Das Kürzel DSFA steht für Datenschutz-Folgenabschätzung. Es bezeichnet eine systematische Prüfung, mit der ein Unternehmen oder eine Behörde mögliche Risiken einer Datenverarbeitung für betroffene Personen bewertet und passende Schutzmaßnahmen festlegt.
Auf Datenschutzunterlagen weist DSFA meist darauf hin, dass eine Verarbeitung besonders sorgfältig auf ihre Datenschutzrisiken geprüft wurde. Das Kürzel ist jedoch kein allgemeines Prüfsiegel und bedeutet nicht automatisch, dass die Verarbeitung zulässig oder risikofrei ist.
Was wird bei einer DSFA geprüft?
Eine Datenschutz-Folgenabschätzung wird nach Artikel 35 der Datenschutz-Grundverordnung erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Menschen mit sich bringt. Dazu können etwa umfangreiche Überwachungen, die Verarbeitung besonders sensibler Daten oder eine systematische Bewertung persönlicher Merkmale gehören.
Die Prüfung betrachtet unter anderem den Zweck der Verarbeitung, die verwendeten Daten, die betroffenen Personengruppen und die eingesetzten Systeme. Zusätzlich wird bewertet, wie wahrscheinlich ein Schaden ist und welche Folgen er haben könnte. Daraus entstehen Maßnahmen wie Zugriffsbegrenzungen, Verschlüsselung, Löschfristen oder organisatorische Kontrollen.
Was bedeutet der Hinweis auf einem Dokument?
Steht DSFA auf einer Datenschutzakte, einem Projektpapier oder einer internen Freigabe, kennzeichnet es häufig den Bezug zu einer solchen Risikoprüfung. Die vollständige Bewertung kann in einem separaten Dokument liegen. Entscheidend ist daher der Zusammenhang: Gemeint sein können ein Entwurf, ein Prüfstatus, eine laufende Bewertung oder die abgeschlossene Dokumentation.
Das Kürzel bestätigt allein weder die Einhaltung aller Datenschutzvorgaben noch eine Genehmigung durch eine Aufsichtsbehörde. Wenn du die Bedeutung für ein bestimmtes Verfahren prüfen musst, achte auf den Titel des Dokuments, den Bearbeitungsstand, das Datum und die verantwortliche Stelle.
DSFA-Hinweis richtig einordnen
- Prüfe, ob die Abkürzung im Dokument selbst erklärt wird.
- Suche nach Angaben zum geprüften Verarbeitungsvorgang und zum Geltungsbereich.
- Achte darauf, ob die Bewertung abgeschlossen, aktualisiert oder nur geplant ist.
- Frage bei der zuständigen Datenschutzstelle nach, wenn Risiken, Freigaben oder Zuständigkeiten unklar bleiben.
Häufige Fragen zur DSFA in Datenschutzunterlagen
Ist eine DSFA dasselbe wie eine Datenschutzerklärung?
Nein. Eine Datenschutzerklärung informiert betroffene Personen über eine Verarbeitung. Die DSFA ist dagegen eine interne oder verfahrensbezogene Risikoanalyse für Verarbeitungen mit voraussichtlich hohem Risiko.
Ist eine DSFA immer gesetzlich vorgeschrieben?
Nein. Sie wird erforderlich, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen erzeugt. Ob das der Fall ist, muss anhand der Art, des Umfangs, der Umstände und der Zwecke geprüft werden.
Wer erstellt eine Datenschutz-Folgenabschätzung?
Verantwortlich ist grundsätzlich die Stelle, die über Zweck und Mittel der Verarbeitung entscheidet. Der Datenschutzbeauftragte unterstützt und berät, übernimmt aber nicht automatisch die Verantwortung für die Entscheidung.
Beweist das Kürzel DSFA, dass alles datenschutzkonform ist?
Nein. Eine DSFA dokumentiert eine Risikoprüfung und geplante Schutzmaßnahmen. Sie ersetzt weder die gesamte Datenschutzprüfung noch die laufende Kontrolle, ob die Maßnahmen tatsächlich funktionieren.
Bei einem DSFA-Vermerk zählt deshalb nicht nur die Abkürzung, sondern der zugehörige Verarbeitungsvorgang und der dokumentierte Prüfstand. Für eine belastbare Einordnung brauchst du gegebenenfalls die vollständige Folgenabschätzung oder eine Auskunft der verantwortlichen Datenschutzstelle.