Vollständige Datenschutz-Folgenabschätzung nach Art. 35 DSGVO: von der Schwellwertanalyse über die Risikoidentifikation bis zur Maßnahmenplanung und Freigabe. Das Format richtet sich nach dem Hausformat aus der Referenz-DSFA in CLAUDE.md; fehlt diese, wird die EDSA-Methodik (Leitlinien 09/2022) genutzt.
Eingaben
Beschreibung des Verarbeitungsvorhabens (Zweck, Datenarten, Betroffene, Technologie)
Vorabklassifikation aus anwendungsfall-triage (falls bereits erfolgt)
Praxisprofil aus CLAUDE.md (Systemliste, Hausformat, Freigabe-Eskalation)
Art. 35 Abs. 1 DSGVO: DSFA erforderlich bei voraussichtlich hohem Risiko. Mindestens zwei der folgenden Kriterien aus EDSA-Leitlinien 09/2022 treffen zu:
Kriterium
Prüfung
Bewertung / Scoring
Ja / Nein
Automatisierte Entscheidung mit Rechtswirkung (Art. 22 DSGVO)
Ja / Nein
Systematische Überwachung
Ja / Nein
Verarbeitung sensibler Daten (Art. 9/10 DSGVO)
Ja / Nein
Verarbeitung großer Mengen oder im großen Umfang
Ja / Nein
Abgleich oder Zusammenführung von Datensätzen
Ja / Nein
Verarbeitung betreffend schutzbedürftige Personen (Kinder, Patienten)
Ja / Nein
Einsatz neuer Technologien (KI, Biometrie, IoT)
Ja / Nein
Verarbeitung verhindert Betroffenenrechte oder Dienstnutzung
Ja / Nein
Art. 35 Abs. 3 DSGVO: In jedem Fall DSFA bei systematischer umfangreicher Verarbeitung besonderer Kategorien, umfangreicher Überwachung öffentlicher Bereiche, oder wenn auf der BfDI-Blacklist aufgeführt.
BfDI-Blacklist-Abgleich.
Abgleich gegen die Blacklist des BfDI (§ 67 BDSG i.V.m. Art. 35 Abs. 4 DSGVO). [Modellwissen – aktuellen Stand auf bfdi.bund.de prüfen]
Typische Blacklist-Einträge: Biometrische Erfassungssysteme zur eindeutigen Identifizierung, Videoüberwachung öffentlicher Bereiche im großen Umfang, Scoring-Systeme für Kreditwürdigkeit, Gesundheitsdaten-Plattformen für Forschung.
BfDI-Whitelist (§ 67 Abs. 2 BDSG): Wenn Verarbeitungsart auf Whitelist, entfällt DSFA-Pflicht. [Modellwissen – prüfen]
Beschreibung der Verarbeitungstätigkeit (Art. 35 Abs. 7 lit. a DSGVO).
Zweck und Art der Verarbeitung
Datenkategorien und betroffene Personengruppen
Empfänger, Übermittlungen (inkl. Drittland)
Aufbewahrungsfristen
Technische Umgebung (Hosting, Sub-AVs)
Eigentümer der Verarbeitung (Fachabteilung, Produkt)
Notwendigkeit und Verhältnismäßigkeit (Art. 35 Abs. 7 lit. b DSGVO).
Ist die Verarbeitung für den Zweck erforderlich (Erforderlichkeit)?
Werden nicht mehr Daten verarbeitet als nötig (Datenminimierung Art. 5 Abs. 1 lit. c DSGVO)?
Ist die Zweckbindung eingehalten (Art. 5 Abs. 1 lit. b DSGVO)?
Ist die Rechtsgrundlage klar (Art. 6, 9 DSGVO)?
Ist die Speicherfrist verhältnismäßig (Art. 5 Abs. 1 lit. e DSGVO)?
Risikoidentifikation und -bewertung (Art. 35 Abs. 7 lit. c DSGVO).
Für jeden identifizierten Risikotyp: Eintrittswahrscheinlichkeit × Schwere des Schadens:
Restrisiko nach Maßnahmen (bleibt 🔴? → Vorab-Konsultation Art. 36 DSGVO)
Vorab-Konsultation Art. 36 DSGVO.
Wenn nach Maßnahmen ein hohes Restrisiko verbleibt: Pflicht zur Vorab-Konsultation bei der zuständigen Aufsichtsbehörde (Art. 36 Abs. 1 DSGVO). Frist: Aufsichtsbehörde hat 8 Wochen zur Antwort (Art. 36 Abs. 2 DSGVO), verlängerbar um 6 Wochen.
DSB-Beteiligung.
DSB ist bei der DSFA zu beteiligen (Art. 35 Abs. 2 DSGVO). Stellungnahme des DSB einholen und dokumentieren.
Freigabe und Dokumentation.
Freigabeprozess aus CLAUDE.md; DSFA im Verarbeitungsverzeichnis vermerken (Art. 30 Abs. 1 DSGVO). DSFA ist bei wesentlicher Änderung der Verarbeitung zu wiederholen (Art. 35 Abs. 11 DSGVO).
EDSA-Leitlinien 09/2022 zur DSFA und Bestimmung von "voraussichtlich hohem Risiko"
Artikel-29-Datenschutzgruppe, WP 248 rev.01 (DSFA-Methodik, heute EDSA-Referenz)
Keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen zitieren. Literatur nur nutzen, wenn der Nutzer die Quelle bereitstellt oder ein lizenzierter Live-Zugriff sie verifiziert.
Quellenregel: Literatur nur mit Nutzerquelle oder lizenziertem Live-Zugriff; keine Kommentar-, Handbuch- oder Aufsatzfundstellen aus Modellwissen.
Strategische Optionen (vor dem Template entscheiden)
Bevor das Template eins-zu-eins gefuellt wird, ist zu pruefen welche Variante zur Mandantenkonstellation passt. Das Template ist eine moegliche Form — nicht die einzige.
Konstellation
Empfohlener Weg
Standard — DSFA fuer neue Verarbeitung durchfuehren
Schwellenwertanalyse und vollstaendige DSFA nach Template unten
Wenn die Mandantenkonstellation nicht ins Standardschema passt, ist das Template anzupassen oder durch ein anderes Skill abzuloesen — nicht das Mandat in das Schema zu pressen.
Ausgabeformat
DSFA im Hausformat (aus Referenz-DSFA in CLAUDE.md) oder, falls nicht verfügbar, folgendes Standardformat:
Vorhaben: Einführung eines KI-gestützten Bewerberscreenings mit automatischer Vorauswahl.
Schwellwertanalyse:
Bewertung/Scoring: Ja (Bewerber werden automatisch bewertet und gereiht)
Automatisierte Entscheidung mit Rechtswirkung: Ja (Vorauswahl entscheidet über Einladung zum Gespräch → erhebliche Beeinträchtigung i.S.d. Art. 22 Abs. 1 DSGVO, sofern keine Menschenentscheidung zwischengeschaltet)
Einsatz neuer Technologien (KI): Ja
Schutzbedürftige Personen: ggf. (Bewerber in angespannter Arbeitsmarktsituation)
Ergebnis Schwellwert: Mindestens 3 Kriterien erfüllt → DSFA erforderlich. Zusätzlich: § 26 Abs. 1 BDSG (Beschäftigtendaten) und Art. 22 DSGVO (automatisierte Einzelentscheidung) sind eigenständige Schutznormen, die eine DSFA unabhängig von der Schwellwertanalyse nahelegen.
Risiken / typische Fehler
Fehlende DSB-Beteiligung: Art. 35 Abs. 2 DSGVO schreibt ausdrücklich Beteiligung vor; unterlassene Beteiligung ist ein eigenständiger Verstoß, selbst wenn die DSFA inhaltlich korrekt ist.
DSFA als Einmalvorgang: Art. 35 Abs. 11 DSGVO – DSFA muss bei wesentlichen Änderungen der Verarbeitungstätigkeit wiederholt werden. Änderungsmanagement im Verfahren verankern.
Vorab-Konsultation übergangen: Wenn Restrisiko nach Maßnahmen hoch bleibt, ist Art. 36 DSGVO keine Option, sondern Pflicht. Unterlassung ist eigenständiger Bußgeldtatbestand (Art. 83 Abs. 4 lit. a DSGVO).
BfDI-Blacklist-Stand nicht geprüft: Blacklist kann aktualisiert werden. Immer aktuelle Fassung auf bfdi.bund.de prüfen.
KI-VO-Überschneidung (ab 2026): Für KI-Systeme mit hohem Risiko nach VO (EU) 2024/1689 (KI-VO) ist eine Konformitätsprüfung nach KI-VO und eine DSFA nach Art. 35 DSGVO durchzuführen. Beide Instrumente ergänzen sich; die KI-VO-Konformitätsbewertung ersetzt die DSFA nicht. [Modellwissen – Zeitplan KI-VO prüfen]
Quellen / Updates
Stand: 05/2026. Aktualität prüfen bei EDSA-Aktualisierungen der Leitlinien 09/2022, neuen BfDI-Blacklist-Einträgen sowie KI-VO-Hochrisiko-Kategorien (VO (EU) 2024/1689, Anhang III).
datenschutzrecht/skills/drittlandstransfer-pruefung/SKILL.md — TIA als Bestandteil der DSFA bei Drittlandbezug
datenschutzrecht/skills/datenpanne-meldung/SKILL.md — Vorab-Konsultation Art. 36 DSGVO nach negativer DSFA
Aktuelle Rechtsprechung (v14.2)
Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
Faktische Updates (Stand 05/2026)
DSFA + FRIA (Art. 27 KI-VO) bei Hochrisiko-KI: Ab 02.08.2026 muessen Betreiber bestimmter Hochrisiko-KI-Systeme (oeffentliche Stellen, oeffentlich-finanzierte Dienste, Kreditwuerdigkeitsbewertung, Kranken-/Lebensversicherungs-Risikobewertung) eine Grundrechte-Folgenabschaetzung (Fundamental Rights Impact Assessment, FRIA) durchfuehren. DSFA und FRIA koennen integriert werden, sind aber rechtlich eigenstaendig. Quelle: VO (EU) 2024/1689, Art. 27.
EDSA-Stellungnahme 28/2024 zu KI-Modellen: verbindliche Auslegungshilfe zur DSGVO-Bewertung von KI-Modellen und KI-Diensten, insb. zu personenbezogenen Daten in Modell-Gewichten und Training. Quelle: edpb.europa.eu.
BfDI-/LfDI-Blacklist Art. 35 Abs. 4 DSGVO: Aktuelle Liste verpflichtender DSFA-Faelle live ueber bfdi.bund.de pruefen; auch Landesdatenschutzbehoerden veroeffentlichen Listen (z.B. LfDI BW, LDA Bayern).
Art. 36 DSGVO Vorab-Konsultation: Bei Restrisiko nach DSFA Pflicht zur Konsultation der Aufsichtsbehoerde. Frist 8 Wochen, Verlaengerung 6 Wochen moeglich.
Triage zu Beginn
Liegt bereits ein Ergebnis aus anwendungsfall-triage vor (DSFA PFLICHT)?
Welche EDSA-Kriterien sind erfüllt? (Mindestens 2 für DSFA-Pflicht)
Ist die Verarbeitung auf der BfDI-Blacklist?
Gibt es ein Hausformat in CLAUDE.md?
Was will der Mandant wirklich erreichen? (Nicht: was steht im Standardweg, sondern: welches Ergebnis ist fuer den Mandanten persoenlich/wirtschaftlich das beste? Manchmal ist der schnellere Vergleich besser als der formal "richtige" Weg.)
