ethnische Herkunft<\/li>\n\n\n\n
- Politische Meinung<\/li>\n\n\n\n
- Religi\u00f6se oder weltanschauliche \u00dcberzeugungen<\/li>\n\n\n\n
- Gewerkschaftszugeh\u00f6rigkeit<\/li>\n\n\n\n
- Genetische Daten<\/li>\n\n\n\n
- Biometrische Daten zur eindeutigen identifizierung einer nat\u00fcrlichen Person<\/li>\n\n\n\n
- Gesundheitsdaten<\/li>\n\n\n\n
- Sexualleben<\/li>\n\n\n\n
- Sexuelle Orientierung<\/li>\n<\/ul>\n<\/details>\n<\/details>\n\n\n\n
Systematische umfangreiche \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche<\/summary>\n“systematische umfangreiche \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche.” Art. 35 (3) c), DSGVO<\/p>\n<\/details>\n<\/div>\n<\/div><\/div>\n\n\n\n
<\/div>\n\n\n\n3. Verarbeitungst\u00e4tigkeiten mit “voraussichtlich hohem Risiko”<\/h2>\n \n\n\n
Trifft Art. 35 (3) nicht zu, hat der europ\u00e4ische Datenschutzausschuss eine Liste von Verarbeitungst\u00e4tigkeiten mit “voraussichtlich hohem Risiko” ver\u00f6ffentlicht, welche ebenfalls gepr\u00fcft werden muss:<\/p>\n\n\n\nVerarbeitungst\u00e4tigkeiten mit “voraussichtlich hohem Risiko”<\/summary>\n<\/div>\n\n\n\nErf\u00fcllt ein Verarbeitungsvorgang zwei oder mehr dieser Kriterien, so ist in den meisten F\u00e4llen eine DSFA durch den Verantwortlichen durchzuf\u00fchren. In wenigen Einzelf\u00e4llen mag es auch vorkommen, dass nur eines der genannten Kriterien erf\u00fcllt wird und dennoch auf Grund eines hohen Risikos des Verarbeitungsvorgangs eine DSFA notwendig wird.<\/p>\n\n\n\n
a) Vertrauliche oder h\u00f6chst pers\u00f6nliche Daten
b) Daten zu schutzbed\u00fcrftigen Betroffenen
c) Datenverarbeitung in gro\u00dfem Umfang
d) Systematische \u00dcberwachung
e) Innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer L\u00f6sungen
f) Bewerten oder Einstufen (Scoring)
g) Abgleichen oder Zusammenf\u00fchren von Datens\u00e4tzen
h) Automatisierte Entscheidungsfindung mit Rechtswirkung oder \u00e4hnlich bedeutsamer Wirkung
i) Betroffene werden an der Aus\u00fcbung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchf\u00fchrung eines Vertrags gehindert<\/p>\n<\/details>\n<\/div><\/div>\n\n\n\n
<\/div>\n\n\n\n4. Risiko f\u00fcr betroffene Personen<\/h2>\n \n\n\n
Lt. SDM ist zu “Pr\u00fcfen, ob Art, Umfang, Umst\u00e4nde oder Zwecke (ErwG 76 DS-GVO) der
Verarbeitungst\u00e4tigkeit das Risiko f\u00fcr betroffene Personen erh\u00f6hen. Hierf\u00fcr ist es ratsam,
entsprechende Praxiserfahrungen und konkretisierende Gerichtsurteile in die Pr\u00fcfung eines
eventuell bestehenden hohen Risikos einzubeziehen.”<\/p>\n<\/div><\/div>\n<\/div><\/div>\n\n\n\n
Risikoidentifikation<\/h2>\n \n\n\n
Zur Identifikation von Risiken stellt das SDM folgende Fragen (Standard-Datenschutzmodell: D3.2.2 Risikoidentifikation):<\/p>\n\n\n\n
\n- Welche Sch\u00e4den k\u00f6nnen f\u00fcr betroffene Personen auf der Grundlage der zu verarbeitenden Daten auftreten?<\/li>\n\n\n\n
- Wodurch, d. h. durch welche Ereignisse kann es zu dem Schaden kommen?<\/li>\n\n\n\n
- Durch welche Handlungen und Umst\u00e4nde kann es zum Eintritt dieser Ereignisse kommen?<\/li>\n<\/ul>\n<\/div><\/div>\n\n\n\n
Risikobewertung<\/h2>\n \n\n\n
Nun m\u00fcssen Schwere und Eintrittswahrscheinlichkeit der identifizierten Risiken bewertet werden. Aus dieser Bewertung heraus kann nun H\u00f6he des Risikos objektiv eingestuft werden. (Standard-Datenschutzmodell: D3.2.3 Risikobewertung)
<\/p>\n\n\n\n
Dies kann z.B. anhand einer Risikomatrix erfolgen:<\/p>\n\n\n\n![\"Risikomatrix](\"https:\/\/dsb.ruhr-uni-bochum.de\/wp-content\/uploads\/2025\/06\/risiko_thumb.jpg\")
<\/figure>\n\n\n\nQuelle: LDA Bayern – Datenschutzfolgeabsch\u00e4tzung 5<\/a><\/sup><\/p>\n<\/div><\/div>\n<\/div><\/div>\n\n\n\n<\/div>\n\n\n\nVorlage f\u00fcr die Durchf\u00fchrung einer DSFA<\/h2>\n \n\n\n
Zur Durchf\u00fchrung einer DSFA existiert an der Ruhr-Universit\u00e4t eine Vorlage, um die Dokumentation zu vereinfachen.<\/p>\n\n\n\n
Das Template erm\u00f6glicht es u.a. die Risikobewertung f\u00fcr einzelner Verarbeitungst\u00e4tigkeiten bzw. Prozesse durchzuf\u00fchren.<\/p>\n\n\n\n
Diese Vorlage baut darauf auf, dass vom Verantwortlichen bereits eine Liste von Verarbeitungst\u00e4tigkeiten erstellt wurde und im Anschluss daran nun eine DSFA erstellt wird.<\/p>\n\n\n\n
\n\n\n![\"\"](\"https:\/\/dsb.ruhr-uni-bochum.de\/wp-content\/uploads\/2025\/06\/spreadsheet-2127832_1280-300x300.png\")
<\/figure>\n<\/div>\n\n\n\nDSFA-Template<\/h2>\n \n\n\n
Version 0.12<\/p>\n\n\n\n
Hinweis zu Libre Office:
Bitte beachten sie, dass sie Libre Office Version >= 24.8.1 f\u00fcr die korrekte Funktion ben\u00f6tigen. <\/p>\n\n\n\n
\t\t\n\t\t\t\n\t\t\t \t\t\n\n\t\t\t\n\t\t\t\t\n\t\t\t\t\t\n\n\t\t\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\tDownload Excel<\/span>\n\t\t\t\t\t<\/div>\n \t\t\t<\/div>\n \t\t\t<\/div>\n \t\t<\/div>\n \t\t\t<\/a>\n\t\t<\/div>\n\n\n\t\t\n\t\t\t\n\t\t\t \t\t\n\n\t\t\t\n\t\t\t\t\n\t\t\t\t\t\n\n\t\t\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\tDownload Calc<\/span>\n\t\t\t\t\t<\/div>\n \t\t\t<\/div>\n \t\t\t<\/div>\n \t\t<\/div>\n \t\t\t<\/a>\n\t\t<\/div>\n<\/div>\n<\/div>\n<\/section>\n\n\n\n
\n\n\n\n<\/div>\n<\/div><\/div>\n\n\n\n\n\n\n![\"Image](\"https:\/\/dsb.ruhr-uni-bochum.de\/wp-content\/uploads\/2025\/06\/pdf-2127829_1280-300x300.png\")
<\/figure>\n<\/div>\n\n\n\nAnleitung zum Ausf\u00fcllen des DSFA-Templates<\/h2>\n \n\n\n
Version 0.11<\/p>\n\n\n\n
Anleitung zum Ausf\u00fcllen mit Beispiel.<\/p>\n\n\n\n
Es hat zwei Dimensionen: Erstens die Schwere des Schadens und zweitens die Wahrscheinlichkeit, dass das Ereignis und die Folgesch\u00e4den eintreten.1<\/a><\/sup><\/p>\n<\/details>\n<\/div>\n\n\n\n
Schwellwertanalyse<\/h2>\n \n\n\n
Mit der Schwellwertanalyse soll festgestellt werden, ob die Schwelle zum hohen Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen \u00fcberschritten wird, oder nicht.<\/p>\n\n\n\n
Um festzustellen, ob ein hohes Risiko besteht und somit eine DSFA notwendig wird, werden die folgenden Schritte durchgef\u00fchrt (Standard-Datenschutzmodell (SDM)2<\/a><\/sup>: D3.2.1 Schwellwert-Analyse):<\/p>\n\n\n\n Zuerst wird gepr\u00fcft, ob die Verarbeitungst\u00e4tigkeit in der Liste der Verarbeitungst\u00e4tigkeiten der Aufsichtsbeh\u00f6rde aufgef\u00fchrt ist.<\/p>\n\n\n\n Durch die Aufsichtsbeh\u00f6rde wird eine Liste mit Verarbeitungst\u00e4tigkeiten ver\u00f6ffentlicht, welche eine DSFA notwendig machen. Die f\u00fcr die Ruhr-Universit\u00e4t zust\u00e4ndige Aufsichtsbeh\u00f6rde ist die Landesbeauftragte f\u00fcr Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).<\/p>\n\n\n\n Aus der Liste3<\/a><\/sup> f\u00fcr den \u00f6ffentlichen Bereich<\/strong> ergeben sich folgende weitere F\u00e4lle in denen eine DSFA durchgef\u00fchrt werden muss:<\/p>\n\n\n\n Umfangreiche Verarbeitung von personenbezogenen Daten im Rahmen der Kinder- und Jugendhilfe insbesondere der Beratung und Beantragung von Hilfen zur Erziehung, Eingliederungshilfe f\u00fcr seelisch behinderte Kinder und Jugendliche und Unterst\u00fctzung bei der Aus\u00fcbung der Personensorge und des Umgangsrechts, F\u00f6rderung von Kindern in Kindertagesbetreuung, Hilfe f\u00fcr junge Vollj\u00e4hrige sowie Beratung und Unterst\u00fctzung bei der Aus\u00fcbung der Personensorge und des Umgangsrechts (Verarbeitungst\u00e4tigkeiten der Kinder- und Jugendhilfe)<\/p>\n\n\n\n Verarbeitung der Meldedaten, Melderegister und Spiegelregister von Mittel- und Gro\u00dfst\u00e4dten sowie vergleichbaren Kommunen und bei landesweiten Verfahren<\/p>\n\n\n\n Umfangreiche Verarbeitung personenbezogener Daten im Rahmen der amtlichen Statistik, deren Erhebung, Speicherung und Verarbeitung, insbesondere der Anonymisierungsprozesse sowie deren statistische Aufbereitung vor\/f\u00fcr die \u00dcbermittlung der Informationen an Dritte (Verarbeitung der personenbezogenen Daten im Rahmen der amtlichen Statistik)<\/p>\n<\/details>\n\n\n\n Auf der Website der LDI NRW finden sich die Listen von Verarbeitungsvorg\u00e4ngen nach Art. 35 Abs. 4 DS-GVO f\u00fcr den \u00f6ffentlichen und nicht-\u00f6ffentlichen Bereich<\/p>\n\n\n\t\t Falls die Verarbeitungst\u00e4tigkeit nicht durch die Aufsichtsbeh\u00f6rde gelistet ist, wird lt. Art. 35 (3), DSGVO eine DSFA insbesondere in den folgenden F\u00e4llen erforderlich:<\/p>\n\n\n\n “systematische und umfassende Bewertung pers\u00f6nlicher Aspekte nat\u00fcrlicher Personen, die sich auf automatisierte Verarbeitung einschlie\u00dflich Profiling gr\u00fcndet und die ihrerseits als Grundlage f\u00fcr Entscheidungen dient, die Rechtswirkung gegen\u00fcber nat\u00fcrlichen Personen entfalten oder diese in \u00e4hnlich erheblicher Weise beeintr\u00e4chtigen;” Art. 35 (3) a), DSGVO<\/p>\n\n\n\n Als Beispiel w\u00e4re hier z.B. die Verarbeitungst\u00e4tigkeit der Schufa zu nennen oder die automatisierte Bewertung von Bewerber:innen in einem Unternehmen.<\/p>\n<\/details>\n\n\n\n “umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gem\u00e4\u00df Artikel 9 Absatz 1 oder von personenbezogenen Daten \u00fcber strafrechtliche Verurteilungen und Straftaten gem\u00e4\u00df Artikel 10” Art. 35 (3) b), DSGVO<\/p>\n\n\n\n Die besonderen Kategorien personenbezogener Daten lassen sich aus Art. 9, DSGVO4<\/a><\/sup> herleiten:<\/p>\n\n\n\n “systematische umfangreiche \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche.” Art. 35 (3) c), DSGVO<\/p>\n<\/details>\n<\/div>\n<\/div><\/div>\n\n\n\n Trifft Art. 35 (3) nicht zu, hat der europ\u00e4ische Datenschutzausschuss eine Liste von Verarbeitungst\u00e4tigkeiten mit “voraussichtlich hohem Risiko” ver\u00f6ffentlicht, welche ebenfalls gepr\u00fcft werden muss:<\/p>\n\n\n\n Erf\u00fcllt ein Verarbeitungsvorgang zwei oder mehr dieser Kriterien, so ist in den meisten F\u00e4llen eine DSFA durch den Verantwortlichen durchzuf\u00fchren. In wenigen Einzelf\u00e4llen mag es auch vorkommen, dass nur eines der genannten Kriterien erf\u00fcllt wird und dennoch auf Grund eines hohen Risikos des Verarbeitungsvorgangs eine DSFA notwendig wird.<\/p>\n\n\n\n a) Vertrauliche oder h\u00f6chst pers\u00f6nliche Daten Lt. SDM ist zu “Pr\u00fcfen, ob Art, Umfang, Umst\u00e4nde oder Zwecke (ErwG 76 DS-GVO) der Zur Identifikation von Risiken stellt das SDM folgende Fragen (Standard-Datenschutzmodell: D3.2.2 Risikoidentifikation):<\/p>\n\n\n\n Nun m\u00fcssen Schwere und Eintrittswahrscheinlichkeit der identifizierten Risiken bewertet werden. Aus dieser Bewertung heraus kann nun H\u00f6he des Risikos objektiv eingestuft werden. (Standard-Datenschutzmodell: D3.2.3 Risikobewertung) Dies kann z.B. anhand einer Risikomatrix erfolgen:<\/p>\n\n\n\n Quelle: LDA Bayern – Datenschutzfolgeabsch\u00e4tzung 5<\/a><\/sup><\/p>\n<\/div><\/div>\n<\/div><\/div>\n\n\n\n Zur Durchf\u00fchrung einer DSFA existiert an der Ruhr-Universit\u00e4t eine Vorlage, um die Dokumentation zu vereinfachen.<\/p>\n\n\n\n Das Template erm\u00f6glicht es u.a. die Risikobewertung f\u00fcr einzelner Verarbeitungst\u00e4tigkeiten bzw. Prozesse durchzuf\u00fchren.<\/p>\n\n\n\n Diese Vorlage baut darauf auf, dass vom Verantwortlichen bereits eine Liste von Verarbeitungst\u00e4tigkeiten erstellt wurde und im Anschluss daran nun eine DSFA erstellt wird.<\/p>\n\n\n\n Version 0.12<\/p>\n\n\n\n Hinweis zu Libre Office: Version 0.11<\/p>\n\n\n\n Anleitung zum Ausf\u00fcllen mit Beispiel.<\/p>\n\n\n\n1. Liste von Verarbeitungst\u00e4tigkeiten der Aufsichtsbeh\u00f6rde<\/h2>\n \n\n\n
Liste der Verarbeitungst\u00e4tigkeiten, f\u00fcr die eine Datenschutz-
Folgenabsch\u00e4tzung durchzuf\u00fchren ist (Ausschnitt)<\/summary>\n<\/figure>\n<\/div>\n\n\n\nInfoseite zur Datenschutzfolge-Absch\u00e4tzung der LDI NRW<\/h2>\n \n\n\n
\n\n\n\n2. F\u00e4lle die zu einer DSFA f\u00fchren<\/h2>\n \n\n\n
Systematische und umfassende Bewertung pers\u00f6nlicher Aspekte nat\u00fcrlicher Personen<\/summary>\n
Umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten<\/summary>\n
Definition besonderer Kategorien personenbezogener Daten<\/summary>\n
\n
Systematische umfangreiche \u00dcberwachung \u00f6ffentlich zug\u00e4nglicher Bereiche<\/summary>\n
3. Verarbeitungst\u00e4tigkeiten mit “voraussichtlich hohem Risiko”<\/h2>\n \n\n\n
Verarbeitungst\u00e4tigkeiten mit “voraussichtlich hohem Risiko”<\/summary>\n
b) Daten zu schutzbed\u00fcrftigen Betroffenen
c) Datenverarbeitung in gro\u00dfem Umfang
d) Systematische \u00dcberwachung
e) Innovative Nutzung oder Anwendung neuer technologischer oder organisatorischer L\u00f6sungen
f) Bewerten oder Einstufen (Scoring)
g) Abgleichen oder Zusammenf\u00fchren von Datens\u00e4tzen
h) Automatisierte Entscheidungsfindung mit Rechtswirkung oder \u00e4hnlich bedeutsamer Wirkung
i) Betroffene werden an der Aus\u00fcbung eines Rechts oder der Nutzung einer Dienstleistung bzw. Durchf\u00fchrung eines Vertrags gehindert<\/p>\n<\/details>\n<\/div><\/div>\n\n\n\n4. Risiko f\u00fcr betroffene Personen<\/h2>\n \n\n\n
Verarbeitungst\u00e4tigkeit das Risiko f\u00fcr betroffene Personen erh\u00f6hen. Hierf\u00fcr ist es ratsam,
entsprechende Praxiserfahrungen und konkretisierende Gerichtsurteile in die Pr\u00fcfung eines
eventuell bestehenden hohen Risikos einzubeziehen.”<\/p>\n<\/div><\/div>\n<\/div><\/div>\n\n\n\nRisikoidentifikation<\/h2>\n \n\n\n
\n
Risikobewertung<\/h2>\n \n\n\n
<\/p>\n\n\n\n<\/figure>\n\n\n\nVorlage f\u00fcr die Durchf\u00fchrung einer DSFA<\/h2>\n \n\n\n
<\/figure>\n<\/div>\n\n\n\nDSFA-Template<\/h2>\n \n\n\n
Bitte beachten sie, dass sie Libre Office Version >= 24.8.1 f\u00fcr die korrekte Funktion ben\u00f6tigen. <\/p>\n\n\n\n
\n\n\n\n<\/figure>\n<\/div>\n\n\n\nAnleitung zum Ausf\u00fcllen des DSFA-Templates<\/h2>\n \n\n\n
![\"\"](\"https:\/\/dsb.ruhr-uni-bochum.de\/wp-content\/uploads\/2025\/06\/TMF-Logo_200_0.png\"){kind=logo}
<\/figure>\n<\/div>\n\n\n\n