---
title: "Datenschutz-Folgenabschätzung (DSFA)"
url: "https://knowledgebase.audatis-manager.de/de/article/datenschutz-folgenabschatzung-dsfa"
language: "de"
last_updated: "2026-11-04T11:39:05.242Z"
---

# Datenschutz-Folgenabschätzung (DSFA)

Risiken einer Verarbeitung vorab bewerten, prüfen lassen und freigeben (Art. 35 und 36 DS-GVO)

## 0 Kurzkarte: Eine DSFA in 5 Schritten

1.  **Anlegen** – Öffnen Sie **Datenschutz → DSFA**, klicken Sie auf **Neu**, geben Sie eine **Bezeichnung** ein und klicken Sie auf **Speichern**. Öffnen Sie die neue DSFA mit dem **Stift-Symbol**.
2.  **Stammdaten und Beschreibung** – Wählen Sie im Reiter **Stammdaten** den **Durchführungsverantwortlichen** und den **Freigabeverantwortlichen**. Beschreiben Sie im Reiter **Beschreibung** die Verarbeitung und verknüpfen Sie die betroffenen **Verarbeitungstätigkeiten**.
3.  **Bewerten** – Füllen Sie **Anspruchsgruppen**, **Datenschutzgrundsätze** und **Betroffenenrechte** aus und verknüpfen Sie im Reiter **Risiken** mindestens ein Risiko. Klicken Sie auf **Speichern**.
4.  **Zur Prüfung einreichen** – Klicken Sie auf **Zur Prüfung einreichen**. Der Datenschutzbeauftragte bewertet sieben Prüfpunkte und schließt die Prüfung ab.
5.  **Freigeben** – Der **Freigabeverantwortliche** dokumentiert im Reiter **Freigabe** seine Entscheidung und klickt auf **Freigeben** oder **Ablehnen**.

> **Wichtig:** Schließen Sie die DSFA **vor Beginn** der Verarbeitung ab (Art. 35 Abs. 1 DS-GVO). Bleibt trotz der Maßnahmen ein hohes Risiko, konsultieren Sie vor dem Start die Aufsichtsbehörde (Art. 36 DS-GVO).

> **Tipp:** Die DSFA speichert nicht automatisch. Klicken Sie nach jedem größeren Arbeitsschritt auf **Speichern**.

## 1 Einführung

### 1.1 Wofür ist das Modul da?

Eine Datenschutz-Folgenabschätzung (DSFA) ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen hat, z. B. bei Videoüberwachung, Scoring, umfangreicher Verarbeitung von Gesundheitsdaten oder dem Einsatz neuer Technologien.

Im Modul **DSFA** dokumentieren Sie die gesamte Folgenabschätzung an einer Stelle. Das Modul

-   übernimmt Zwecke, Betroffene, Datenkategorien, Speicherfristen, Empfänger, Auftragsverarbeiter und Assets aus den verknüpften **Verarbeitungstätigkeiten**,
-   führt durch die Bewertung von Notwendigkeit und Verhältnismäßigkeit, der Betroffenenrechte und der Risiken,
-   nutzt für die Risiken das **Risikomanagement** mit den dort verknüpften Maßnahmen (TOM),
-   lässt die DSFA vom Datenschutzbeauftragten anhand von sieben Prüfpunkten prüfen, angelehnt an das Kurzpapier Nr. 5 der Datenschutzkonferenz,
-   dokumentiert die Entscheidung des Verantwortlichen, eine etwaige Konsultation der Aufsichtsbehörde und die Freigabe und
-   erzeugt einen **DSFA-Bericht** als Word- oder PDF-Datei für den Nachweis.

### 1.2 Brauche ich eine DSFA?

Ob eine DSFA nötig ist, klären Sie in der Verarbeitungstätigkeit im Abschnitt **DSFA + Risiken** (siehe Handbuch **Verarbeitungstätigkeiten**). Dort prüfen Sie zuerst Muss-Listen und Ausnahmen und beantworten dann in der **Schwellwertbestimmung** elf Kriterien. Ab 2,0 Risikopunkten empfiehlt das System eine DSFA.

![](https://cdn-assets.productfruits.com/da5e6d63-4c56-4fff-8136-e11c6f6ed7bc)

*Abbildung 1: Schwellwertbestimmung in der Verarbeitungstätigkeit*

Aus demselben Abschnitt legen Sie mit **DSFA anlegen** eine neue DSFA an oder verknüpfen über **Risiko oder DSFA verknüpfen** eine vorhandene.

### 1.3 Begriffe

| Begriff | Bedeutung |
| --- | --- |
| **DSFA** | Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO: eine strukturierte Bewertung der Risiken einer Verarbeitung für die betroffenen Personen. |
| **Durchführungsverantwortlicher** | Person, die die DSFA federführend erstellt. |
| **Freigabeverantwortlicher** | Person, die für den Verantwortlichen über die Freigabe entscheidet, z. B. die Geschäftsführung. |
| **DSFA-Team** | Weitere Beteiligte, als Benutzer des Systems oder aus dem Personalverzeichnis. |
| **Anspruchsgruppe** | Personengruppe, deren Standpunkt eingeholt wird, z. B. Beschäftigte oder Betriebsrat (Art. 35 Abs. 9 DS-GVO). |
| **Abgeleitet** | Angabe, die aus einer verknüpften Verarbeitungstätigkeit übernommen ist. Sie ändern sie dort. |
| **Brutto- / Netto-Risiko** | Risiko vor bzw. nach Umsetzung der Maßnahmen. |
| **Verbleibendes Risiko** | Höchstes Netto-Risiko aller verknüpften Risiken. Das System berechnet es automatisch. |
| **Prüfansicht** | Ansicht, in der der Prüfer die eingereichte DSFA bewertet. |
| **Konsultation** | Vorherige Befassung der Aufsichtsbehörde bei hohem verbleibendem Risiko (Art. 36 DS-GVO). |

### 1.4 Der Ablauf im Überblick

| Schritt | Wer | Was passiert | Status |
| --- | --- | --- | --- |
| Anlegen und ausfüllen | Durchführungsverantwortlicher, DSFA-Team | Stammdaten, Beschreibung, Bewertungen, Risiken | *Entwurf* |
| Einreichen | Durchführungsverantwortlicher | **Zur Prüfung einreichen**, der Prüfer erhält eine Aufgabe | *zur Prüfung*, Prüfstatus *Eingereicht* |
| Prüfen | Datenschutzbeauftragter | sieben Prüfpunkte, Rat und Empfehlung, **Prüfung abschließen** | *zur Freigabe*, Prüfstatus *Geprüft (OK)* oder *Geprüft (Mängel)* |
| Entscheiden | Freigabeverantwortlicher | Sicht des Verantwortlichen, ggf. Konsultation, **Freigeben** oder **Ablehnen** | *Freigegeben* oder *Abgelehnt* |
| Aktualisieren | Durchführungsverantwortlicher | Bearbeiten einer freigegebenen DSFA setzt sie auf *Entwurf* zurück | *Entwurf* |

![](https://cdn-assets.productfruits.com/3405d845-f3b8-45df-b3d4-8acd920ff5f2)

*Abbildung 2: Übersicht der Datenschutz-Folgenabschätzungen*

### 1.5 Rollen und Rechte

| Recht im Modul | Was Sie sehen und dürfen |
| --- | --- |
| **Lesen** | Übersicht, Nur-Lese-Ansicht (**Auge-Symbol**), **Vorschau**, **Exportieren** |
| **Bearbeiten** | zusätzlich **Neu**, Bearbeiten, **Zur Prüfung einreichen**, **Schlagwörter** und **Massenaktionen** |
| **Löschen** | zusätzlich **Löschen** |
| **Sonderrecht** (meist der Datenschutzbeauftragte) | zusätzlich **Prüfansicht** und **DSFA konfigurieren** |

Zusätzlich gilt:

-   Wer im Reiter **Stammdaten** als **Durchführungsverantwortlicher** eingetragen ist, bearbeitet diese DSFA auch mit dem Recht **Lesen** und kann in der Übersicht **Schlagwörter** und **Massenaktionen** für sie nutzen.
-   Den Reiter **Freigabe** bearbeitet nur der eingetragene **Freigabeverantwortliche**, und erst, wenn die DSFA den Status *zur Freigabe* hat.
-   **Massenaktionen → Prüfung zurücknehmen** erscheint nur mit einem eigenen Sonderrecht.

Die Rechte vergibt die Administration in der Rollenverwaltung des Mandanten.

## 2 Eine DSFA erstellen

*Dieses Kapitel richtet sich an Durchführungsverantwortliche und Mitglieder des DSFA-Teams.*

### 2.1 Die Übersicht

Sie öffnen das Modul in der Navigation über **Datenschutz → DSFA**. Die Übersicht **Datenschutz-Folgenabschätzungen** zeigt je DSFA:

| Spalte | Bedeutung |
| --- | --- |
| **DSFA** | Bezeichnung |
| **Status** | *Entwurf*, *zur Prüfung*, *zur Freigabe*, *Freigegeben* oder *Abgelehnt* |
| **VT** | Anzahl verknüpfter Verarbeitungstätigkeiten |
| **Risiko** | höchstes Netto-Risiko der verknüpften Risiken |
| **Prüfstatus** | Stand der Prüfung, z. B. *Eingereicht* oder *Geprüft (OK)*; nur bei eingeschaltetem Prüf- oder Aktualisierungsworkflow |
| **Schlagwörter** | zugeordnete Schlagwörter |
| **Durchführung** | Durchführungsverantwortlicher |
| **Zuletzt geändert** | Datum der letzten Änderung |

Mit dem **Auge-Symbol** öffnen Sie eine DSFA zum Lesen, mit dem **Stift-Symbol** zum Bearbeiten. Aus der Nur-Lese-Ansicht wechseln Sie mit **Bearbeiten** in die Bearbeitung. Das Suchfeld **Suche in Tabelle** durchsucht die angezeigten Einträge.

Über **Filter** grenzen Sie die Liste ein nach **Bezeichnung**, **Status**, **Durchführung**, **Prüfstatus**, **VT** (*Mit VT verknüpft* oder *Ohne VT-Verknüpfung*), **Risiko** (Risikostufe oder *Kein Risiko*) und **Schlagwörter**. Im Filter **Prüfstatus** zeigen *Zur Prüfung (automatisch)* und *Zur Prüfung (durch Benutzer)*, wie eine DSFA eingereicht wurde; *zur Aktualisierung* zeigt DSFAs mit fälliger Aktualisierung. Führt Ihr Mandant eigene Prüfstatus, stehen sie ebenfalls zur Auswahl. Mit **Filter anwenden** grenzen Sie ein, mit **Filter zurücksetzen** heben Sie den Filter auf.

![](https://cdn-assets.productfruits.com/60ffb9d2-8dc0-42b0-82d1-9d52a0c48ea3)

*Abbildung 3: Filter in der Übersicht*

Archivierte DSFAs stehen im Reiter **Archiv**.

### 2.2 DSFA anlegen

1.  Klicken Sie in der Übersicht auf **Neu**.
2.  Geben Sie im Fenster **Neue DSFA anlegen** eine aussagekräftige **Bezeichnung** ein, z. B. „DSFA Bewerbermanagement-System".
3.  Klicken Sie auf **Speichern**. Die DSFA erscheint mit dem Status *Entwurf* in der Übersicht.
4.  Öffnen Sie sie mit dem **Stift-Symbol**.

![](https://cdn-assets.productfruits.com/93cf12e3-b735-4a53-9610-329bda84cadd)

*Abbildung 4: Neue DSFA anlegen*

> **Tipp:** Mit **Weiteren Datensatz anlegen** bleibt das Fenster offen, und Sie legen gleich die nächste DSFA an.

### 2.3 Die Bearbeitungsseite

Oben steht die Werkzeugleiste mit **Speichern**, **Zur Prüfung einreichen**, **Vorschau**, **Exportieren** und **Abbrechen**. Darunter stehen zehn Reiter: **Stammdaten**, **Beschreibung**, **Anspruchsgruppen**, **Datenschutzgrundsätze**, **Betroffenenrechte**, **Risiken**, **Ergebnis**, **Freigabe**, **Dokumente** und **Einstellungen**.

Alle Bereiche stehen untereinander auf einer Seite; ein Klick auf einen Reiter springt zum Bereich. Arbeiten Sie die Reiter von links nach rechts ab.

**Speichern** sichert alle Bereiche auf einmal. Verlassen Sie die Seite mit ungespeicherten Änderungen über **Abbrechen**, fragt das Fenster **Änderungen verwerfen** nach.

### 2.4 Stammdaten

1.  Prüfen Sie die **Bezeichnung** und wählen Sie die **Art der DSFA**: *Erstdurchführung* oder *Folgedurchführung / Aktualisierung*.
2.  Wählen Sie den **Durchführungsverantwortlichen** und den **Freigabeverantwortlichen**.
3.  Tragen Sie unter **DSFA-Team (Benutzer)** weitere Beteiligte mit Benutzerkonto ein, unter **DSFA-Team (Personal)** Beteiligte aus dem Personalverzeichnis, z. B. einen externen Berater.
4.  Nennen Sie unter **Informationsempfänger** Personen oder Stellen, die über die DSFA informiert werden, z. B. „Geschäftsführung, Betriebsrat".
5.  Wählen Sie unter **Verantwortlicher oder Gemeinsam Verantwortliche für die Verarbeitung** Ihren Mandanten oder die gemeinsam Verantwortlichen.

Das Feld **Status** setzt der Ablauf; Sie können es nicht ändern.

![](https://cdn-assets.productfruits.com/c79e6b0f-ef0b-4f23-9e34-07a61914df30)

*Abbildung 5: Reiter Stammdaten*

### 2.5 Beschreibung

Im Reiter **Beschreibung** beschreiben Sie die Verarbeitung systematisch (Art. 35 Abs. 7 lit. a DS-GVO). Vieles übernimmt das System aus den verknüpften Verarbeitungstätigkeiten.

1.  Beschreiben Sie unter **Welche Verarbeitung ist geplant bzw. Gegenstand der DSFA?** den Gegenstand in eigenen Worten.
2.  Klicken Sie bei **Verknüpfte Verarbeitungstätigkeiten** auf **Hinzufügen**. Wählen Sie im Fenster **VVT verknüpfen** eine oder mehrere Verarbeitungstätigkeiten und klicken Sie auf **Speichern**.

![](https://cdn-assets.productfruits.com/44b74cb2-3235-4b69-a93d-12604a7ced18)

*Abbildung 6: Verarbeitungstätigkeit verknüpfen*

1.  Die Tabellen darunter füllen sich aus den Verarbeitungstätigkeiten: Zwecke, betroffene Personengruppen und Datenkategorien, Speicherfristen, Empfänger und Zugriffsberechtigte. Ergänzen Sie in den Feldern **Ergänzungen zu …**, was dort fehlt, und erläutern Sie unter **Erläuterungen zu (gemeinsamen) Verantwortlichen** die Verantwortlichkeiten.
2.  Unter **An der Verarbeitung beteiligte Auftragsverarbeiter** und **Für die Verarbeitung notwendige Betriebsmittel und Systeme** stehen die Einträge aus den Verarbeitungstätigkeiten mit der **Quelle** *Abgeleitet*. Weitere ordnen Sie über **Hinzufügen** direkt zu (*Direkt zugeordnet*).
3.  Beschreiben Sie den **Prozess und Daten-Lebenszyklus**, gegebenenfalls die **berechtigten Interessen** und die **Gesetze, Normen und Standards**, die die Verarbeitung beeinflussen.

![](https://cdn-assets.productfruits.com/80b1b215-240d-4376-bd22-6bf565535ac4)

*Abbildung 7: Reiter Beschreibung*

Eine Verknüpfung lösen Sie, indem Sie die Zeile markieren und auf **Entfernen** klicken.

> **Hinweis:** Abgeleitete Angaben ändern Sie in der Verarbeitungstätigkeit, nicht in der DSFA. Die DSFA zeigt immer den aktuellen Stand der verknüpften Verarbeitungstätigkeiten.

### 2.6 Anspruchsgruppen

Nach Art. 35 Abs. 9 DS-GVO holen Sie gegebenenfalls den Standpunkt der Betroffenen oder ihrer Vertreter ein. Im Reiter **Anspruchsgruppen** stehen die Personengruppen aus den verknüpften Verarbeitungstätigkeiten mit dem Kennzeichen **Abgeleitet**.

1.  Ergänzen Sie weitere Gruppen, z. B. den Betriebsrat, über **Hinzufügen**.
2.  Klicken Sie in der Zeile einer Gruppe auf das **Stift-Symbol**. Dokumentieren Sie im Fenster **Konsultation bearbeiten** **Kontaktperson / -stelle**, **Art der Konsultation**, **Ergebnis / Rückmeldung**, **Bewertung / Umgang** und das **Konsultationsdatum**.
3.  Die Spalte **Status** zeigt mit einem Haken, dass die Konsultation dokumentiert ist.

![](https://cdn-assets.productfruits.com/39c098ac-4793-4a8b-8420-985e205c86c8)

*Abbildung 8: Reiter Anspruchsgruppen*

![](https://cdn-assets.productfruits.com/682d1af0-9c97-4c31-86ce-9ab8644be864)

*Abbildung 9: Konsultation bearbeiten*

Selbst hinzugefügte Gruppen entfernen Sie über **Entfernen**. Abgeleitete Gruppen entfernen Sie in der Verarbeitungstätigkeit.

### 2.7 Datenschutzgrundsätze

Im Reiter **Datenschutzgrundsätze** bewerten Sie Notwendigkeit und Verhältnismäßigkeit (Art. 35 Abs. 7 lit. b DS-GVO) anhand von sieben Fragen: Zweckbindung, Verhältnismäßigkeit, Datenminimierung, Richtigkeit, Speicherbegrenzung, Auftragsverarbeitung und gemeinsame Verantwortlichkeit sowie Drittlandtransfers.

1.  Wählen Sie je Frage *Gewährleistet*, *Eingeschränkt* oder *Nicht anwendbar*.
2.  Begründen Sie die Bewertung im Textfeld konkret, z. B. „Zugriff nur für die Personalabteilung über das Rollenkonzept".
3.  Die Kacheln oben zählen, wie viele Fragen **Gewährleistet**, **Eingeschränkt**, **Nicht anwendbar** oder **Nicht bewertet** sind.

![](https://cdn-assets.productfruits.com/2c704d3d-8267-4e4f-81d4-0f2dc33febb6)

*Abbildung 10: Reiter Datenschutzgrundsätze*

> **Tipp:** „Ist gewährleistet" reicht als Begründung nicht. Beschreiben Sie, *wie* der Grundsatz umgesetzt wird.

### 2.8 Betroffenenrechte

Im Reiter **Betroffenenrechte** gehen Sie genauso vor, für neun Rechte: Transparenz, Einwilligung, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und automatisierte Entscheidungen.

![](https://cdn-assets.productfruits.com/5ba9fd84-9d5b-4397-9e75-2fff798acfa2)

*Abbildung 11: Reiter Betroffenenrechte*

> **Tipp:** Jede Einschränkung eines Betroffenenrechts prüft der Datenschutzbeauftragte besonders genau. Nennen Sie den Grund und die rechtliche Grundlage.

### 2.9 Risiken

Die Risiken bewerten Sie im Risikomanagement; die DSFA verknüpft sie (Art. 35 Abs. 7 lit. c und d DS-GVO).

1.  Wechseln Sie in den Reiter **Risiken**.
2.  Klicken Sie auf **Anlegen**, um eine neue Risikobewertung anzulegen. Geben Sie eine **Bezeichnung** ein und klicken Sie auf **Speichern**. Das Risiko entsteht im Risikomanagement mit der Kategorie *Datenschutz-Folgenabschätzung (DSFA)* und ist sofort verknüpft.

![](https://cdn-assets.productfruits.com/f5ff03aa-6d6d-422e-a6e0-11d144519ced)

*Abbildung 12: Neue Risikobewertung anlegen*

1.  Oder klicken Sie auf **Hinzufügen**, um ein oder mehrere vorhandene Risiken zu verknüpfen.
2.  Bewerten Sie das Risiko im Risikomanagement. Das Symbol **In neuem Tab öffnen** am Zeilenende öffnet es dort.
3.  Die Tabelle zeigt danach **Kategorie**, **Brutto**, **Netto**, die **Maßnahmen (Verringern)** und die **Strategien**. Über den Pfeil am Zeilenanfang klappen Sie die verknüpften Maßnahmen (TOM) mit ihrem Umsetzungsstatus auf.
4.  Unter **Verbleibendes Risiko** zeigt das System das höchste Netto-Risiko. Beschreiben Sie es darunter unter **Beschreibung des verbleibenden Risikos** in eigenen Worten. Bei hohem verbleibendem Risiko erscheint der Hinweis **Konsultation empfohlen**.

![](https://cdn-assets.productfruits.com/300661ba-b531-4bba-bd5a-96472cf0b691)

*Abbildung 13: Reiter Risiken mit verknüpften Risikobewertungen*

> **Wichtig:** Zur Prüfung einreichen können Sie erst, wenn mindestens ein Risiko der Kategorie *Datenschutz* oder *Datenschutz-Folgenabschätzung (DSFA)* verknüpft ist.

### 2.10 Dokumente, Einstellungen und Vorschau

-   Im Reiter **Dokumente** laden Sie Nachweise hoch, z. B. Stellungnahmen, Gutachten oder Protokolle. Ziehen Sie die Datei in das Feld oder klicken Sie hinein. Eine Datei darf bis zu 50 MB groß sein.
-   Im Reiter **Einstellungen** geben Sie die DSFA für Ihre Unternehmensgruppe frei (siehe *DSFA in der Unternehmensgruppe freigeben*).
-   **Vorschau** zeigt die DSFA rechts als druckbares Dokument, so wie der DSFA-Bericht sie ausgibt. **Aktualisieren** lädt sie nach einer Änderung neu, **Vorschau schließen** blendet sie aus.

![](https://cdn-assets.productfruits.com/0c3eae61-486d-4509-9571-90bf12b65cd5)

*Abbildung 14: Vorschau der DSFA*

### 2.11 Zur Prüfung einreichen

1.  Speichern Sie Ihre Änderungen.
2.  Klicken Sie in der Werkzeugleiste auf **Zur Prüfung einreichen**.
3.  Die DSFA erhält den Status *zur Prüfung* und den Prüfstatus *Eingereicht*. Der **Standard-Prüfer** aus der Konfiguration erhält eine Aufgabe; ist keiner hinterlegt, entsteht die Aufgabe ohne Zuweisung.

Fehlt noch etwas, zeigt der Reiter **Stammdaten** oben den Hinweis **Die DSFA kann noch nicht zur Prüfung eingereicht werden:** mit den offenen Punkten, z. B. „Es muss mindestens ein Risiko der Kategorie Datenschutz oder Datenschutz-Folgenabschätzung verknüpft sein."

> **Hinweis:** **Zur Prüfung einreichen** erscheint nur, wenn die Administration den **Prüfworkflow** eingeschaltet hat (siehe Kapitel *Konfiguration*). Archivierte DSFAs lassen sich nicht einreichen.

## 3 Prüfung durch den Datenschutzbeauftragten

*Für Datenschutzbeauftragte. Die Prüfansicht öffnet, wer im Modul das Sonderrecht hat oder als Prüfer zugewiesen ist.*

### 3.1 Prüfansicht öffnen

Öffnen Sie die eingereichte DSFA, z. B. aus der Prüfaufgabe, und klicken Sie in der Werkzeugleiste auf **Prüfansicht**. Auch der Reiter **Ergebnis** bietet **Prüfansicht** an, solange die Prüfung läuft.

Die Prüfansicht trägt den Titel **Prüfung:** mit der Bezeichnung der DSFA. Sie zeigt die Inhalte schreibgeschützt in den Reitern **Stammdaten**, **Beschreibung**, **Anspruchsgruppen**, **Datenschutzgrundsätze**, **Betroffenenrechte**, **Risiken** und **Endergebnis**. Rechts neben den Inhalten stehen je Prüfpunkt die Felder **Prüfergebnis** und **Anmerkungen zur Prüfung**. Sobald Sie in der Prüfansicht zum ersten Mal speichern, wechselt der Prüfstatus auf *In Prüfung*.

![](https://cdn-assets.productfruits.com/150281b6-9335-4419-abeb-a51565f56a4a)

*Abbildung 15: Prüfansicht*

### 3.2 Die sieben Prüfpunkte bewerten

| Prüfpunkt | Leitfrage |
| --- | --- |
| **Gegenstand und Umfang** | Sind Verarbeitungsvorgänge, Zweck und Beteiligte vollständig beschrieben? |
| **Anspruchsgruppen** | Wurden Betroffene, Betriebsrat und Fachbereiche einbezogen? |
| **Datenschutzgrundsätze** | Werden Rechtmäßigkeit, Zweckbindung, Datenminimierung und Richtigkeit eingehalten? |
| **Betroffenenrechte** | Sind die Rechte der Betroffenen ausreichend geschützt? |
| **Risikobeurteilung** | Ist die Risikobeurteilung methodisch korrekt und vollständig? |
| **Risikobehandlung** | Sind die Maßnahmen dokumentiert und nachvollziehbar? |
| **Verbleibendes Risiko** | Ist das Restrisiko angemessen bewertet und dokumentiert? |

Wählen Sie je Prüfpunkt unter **Prüfergebnis** *In Ordnung*, *Nachbesserung empfohlen* oder *Erhebliche Mängel* und schreiben Sie bei Abweichungen unter **Anmerkungen zur Prüfung** einen konkreten Hinweis, was nachzubessern ist. Mit **Speichern** sichern Sie einen Zwischenstand und setzen die Prüfung später fort.

### 3.3 Endergebnis und Abschluss

1.  Wechseln Sie in den Reiter **Endergebnis**.
2.  Formulieren Sie den **Rat des DSB** an den Verantwortlichen.
3.  Wählen Sie unter **Nach Durchführung der DSFA sind aus Sicht des DSB** *Keine weiteren Maßnahmen notwendig.* oder *Der Rat des DSB zu berücksichtigen und die DSFA erneut durchzuführen.*
4.  Wählen Sie unter **Status** das Gesamtergebnis: *Geprüft (OK)* oder *Geprüft (Mängel)*. Bei *Geprüft (Mängel)* wählen Sie zusätzlich den **Empfänger der Mängel-Aufgabe** und die **Frist zur Behebung**.
5.  Fassen Sie Ihre Bewertung unter **Anmerkung** zusammen. Bei *Geprüft (Mängel)* ist die Anmerkung Pflicht.
6.  Klicken Sie auf **Prüfung abschließen**. Die Schaltfläche wird aktiv, sobald ein **Status** gewählt ist.

![](https://cdn-assets.productfruits.com/aab84458-12c1-40dd-a0c2-15e9a508e5f5)

*Abbildung 16: Endergebnis der Prüfung*

Die DSFA erhält danach den Status *zur Freigabe* und den Prüfstatus *Geprüft (OK)* bzw. *Geprüft (Mängel)*. Bei *Geprüft (OK)* erhält der Freigabeverantwortliche eine Aufgabe, bei *Geprüft (Mängel)* der gewählte Empfänger eine Mängel-Aufgabe.

Im Reiter **Ergebnis** der DSFA stehen danach der **Rat des DSB** und seine Empfehlung schreibgeschützt.

![](https://cdn-assets.productfruits.com/2333d92b-676e-4238-8fd4-467194fb2bed)

*Abbildung 17: Reiter Ergebnis mit der Sicht des DSB*

### 3.4 Prüfhistorie

Im rechten Bereich der DSFA zeigt die **Prüfhistorie** jede Einreichung und jede abgeschlossene Prüfung. Über die Symbole öffnen Sie das **Prüfungsergebnis** schreibgeschützt oder laden es als PDF herunter.

![](https://cdn-assets.productfruits.com/817990c6-c202-4ff2-9e3a-b28ea86c0ff6)

*Abbildung 18: Prüfhistorie im rechten Bereich*

### 3.5 Prüfung zurücknehmen

Eine versehentlich eingereichte DSFA nehmen Sie in der Übersicht aus dem Ablauf: Markieren Sie sie und wählen Sie **Massenaktionen → Prüfung zurücknehmen**. Der Prüfstatus geht auf den Stand vor der Einreichung zurück, und die Prüfaufgabe wird geschlossen. Die Aktion braucht ein eigenes Sonderrecht.

## 4 Freigabe durch den Verantwortlichen

*Für Freigabeverantwortliche, z. B. die Geschäftsführung.*

Nach der Prüfung entscheidet der Verantwortliche, ob die Verarbeitung durchgeführt wird. Den Reiter **Freigabe** bearbeitet nur der im Reiter **Stammdaten** eingetragene **Freigabeverantwortliche**, solange die DSFA den Status *zur Freigabe* hat. Alle anderen sehen ihn schreibgeschützt.

1.  Öffnen Sie die DSFA, z. B. aus der Aufgabe „DSFA zur Freigabe bereit", und wechseln Sie in den Reiter **Freigabe**.
2.  Schalten Sie **Der Verantwortliche folgt dem Rat des DSB.** ein, wenn Sie dem Rat folgen.
3.  Wählen Sie unter **Nach Durchführung der DSFA bestehen aus Sicht des Verantwortlichen**:
    -   *Kein hohes Risiko — Verarbeitung durchführen* oder
    -   *Hohes Risiko — Konsultation nach Art. 36 DS-GVO erforderlich*.
4.  Begründen Sie Ihre Entscheidung unter **Stellungnahme des Verantwortlichen**.
5.  Legen Sie das **Datum der nächsten Aktualisierung** fest. Der Durchführungsverantwortliche erhält dazu eine Aufgabe „DSFA aktualisieren", die an diesem Datum fällig ist.
6.  Klicken Sie auf **Freigeben**, oder auf **Ablehnen**, wenn die DSFA überarbeitet werden muss, und bestätigen Sie die Rückfrage.

![](https://cdn-assets.productfruits.com/ffbf4457-2524-4f57-9343-c8be07ff0cd8)

*Abbildung 19: Reiter Freigabe*

Die DSFA erhält den Status *Freigegeben* bzw. *Abgelehnt*. Offene Aufgaben zur DSFA, z. B. „DSFA zur Freigabe bereit", werden dabei geschlossen.

### 4.1 Konsultation der Aufsichtsbehörde (Art. 36 DS-GVO)

Wählen Sie *Hohes Risiko — Konsultation nach Art. 36 DS-GVO erforderlich*, erscheint im Reiter **Freigabe** der Bereich **Konsultation der Aufsichtsbehörde**:

| Feld | Inhalt |
| --- | --- |
| **Zuständige Aufsichtsbehörde** | Name der Behörde |
| **Datum der Konsultation** | Datum der Vorlage bei der Behörde |
| **Mitteilung an die Aufsichtsbehörde** | Inhalt der Vorlage |
| **Status der Konsultation** | *Offen*, *Eingereicht*, *Beantwortet*, *Genehmigt* oder *Abgelehnt* |
| **Antwort der Aufsichtsbehörde** | Rückmeldung der Behörde |
| **Datum der Antwort** | Eingang der Rückmeldung |

![](https://cdn-assets.productfruits.com/60e605d7-b634-4a77-bb4b-d1331f6386f8)

*Abbildung 20: Konsultation der Aufsichtsbehörde*

Mit dieser Entscheidung entsteht eine Aufgabe zur Konsultation. Sie wird erledigt, sobald der **Status der Konsultation** auf *Beantwortet*, *Genehmigt* oder *Abgelehnt* steht.

> **Achtung:** Der audatis MANAGER übermittelt nichts an die Behörde. Sie konsultieren die Behörde auf dem dort vorgesehenen Weg und dokumentieren den Vorgang hier.

### 4.2 Eine freigegebene DSFA ändern

Ändert sich die Verarbeitung, passen Sie die DSFA an. Öffnen Sie eine freigegebene DSFA zum Bearbeiten, fragt das Fenster **DSFA bearbeiten** nach: Mit **Bearbeiten** wird der Status auf *Entwurf* zurückgesetzt, und Prüfung und Freigabe beginnen erneut. Mit **Abbrechen** wechseln Sie in die Nur-Lese-Ansicht.

![](https://cdn-assets.productfruits.com/d24c1a11-f59d-40ef-9948-fba223a4ab75)

*Abbildung 21: Rückfrage beim Bearbeiten einer freigegebenen DSFA*

### 4.3 Aktualisierung abschließen

*Nur wenn in der Konfiguration der* \*Aktualisierungsworkflow\*\* eingeschaltet ist.\*

Wurde eine DSFA länger als das **Aktualisierungsintervall** nicht geändert, erhält der Durchführungsverantwortliche eine Aufgabe, und die Spalte **Prüfstatus** der Übersicht zeigt *zur Aktualisierung*.

1.  Öffnen Sie die DSFA zur Bearbeitung, prüfen Sie alle Reiter und speichern Sie Ihre Änderungen.
2.  Klicken Sie auf **Aktualisierung abgeschlossen** und wählen Sie im Fenster **Aktualisierung abschließen**:
    -   **Datensatz ist aktuell** – keine relevanten Änderungen. Der bisherige Prüfstatus bleibt erhalten.
    -   **Datensatz wurde aktualisiert** – relevante inhaltliche Änderungen. Die DSFA gilt danach als nicht geprüft.
3.  Klicken Sie auf **Abschließen**. Die zugehörige Aufgabe wird erledigt.

## 5 Übersicht, Massenaktionen und Export

### 5.1 Exportieren

Über **Exportieren** erstellen Sie Nachweise: in der Übersicht für mehrere DSFAs, in der Bearbeitungsseite für die geöffnete. Der **Export-Assistent** fragt nacheinander:

1.  **Umfang** – in der Übersicht **Alle**, **Auswahl** (die markierten DSFAs) oder **Gefiltert** (die nach dem Filter angezeigten); im Reiter **Archiv** beziehen sich alle Optionen auf das Archiv. In der Bearbeitungsseite gilt der Export immer für die geöffnete DSFA.
2.  **Exportform** – **Datenliste** (Tabelle der DSFAs) oder **DSFA-Bericht** (vollständiger Bericht je DSFA).
3.  **Format** – bei der Datenliste CSV, JSON oder XML, beim Bericht **Word (.docx)** oder **PDF**. Mehrere Berichte erhalten Sie als ZIP-Datei.

Mit **Weiter** und **Zurück** wechseln Sie zwischen den Schritten, **Exportieren** startet den Download.

![](https://cdn-assets.productfruits.com/f2d6d64e-353a-4ed2-84bf-22b3635e5414)

*Abbildung 22: Export-Assistent, Schritt Umfang*

![](https://cdn-assets.productfruits.com/ef94c473-9fc5-4cca-818f-85bf252a9ffc)

*Abbildung 23: Export-Assistent, Schritt Exportform*

> **Tipp:** Der DSFA-Bericht gibt immer den aktuellen Stand wieder. Nutzen Sie ihn als Nachweis gegenüber der Aufsichtsbehörde.

### 5.2 Massenaktionen

Markieren Sie DSFAs in der Übersicht über die Kontrollkästchen. Dann stehen in der Werkzeugleiste zur Verfügung:

-   **Löschen** – entfernt die DSFAs nach Rückfrage (nur mit dem Recht **Löschen**),
-   **Schlagwörter** – Schlagwörter zuweisen oder entfernen,
-   **Massenaktionen** mit **Prüfung zurücknehmen** (Sonderrecht), **Auf Mandant kopieren** und **Archivieren**.

![](https://cdn-assets.productfruits.com/fc99dbca-d5ed-4c55-afd7-63adfd7239f4)

*Abbildung 24: Massenaktionen*

Archivierte DSFAs holen Sie im Reiter **Archiv** über **Massenaktionen → Wiederherstellen** zurück. Eine DSFA löschen Sie nur in der Übersicht; in der Bearbeitungsseite gibt es dafür keine Schaltfläche.

### 5.3 Auf Mandant kopieren

**Auf Mandant kopieren** rollt DSFAs als Vorlage auf andere Mandanten aus, für die Sie berechtigt sind. Der Assistent **DSFA-Vorlage auf Mandanten ausrollen** führt durch drei Schritte:

1.  **Mandanten** – Wählen Sie die Zielmandanten.
2.  **Abgleich** – Das System prüft, welche Risiko-Kategorien, Stakeholder und Konsultationsgruppen im Zielmandanten schon vorhanden sind. Für ähnliche Treffer wählen Sie **Vorhandene wählen** oder **Neu anlegen**. Mit **Entscheidungen für alle Mandanten übernehmen** gilt Ihre Wahl für alle Zielmandanten.
3.  **Zusammenfassung** – Prüfen Sie, was wiederverwendet und was neu angelegt wird, und klicken Sie auf **Ausrollen**.

![](https://cdn-assets.productfruits.com/78279ce9-a279-4833-9f9a-5ef4791e81a8)

*Abbildung 25: Auf Mandant kopieren*

### 5.4 Rechter Bereich: Aufgaben, Kommentare, Verlauf

Über die Schaltfläche am rechten Rand der Werkzeugleiste öffnen Sie den rechten Bereich der DSFA. Die Symbole oben wechseln zwischen **Aufgaben**, **Schlagwörter**, **Prüfhistorie** (bei eingeschaltetem Prüfworkflow), **Kommentare**, **Links** zu Dokumenten aus anderen Modulen und **Aktivitätslog** mit dem Änderungsverlauf.

### 5.5 DSFA in der Unternehmensgruppe freigeben

*Nur wenn Ihr Mandant zu einer Unternehmensgruppe gehört.*

Schalten Sie im Reiter **Einstellungen** der DSFA **DSFA für Unternehmensgruppe freigeben** ein und speichern Sie. Andere Mandanten der Gruppe sehen die DSFA dann schreibgeschützt und können sie verknüpfen. Gehört Ihr Mandant keiner Gruppe an, steht im Reiter **Dieser Mandant gehört keiner Unternehmensgruppe an.**

### 5.6 Die Hilfe

Mit dem **Fragezeichen** oben rechts öffnen Sie die Hilfe. Sie erklärt in der Übersicht, in der Bearbeitungsseite und in der Prüfansicht die Felder und Schritte.

Ist für die DSFA eine geführte Tour eingerichtet, startet sie beim ersten Aufruf der Übersicht von selbst. Danach starten Sie sie in der Hilfe über das Symbol **Tour erneut starten** neu.

## 6 Konfiguration

**Zugriff:** Die Konfiguration öffnen und ändern Benutzer mit dem Sonderrecht im Modul **DSFA**, meist der Datenschutzbeauftragte. Sie erreichen sie in der Übersicht über **DSFA konfigurieren** oben rechts.

Die Seite hat zwei Reiter: **Schlagwörter** und **Einstellungen**. Empfohlene Reihenfolge bei der Einrichtung:

1.  **Einstellungen**: Prüfworkflow und Standard-Prüfer, Aktualisierungsworkflow, Pflichtfeld Durchführungsverantwortlicher.
2.  **Schlagwörter** anlegen.

### 6.1 Einstellungen

![](https://cdn-assets.productfruits.com/4a2f3122-46c9-4518-92a5-ffd9b17e6b61)

*Abbildung 26: DSFA konfigurieren – Einstellungen*

Ändern Sie die Schalter und Felder und klicken Sie in der Werkzeugleiste auf **Speichern**. **Abbrechen** verwirft die Änderungen.

| Bereich | Feld | Wirkung |
| --- | --- | --- |
| **Prüfworkflow** | **Prüfworkflow aktivieren** | DSFAs werden vor der Freigabe geprüft. Erst damit gibt es **Zur Prüfung einreichen**, die Prüfansicht, die Spalte **Prüfstatus** und die **Prüfhistorie**. Beim Einreichen entsteht eine Aufgabe für den Prüfer. |
|  | **Standard-Prüfer** | Benutzer mit Prüfrecht, dem die Prüfaufgabe zugewiesen wird. Ohne Auswahl entsteht die Aufgabe ohne Zuweisung. |
| **Aktualisierungsworkflow** | **Aktualisierungsworkflow aktivieren** | Erstellt automatisch eine Aufgabe, wenn eine DSFA länger als das **Aktualisierungsintervall** nicht aktualisiert wurde (siehe *Aktualisierung abschließen*). |
|  | **Aktualisierungsintervall** | 3, 6, 12, 24 oder 36 Monate. Erscheint, sobald der Aktualisierungsworkflow eingeschaltet ist. Beim Einschalten nennt das Fenster **Aktualisierungsworkflow aktivieren**, wie viele DSFAs beim nächsten Lauf voraussichtlich eine Aufgabe erhalten; bestätigen Sie mit **Aktivieren**. |
| **Durchführungsverantwortlicher** | **Durchführungsverantwortlicher als Pflichtfeld** | Beim Bearbeiten muss ein Durchführungsverantwortlicher gewählt sein. |

> **Wichtig:** Ohne **Prüfworkflow** lassen sich DSFAs weder prüfen noch freigeben. Schalten Sie ihn bei der Einrichtung ein und hinterlegen Sie einen **Standard-Prüfer**, in der Regel den Datenschutzbeauftragten.

Ob eine fällige Prüfung automatisch eingereicht wird, legt die Mandanteneinstellung **Bei fälliger Prüfung automatisch zur Prüfung einreichen** fest (**Mandanteneinstellungen**, Reiter **Sonstiges**). Sie gilt für alle Module mit Prüfworkflow.

### 6.2 Schlagwörter

Im Reiter **Schlagwörter** legen Sie über **Neu** modulbezogene Schlagwörter an, bearbeiten und löschen sie. Schlagwörter ordnen DSFAs thematisch, z. B. nach Standort oder Projekt, und dienen in der Übersicht als Filter.

## 7 Glossar

| Begriff | Erklärung |
| --- | --- |
| **Art. 35 DS-GVO** | Pflicht zur Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko. |
| **Art. 36 DS-GVO** | Pflicht zur vorherigen Konsultation der Aufsichtsbehörde, wenn trotz Maßnahmen ein hohes Risiko bleibt. |
| **DSK-Kurzpapier Nr. 5** | Hinweise der Datenschutzkonferenz zur DSFA; Grundlage der sieben Prüfpunkte. |
| **Muss-Liste** | Liste der Aufsichtsbehörden mit Verarbeitungen, für die immer eine DSFA nötig ist (auch „Blacklist"). |
| **Prüfstatus** | Stand der Prüfung: *Eingereicht*, *In Prüfung*, *Geprüft (OK)*, *Geprüft (Mängel)*; Ihr Mandant kann eigene Prüfstatus führen. |
| **Schwellwertbestimmung** | Vorprüfung in der Verarbeitungstätigkeit, ob eine DSFA nötig ist. |
| **TOM** | Technische und organisatorische Maßnahmen. |

## 8 Häufige Fragen

**Woher weiß ich, ob ich eine DSFA brauche?** Beantworten Sie in der Verarbeitungstätigkeit im Abschnitt **DSFA + Risiken** die Schwellwertbestimmung. Ab 2,0 Risikopunkten empfiehlt das System eine DSFA; steht die Verarbeitung auf einer Muss-Liste, ist sie immer nötig.

**Warum sind die Tabellen im Reiter Beschreibung leer?** Es ist noch keine Verarbeitungstätigkeit verknüpft. Verknüpfen Sie sie unter **Verknüpfte Verarbeitungstätigkeiten** über **Hinzufügen**.

**Warum kann ich nicht zur Prüfung einreichen?** Der Hinweis im Reiter **Stammdaten** nennt die Gründe, meist fehlt ein verknüpftes Risiko der Kategorie *Datenschutz* oder *Datenschutz-Folgenabschätzung (DSFA)*. Fehlt die Schaltfläche ganz, ist der Prüfworkflow nicht eingeschaltet.

**Warum kann ich im Reiter Freigabe nichts eintragen?** Den Reiter bearbeitet nur der eingetragene Freigabeverantwortliche, und erst, wenn die Prüfung abgeschlossen ist (Status *zur Freigabe*).

**Was passiert, wenn ich eine freigegebene DSFA ändere?** Der Status geht auf *Entwurf* zurück. Die DSFA muss erneut geprüft und freigegeben werden.

**Wie weise ich die DSFA gegenüber der Aufsichtsbehörde nach?** Mit dem **DSFA-Bericht** über **Exportieren** (Word oder PDF).