¶ DSFA-Prüfregister
Beispielregister: Diese Seite ist ein nicht freigegebener Strukturentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Verarbeitungen, Screeningentscheidungen, Datenschutz-Folgenabschätzungen oder Freigaben.
Keine automatische Entwarnung: Ein leeres Feld, ein niedriger Matrixwert oder das Unterschreiten einer internen Punkteschwelle bedeutet nicht „keine DSFA erforderlich“. Jede Entscheidung braucht eine konkrete, schriftliche Begründung.
Geschützte Ablage: Das öffentliche Wiki beschreibt Methodik und Metadaten. Reale VVT-Angaben, Risikoszenarien, Bewertungen, Stellungnahmen und Nachweise werden zugriffsgeschützt geführt.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-REG-05-02 |
| Dokumentenart | Register für DSFA-Screening und Schwellwertanalyse |
| Wiki.js-Pfad | /DSGVO/05-Risiken-DSFA-und-TOM/DSFA-Pruefregister |
| Verantwortlich | festzulegende Datenschutzkoordination und verantwortliche Prozesseigner |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Informationssicherheit und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – Kriterien, Zuständigkeiten, Fristen und Entscheidungsbefugnisse nicht organisationsbezogen freigegeben |
| Version | 0.3 |
| Stand | 08.08.2026 |
| Gültig ab | Nach fachlicher Prüfung, Praxistest und formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie bei Rechts-, Aufsichts-, Verarbeitungs-, System- oder Risikoänderungen |
| Schutzklasse | Intern; konkrete Screenings, Risiken und Nachweise vertraulich bis streng vertraulich |
| DSGVO-Bezug | Erwägungsgründe 75, 84, 89 bis 94 sowie Artikel 5 Absatz 2, 24, 25, 32, 35 und 36 DSGVO |
| Schnittstellen | VVT, Datenschutz-Risikomethodik, Risikoregister, Projekte, TOM, Lieferanten, Transfers und Datenschutz-Folgenabschätzung |
Das Prüfregister steuert vom Anlass über gesetzliche Muss-Fälle und Risikokriterien zur begründeten Entscheidung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Das Register weist nach, dass vor Beginn oder wesentlicher Änderung einer Verarbeitung geprüft wurde, ob eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich ist. Es steuert offene Informationen, Beratung, Entscheidung, Folgemaßnahmen und erneute Prüfung.
Das Register ist ein Entscheidungs- und Steuerungsnachweis, nicht die Datenschutz-Folgenabschätzung selbst.
¶ 2. Abgrenzung der drei Instrumente
| Instrument | Leitfrage | Ergebnis |
|---|---|---|
| Datenschutz-Risikoregister | Welche möglichen Nachteile können Menschen entstehen und wie werden sie behandelt? | bewertete Risikoszenarien, Maßnahmen und Restrisiko |
| DSFA-Prüfregister | Ist für die konkrete Verarbeitung eine DSFA erforderlich? | begründete Screeningentscheidung mit Review |
| Datenschutz-Folgenabschätzung | Wie werden voraussichtlich hohe Risiken systematisch analysiert und bewältigt? | vollständige Prüfung nach Artikel 35 Absatz 7 DSGVO und dokumentierte Entscheidung |
Eine Prüfung nach Artikel 35 ist von der Risikobewertung einer Datenschutzverletzung nach Artikeln 33 und 34 zu unterscheiden.
¶ 3. Auslöser für ein Screening
Ein neuer oder aktualisierter Registereintrag wird insbesondere angelegt bei:
- neuer Verarbeitung, Anwendung, Technologie oder Datenquelle,
- wesentlicher Änderung von Zweck, Umfang, Dauer oder Personengruppe,
- neuen Datenkategorien, Zusammenführungen, Analysen oder Empfängern,
- Profiling, automatisierter Bewertung oder erheblichen Entscheidungen,
- systematischer Beobachtung, Ortung oder Verhaltensanalyse,
- neuer Verarbeitung besonderer Kategorien oder Strafdaten,
- neuen schutzbedürftigen Personengruppen oder Abhängigkeitsverhältnissen,
- neuem Auftragsverarbeiter, Drittlandzugriff oder Plattformmodell,
- Datenschutzverletzung, Beschwerde, Kontrollfeststellung oder unwirksamer Maßnahme,
- wesentlicher Änderung des Risikos oder der Aufsichtspraxis.
Die Prüfung wird vor der Verarbeitung beziehungsweise vor der wesentlichen Änderung abgeschlossen.
¶ 4. Mindestfelder des Prüfregisters
| Feld | Inhalt |
|---|---|
| Screening-ID | eindeutige Kennung, zum Beispiel DSFA-SCR-YYYY-NNN |
| Bezugsobjekt | VVT-ID, Projekt, System, Produkt oder Änderung |
| Verantwortlicher Bereich | Prozesseigner und entscheidungsbefugte Rolle |
| Anlass und Stichtag | Auslöser, geplantes Startdatum und Bewertungsdatum |
| Kurzbeschreibung | Zweck, Verarbeitungsschritte und erwarteter Nutzen |
| Art, Umfang, Umstände, Zwecke | konkrete Merkmale nach Artikel 35 Absatz 1 DSGVO |
| Personen und Daten | Betroffenengruppen, Schutzbedürftigkeit, Datenarten und Quellen |
| Muss-Fall nach Artikel 35 Absatz 3 | ja / nein / offen mit Begründung |
| anwendbare Aufsichtsliste | zuständige Behörde, Fassung, Fundstelle und Treffer |
| EDSA-Kriterien | je Kriterium ja / nein / offen mit Begründung |
| Risikoreferenz | verknüpfte Risiko-IDs und relevante Maßnahmen |
| DSB-Rat | Datum, Kernaussage und geschützte Referenz, sofern DSB benannt |
| Entscheidung | DSFA erforderlich / nicht erforderlich / Klärung offen / bestehende DSFA verwendbar |
| Begründung | konkrete Tatsachen, Kriterien, Quellen und Unsicherheiten |
| Folgemaßnahmen | DSFA, Informationsbeschaffung, Umgestaltung oder Freigabebedingungen |
| Entscheidung und Freigabe | Rollen, Datum und dokumentierte Befugnis |
| Review | Termin, Auslöser und Verantwortlichkeit |
| Schutzreferenz | Ablageort der vollständigen Unterlagen ohne sensible Details im öffentlichen Wiki |
¶ 5. Zwingende Fallgruppen nach Artikel 35 Absatz 3
Eine DSFA ist insbesondere erforderlich bei:
- systematischer und umfassender Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung einschließlich Profiling, wenn darauf Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung beruhen,
- umfangreicher Verarbeitung besonderer Kategorien nach Artikel 9 Absatz 1 oder von Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10,
- systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche.
Ein Treffer führt zum Ergebnis DSFA erforderlich. Interne Punktwerte oder Akzeptanzen heben diese Pflicht nicht auf.
¶ 6. Listen der Aufsichtsbehörden
Zusätzlich werden die nach Artikel 35 Absatz 4 veröffentlichten Listen der zuständigen Aufsichtsbehörde geprüft. Für nichtöffentliche Stellen in Deutschland verweist die BfDI auf die gemeinsame DSK-Liste; für öffentliche Stellen des Bundes besteht eine eigene BfDI-Liste.
Im Register werden dokumentiert:
- zuständige Aufsichtsbehörde und Bereich,
- Titel, Versions- oder Abrufstand der Liste,
- einschlägiger Listentatbestand,
- konkrete Übereinstimmung oder begründete Abgrenzung,
- gegebenenfalls anwendbare Liste nach Artikel 35 Absatz 5.
Die Listen sind nicht als abschließende Entwarnung zu verwenden. Auch ein nicht aufgeführter Verarbeitungsvorgang kann nach Artikel 35 Absatz 1 eine DSFA erfordern.
¶ 7. Neun Kriterien der EDSA/WP29-Leitlinien
Für die Schwellwertanalyse werden folgende Kriterien einzeln geprüft:
| Nr. | Kriterium | Prüffragen |
|---|---|---|
| 1 | Bewertung oder Einstufung | Werden Leistung, Verhalten, Zuverlässigkeit, Präferenzen, Gesundheit, Interessen, Standort oder andere persönliche Aspekte bewertet? |
| 2 | automatisierte Entscheidung mit erheblicher Wirkung | Führt die Verarbeitung zu rechtlichen oder ähnlich erheblichen Folgen? |
| 3 | systematische Überwachung | Werden Personen, Bereiche, Kommunikation oder Verhalten regelmäßig, organisiert oder dauerhaft beobachtet? |
| 4 | sensible oder höchstpersönliche Daten | Werden Artikel-9-/Artikel-10-Daten oder andere besonders eingriffsintensive Informationen verarbeitet? |
| 5 | umfangreiche Verarbeitung | Sind Zahl der Personen, Datenvolumen, Dauer, Häufigkeit oder geografische Reichweite erheblich? |
| 6 | Abgleich oder Zusammenführung | Werden Daten aus mehreren Quellen, Zwecken oder Verantwortungsbereichen kombiniert? |
| 7 | schutzbedürftige Personen | Sind etwa Kinder, Beschäftigte, Patienten, ältere oder abhängige Personen betroffen? |
| 8 | innovative Nutzung oder neue Technik | Entstehen durch Technik, Organisationsmodell oder neue Kombinationen schwer vorhersehbare Folgen? |
| 9 | Verhinderung von Rechten, Leistung oder Vertrag | Kann die Verarbeitung den Zugang zu einem Recht, Dienst, Vertrag oder einer Möglichkeit bestimmen oder ausschließen? |
Nach den Leitlinien sprechen zwei Kriterien in den meisten Fällen für eine DSFA. Je nach konkreter Verarbeitung kann bereits ein Kriterium genügen; umgekehrt kann trotz mehrerer Kriterien eine begründete Einzelfallentscheidung erforderlich sein. Die Anzahl ersetzt daher weder die Betrachtung von Art, Umfang, Umständen und Zweck noch die dokumentierte fachliche Bewertung.
¶ 8. Umfang bewerten
Für „umfangreich“ werden mindestens betrachtet:
- Zahl oder Anteil betroffener Personen,
- Datenmenge und Bandbreite der Datenarten,
- Dauer, Regelmäßigkeit oder Dauerhaftigkeit,
- geografische Reichweite,
- Zahl der Datenquellen, Empfänger und Systeme.
Es gibt keinen einheitlichen numerischen Schwellenwert für alle Verarbeitungen. Annahmen und organisationsbezogene Maßstäbe werden begründet.
¶ 9. Entscheidungscodes
| Code | Entscheidung | Mindestfolge |
|---|---|---|
DSFA-JA |
DSFA erforderlich | Verarbeitung nicht vor Abschluss und zulässiger Entscheidung beginnen; DSFA-ID anlegen |
DSFA-NEIN |
derzeit keine DSFA erforderlich | konkrete Begründung, Quellen und Reviewtermin dokumentieren |
DSFA-OFFEN |
Informationen oder Bewertung fehlen | Fragen, Owner und Frist festlegen; kein unbegründeter Produktivstart |
DSFA-BESTAND |
bestehende DSFA möglicherweise nutzbar | Vergleichbarkeit, Aktualität, Geltungsbereich und Änderungen dokumentieren |
DSFA-REVIEW |
erneute Prüfung erforderlich | Verarbeitung und bestehende Entscheidung anhand der Änderungen neu bewerten |
„Nicht anwendbar“ ist nur zulässig, wenn der Bezug des konkreten Kriteriums nachvollziehbar ausgeschlossen und begründet wurde.
¶ 10. Bestehende oder gemeinsame DSFA
Eine einzige DSFA kann mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken abdecken. Vor Wiederverwendung wird geprüft:
- identische oder ausreichend ähnliche Zwecke und Verarbeitungsschritte,
- vergleichbare Daten, Personen, Reichweite und Technik,
- gleiche oder wirksam erfasste Empfänger- und Transferstruktur,
- aktuelle Risiken, Maßnahmen und Rechtslage,
- eindeutige Zuordnung der einbezogenen Verarbeitungen.
Eine Hersteller-, Branchen- oder Konzernbewertung kann eine Eingabe sein, ersetzt aber nicht automatisch die Verantwortlichkeit und konkrete Prüfung des eigenen Verantwortlichen.
¶ 11. Rat des Datenschutzbeauftragten
Ist ein Datenschutzbeauftragter benannt, wird dessen Rat bei der Durchführung der DSFA eingeholt. Bereits im Screening wird seine Beratung insbesondere bei unklarer Schwelle, neuen Technologien, sensiblen Daten, Profiling oder schutzbedürftigen Personen eingeplant.
Rat, Abweichung und Entscheidung werden getrennt dokumentiert. Die Verantwortung verbleibt beim Verantwortlichen.
¶ 12. Folgemaßnahmen bei DSFA-JA
- Geltungsbereich und DSFA-Team festlegen.
- vollständige Beschreibung der Verarbeitung und Zwecke erstellen.
- Notwendigkeit und Verhältnismäßigkeit bewerten.
- Risiken für Rechte und Freiheiten untersuchen.
- Abhilfemaßnahmen, Garantien, Kontrollen und Nachweise planen.
- gegebenenfalls Standpunkt betroffener Personen einholen oder die Abweichung begründen.
- DSB-Rat dokumentieren, Entscheidung treffen und Review festlegen.
- bei nicht ausreichend eingedämmtem hohen Restrisiko vorherige Konsultation nach Artikel 36 einleiten.
Die Datenschutz-Folgenabschätzung beschreibt diesen Ablauf mit Verarbeitung, Notwendigkeit, Verhältnismäßigkeit, Risiken, Maßnahmen, DSB-Rat, Restrisiko und Entscheidung vertieft.
¶ 13. Folgemaßnahmen bei DSFA-NEIN
Die Begründung enthält mindestens:
- betrachtete Verarbeitung und verlässliche Tatsachen,
- Prüfung der gesetzlichen Muss-Fälle,
- Ergebnis der zuständigen Aufsichtsliste,
- Bewertung jedes relevanten EDSA-Kriteriums,
- Bezug zu Risiken und vorhandenen Maßnahmen,
- verbleibende Unsicherheiten,
- Entscheidung, Verantwortliche und Reviewtermin.
Eine knappe Aussage wie „Standardprozess“, „geringes Risiko“ oder „keine sensiblen Daten“ genügt nicht allein.
¶ 14. Review und Änderungsauslöser
Ein Screening wird erneut geprüft bei:
- Änderung von Zweck, Daten, Technik, Logik oder Reichweite,
- neuer Verknüpfung, Beobachtung, Automatisierung oder Empfängerstruktur,
- neuem Drittlandzugriff oder Unterauftragnehmer,
- Änderung einer Maßnahme oder ihrer Wirksamkeit,
- Vorfall, Beschwerde, Betroffenenwirkung oder Kontrollfeststellung,
- neuer Rechtsprechung, Leitlinie oder Aufsichtsliste,
- Änderung des Risikos oder erkennbar unzutreffender Annahme.
Artikel 35 Absatz 11 verlangt eine Überprüfung zumindest dann, wenn sich das mit der Verarbeitung verbundene Risiko ändert.
¶ 15. Rollen und Befugnisse
| Rolle | Musteraufgabe |
|---|---|
| Prozesseigner | vollständige Sachinformationen liefern und Änderungen melden |
| Datenschutzkoordination | Screening steuern, Register pflegen und offene Punkte überwachen |
| Datenschutzbeauftragte/r | beraten und Durchführung einer erforderlichen DSFA überwachen |
| Informationssicherheit / IT | Technik, Bedrohungen, Schutzmaßnahmen und Wirksamkeit erläutern |
| Recht / Compliance | Rechtsgrundlagen, Aufsichtslisten und besondere Rahmenbedingungen prüfen |
| befugte Leitung | Ressourcen, Bedingungen, Nichtbeginn oder weitere Behandlung entscheiden |
Das organisationsbezogene Rollen- und Vertretungsmodell ist vor Nutzung freizugeben.
¶ 16. Leeres Registermuster
| Screening-ID | VVT / Projekt | Anlass | Art. 35 Abs. 3 | Aufsichtsliste | Kriterien 1–9 | DSB-Rat | Entscheidung | Begründung / Schutzreferenz | Maßnahme / DSFA-ID | Review | Status |
|---|---|---|---|---|---|---|---|---|---|---|---|
| – | – | – | – | – | – | – | – | – | – | – | Kein realer Eintrag im Muster-Wiki |
Reale Daten werden nicht in dieser öffentlichen Mustertabelle geführt.
¶ 17. Qualitätskontrolle
- Ist das Bezugsobjekt eindeutig und mit dem VVT verknüpft?
- Wurde vor Beginn oder wesentlicher Änderung geprüft?
- Sind Art, Umfang, Umstände und Zwecke konkret beschrieben?
- Wurden alle drei Fallgruppen des Artikels 35 Absatz 3 geprüft?
- Ist die zuständige Aufsichtsliste mit Stand und Fundstelle dokumentiert?
- Sind die neun Kriterien einzeln und nicht nur als Summenwert bewertet?
- Ist die Betroffenenperspektive erkennbar?
- Sind offene Informationen als offen gekennzeichnet?
- Ist eine Nein-Entscheidung substanziell begründet?
- Sind DSB-Rat, Entscheidung, Folgemaßnahmen und Review nachvollziehbar?
- Stimmen VVT, Risikoregister, Projektunterlagen und technische Praxis überein?
¶ 18. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Datenschutz-Risikomethodik | Bewertung von Szenarien, Maßnahmenwirkung und Restrisiko |
| Datenschutz-Risikoregister | Risiken für Rechte und Freiheiten sowie Maßnahmenreferenzen |
| Verzeichnis von Verarbeitungstätigkeiten | führender Verarbeitungskontext und Screeningbezug |
| Besondere Kategorien und Strafdaten | erhöhte Anforderungen und Schutzmaßnahmen |
| Kinder und Schutzbedürftige | Schutzbedürftigkeit und Machtungleichgewicht |
| Automatisierte Entscheidungen und Profiling | Bewertung, Profiling und erhebliche Wirkungen |
| Datenschutz-Folgenabschätzung | vertiefte Prüfung und Steuerung nach Artikel 35 Absatz 7 |
| DSFA-Vorlage | öffentliches Strukturmodell; reale DSFA wird geschützt geführt |
| Technische und organisatorische Maßnahmen | Maßnahmenbestand und Wirksamkeitsnachweise |
¶ 19. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 35 und 36 – EUR-Lex
- EDSA: Datenschutz-Folgenabschätzung
- EDSA/WP29-Leitlinien WP248 rev.01 zur DSFA und zum voraussichtlich hohen Risiko
- BfDI: Datenschutz-Folgenabschätzungen und Listen von Verarbeitungsvorgängen
- DSK-Kurzpapier Nr. 5: Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO
Das 2026 vom EDSA veröffentlichte DSFA-Muster befand sich zum Seitenstand noch im Abschluss einer öffentlichen Konsultation. Vor Übernahme als Organisationsvorlage sind Finalstatus, Fassung und nationale Umsetzung erneut zu prüfen.
¶ 20. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei DSFA-Screening, Risikobewertung, Datenschutz-Folgenabschätzung und kontrollierten Nachweisen
- Datenschutzmanagement
- Datenschutz-Leistungen
- Technische und organisatorische Maßnahmen nach Artikel 32 DSGVO
Erstgespräch unter info@smct-management.de vereinbaren
¶ 21. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 0.3 | 08.08.2026 | TOM-Verzeichnis als Nachweisquelle für vorhandene Maßnahmen und ihre Wirksamkeit verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.2 | 08.08.2026 | Datenschutz-Folgenabschätzung als Folgeverfahren für eine mit DSFA-JA abgeschlossene Vorprüfung verknüpft |
Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Leeres Musterregister mit Muss-Fällen, Aufsichtslisten, neun EDSA-Kriterien, Entscheidungscodes, Folgemaßnahmen und Review erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |