Ihre DSFA nach
der von der CNIL veröffentlichten Methode
Die DSGVO verlangt eine Datenschutz-Folgenabschätzung für jede Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. SYAGA DPIA-Express strukturiert und dokumentiert Ihre DSFA nach der Methodik von Artikel 35 und den Leitlinien des EDSA, ohne Improvisation und ohne Fachjargon.
Die Pflicht
Feststellen, ob Ihre Verarbeitung einer DSFA bedarf, und diese dann regelkonform durchführen
Artikel 35 der DSGVO verlangt eine DSFA
Jede Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, muss vor ihrer Durchführung Gegenstand einer Datenschutz-Folgenabschätzung sein (DSGVO, Art. 35).
Die CNIL-Regel «2 von 9 Kriterien»
Der EDSA (vormals Artikel-29-Datenschutzgruppe, Leitlinien WP248 rev.01) hat 9 Kriterien für ein hohes Risiko definiert. Sobald eine Verarbeitung mindestens zwei dieser Kriterien erfüllt, muss grundsätzlich eine DSFA durchgeführt werden: ein einziges falsch eingeschätztes Kriterium, und die Akte ist unvollständig.
CNIL-Listen, die artikelweise abzugleichen sind
Die CNIL (die französische Datenschutzbehörde) veröffentlicht Listen von Verarbeitungen, für die eine DSFA erforderlich ist oder nicht. Um genau zu bestimmen, wo Ihre Verarbeitung steht, ist eine sorgfältige Lektüre erforderlich, kein allgemeiner Eindruck.
Ohne Methode ist das Risiko doppelt
Eine DSFA zu überstürzt durchzuführen, setzt Sie vor einer Aufsichtsbehörde der Unvollständigkeit aus; sie nicht durchzuführen, wenn sie erforderlich ist, setzt die Organisation einem Verstoß gegen Artikel 35 aus. Die CNIL-Methode strukturiert diese Entscheidung und dokumentiert sie.
Die Methode: DPIA-Express
Die von Artikel 35.7 der DSGVO vorgegebene Struktur, angewendet auf Ihre Verarbeitung, mit einer begründeten Schlussfolgerung bei jedem Schritt
Unterliegt Ihre Verarbeitung wirklich der DSFA-Pflicht?
Analyse anhand der 3 Fälle von Artikel 35.3, des 9-Kriterien-Rasters des EDSA (WP248 rev.01) und der CNIL-Listen der erforderlichen bzw. nicht erforderlichen Verarbeitungen. Begründete Schlussfolgerung, unabhängig davon, ob die DSFA letztlich verpflichtend ist oder nicht.
Systematische Beschreibung der Verarbeitung
Zwecke, Kategorien betroffener Daten und Personen, Empfänger, Aufbewahrungsfristen: die vollständige Kartierung gemäß Artikel 35.7.a, konsistent mit Ihrem Verzeichnis von Verarbeitungstätigkeiten (Art. 30).
Notwendigkeit und Verhältnismäßigkeit
Prüfung, dass jede erhobene Angabe für den verfolgten Zweck erforderlich ist, dass die Rechtsgrundlage (Art. 6) für jede Verarbeitung identifiziert ist und dass der Grundsatz der Datenminimierung (Art. 5.1.c) eingehalten wird.
Bewertung der Risiken für die betroffenen Personen
Für jedes identifizierte Risiko: Schwere, Eintrittswahrscheinlichkeit, bereits bestehende Maßnahmen, Restrisiko, dargestellt in Tabellenform, nutzbar für Ihre Geschäftsleitung oder Ihren Datenschutzbeauftragten.
Maßnahmen und dokumentierte Schlussfolgerung
Vorgesehene technische und organisatorische Maßnahmen (Art. 32), begründete Schlussfolgerung und dokumentierte Rechtfertigung im Sinne der Rechenschaftspflicht (Art. 5.2), einsatzbereit im Falle einer Kontrolle durch die CNIL.
Was Sie erhalten
Ein strukturiertes, belegtes Dokument, ehrlich darüber, was noch von Ihrem Juristen oder Datenschutzbeauftragten zu validieren ist
Strukturierter DSFA-Bericht
Das vollständige Dokument gemäß Artikel 35.7 (a bis d), mit begründeter Schlussfolgerung.
- Systematische Beschreibung der Verarbeitung
- Analyse der Notwendigkeit und Verhältnismäßigkeit
- Risikotabelle (Schwere/Wahrscheinlichkeit/Maßnahmen)
- Schlussfolgerung und dokumentierte Rechtfertigung (Art. 5.2)
Feststellungsraster
Die vorgelagerte Analyse, die entscheidet, ob Ihre Verarbeitung in den Anwendungsbereich der Pflicht fällt.
- Die 3 Fälle von Artikel 35.3
- Die 9 EDSA-Kriterien (WP248 rev.01)
- Abgleich mit den CNIL-Listen
- Begründete und belegte Schlussfolgerung
Konsistenz mit dem Verzeichnis (Art. 30)
Die DSFA stützt sich auf dieselbe Grundlage wie Ihr Verzeichnis von Verarbeitungstätigkeiten.
- Zwecke und Rechtsgrundlagen
- Kategorien von Daten und Personen
- Empfänger und Auftragsverarbeiter
- Aufbewahrungsfristen je Kategorie
Von Ihrem Juristen/DSB zu validierende Punkte
Jeder Unsicherheitspunkt wird ausdrücklich gekennzeichnet, niemals an Ihrer Stelle entschieden.
- Einstufung Verantwortlicher / Auftragsverarbeiter
- Rechtsgrundlagen je Zweck
- Identifizierte Übermittlungen außerhalb der EU
- Benennung eines Datenschutzbeauftragten (Art. 37), falls zutreffend
Quellen und Nachvollziehbarkeit
Jede rechtliche Aussage ist belegt, nicht aus dem Gedächtnis behauptet.
- Konsolidierter Text der DSGVO (CELEX 32016R0679)
- CNIL-Seiten und -Listen (DSFA, Verzeichnis)
- Leitlinien des EDSA (WP248 rev.01)
- Im Dokument zitierte, überprüfbare URLs
Bearbeitbares Dokument
Geliefert in einem bearbeitbaren, von Ihrem DSB oder Juristen wiederverwendbaren Format.
- Struktur gemäß Artikel 35.7
- Wiederverwendbar für zukünftige Verarbeitungen
- Bereit zur Ergänzung vor der endgültigen Validierung
- Keine feste Formatierung vorgegeben
Verwendete Referenzen
Eine Methode, die sich auf Texte und Behörden stützt, nicht auf hausgemachte Interpretationen
DSGVO - Artikel 35
Datenschutz-Folgenabschätzung. Konsolidierter Text der Verordnung (EU) 2016/679 (EUR-Lex, CELEX 32016R0679).
Leitlinien WP248 rev.01
Die 9 Kriterien für ein hohes Risiko des EDSA (vormals Artikel-29-Gruppe), von der CNIL als Referenzmethode zur Bestimmung der DSFA-Pflicht übernommen.
CNIL-Listen und -Methode
Listen der Verarbeitungen, für die eine DSFA erforderlich ist oder nicht, sowie die CNIL-Methode zur Durchführung einer Folgenabschätzung.
DSGVO - Artikel 30
Verzeichnis von Verarbeitungstätigkeiten: die Konsistenzgrundlage (Zwecke, Daten, Fristen), auf der jede DSFA aufbaut.
Eine maßgeschneiderte DSFA, ohne versteckte Preise
Der Umfang hängt von der Anzahl der Verarbeitungen, ihrer Komplexität und dem bereits bei Ihnen vorhandenen Dokumentationsstand ab. Angebot nach einem ersten Austausch.
Angebot ausschließlich für Unternehmen und Organisationen, nicht für Verbraucher.
Feststellung der Pflicht
Sie wissen nicht, ob Ihre Verarbeitung betroffen ist
- EDSA-9-Kriterien-Raster
- Abgleich mit Artikel 35.3
- Prüfung der CNIL-Listen
- Begründete und belegte Schlussfolgerung
Vollständige DSFA
Verarbeitung als hohes Risiko eingestuft
- Alles aus Feststellung der Pflicht +
- Systematische Beschreibung (Art. 35.7.a)
- Notwendigkeit und Verhältnismäßigkeit (35.7.b)
- Risikoanalyse (35.7.c)
- Vorgesehene Maßnahmen (35.7.d)
- Für Ihren Juristen/DSB aufgelistete Punkte
Mehrjahresprogramm
Mehrere risikobehaftete Verarbeitungen abzudecken
- Alles aus Vollständige DSFA +
- Gemeinsamer methodischer Rahmen
- Regelmäßige Überprüfung (Art. 35.11)
- Konsistenz mit dem Verzeichnis (Art. 30) erhalten
Eine DSFA ist nie endgültig
Artikel 35.11 der DSGVO verlangt eine Überprüfung der Analyse bei wesentlicher Änderung der Verarbeitung (neuer Auftragsverarbeiter, Hosting-Wechsel, Erweiterung des Erhebungsumfangs). Ein Angebot für die Überprüfung wird von Fall zu Fall erstellt.
Häufige Fragen
Regulatorische Beobachtung - offizielle Quellen
Was der Text wirklich sagt, verständlich aufbereitet. Jeder Punkt behält seinen Link zum offiziellen Dokument.
Was ist eine DSFA, einfach erklärt?
Eine DSFA ist schlicht eine Bewertungsarbeit: Man betrachtet die Risiken, die eine Datenverarbeitung für die betroffenen Personen mit sich bringt, bevor man sie einführt. Die CNIL definiert sie als "ein formales Verfahren zur Bewertung der mit der Verarbeitung personenbezogener Daten verbundenen Risiken". Das ist keine zusätzliche Verwaltungsformalität, sondern ein Instrument des gesunden Menschenverstands, das die DSGVO in bestimmten Fällen verpflichtend macht. Quelle: CNIL →
Wer ist wirklich betroffen: die Regel «2 von 9 Kriterien»
Man muss kein Großunternehmen sein, um betroffen zu sein. Die CNIL geht davon aus, dass eine DSFA verpflichtend wird, sobald eine Verarbeitung mindestens zwei dieser neun Situationen erfüllt: Personen bewerten oder einstufen, eine automatisierte Entscheidung treffen, die sich real auf sie auswirkt, sie systematisch überwachen, sensible Daten erheben (Gesundheit, Herkunft usw.), in großem Umfang erheben, mehrere Datenbanken zusammenführen, schutzbedürftige Personen betreffen (Beschäftigte, Patienten, Minderjährige...), eine neue Technologie einsetzen, oder jemandem ein Recht oder eine Leistung vorenthalten. Quelle: CNIL →
Zwei CNIL-Listen, die die Frage oft schon für Sie beantworten
Um Rätselraten zu vermeiden, hat die CNIL zwei offizielle Listen veröffentlicht: eine Liste mit 14 Arten von Verarbeitungen, bei denen die DSFA verpflichtend ist (Gesundheitsdaten, HR-Profiling, Überwachung von Beschäftigten, großflächige Geolokalisierung...), und eine Liste mit 12 Arten, bei denen sie nicht erforderlich ist (Lohn- und Personalverwaltung mit weniger als 250 Beschäftigten ohne Profiling, Lieferantenverwaltung, Patientenakte eines einzeln praktizierenden Gesundheitsfachmanns...). Diese Listen decken nicht alle Fälle ab, beantworten aber bereits viele gängige Situationen. Quelle: CNIL-Liste der erforderlichen Verarbeitungen →
Was die Analyse wirklich enthalten muss
Die DSGVO (Artikel 35) verlangt keinen Roman, sondern vier präzise Bausteine: die Verarbeitung und ihren Zweck beschreiben, prüfen, dass sie wirklich notwendig und verhältnismäßig ist, die Risiken für die betroffenen Personen bewerten und schließlich die vorgesehenen Maßnahmen zur Risikominderung auflisten. Am Ende steht eine klare Schlussfolgerung: Ist die Verarbeitung akzeptabel, und unter welchen Bedingungen. Quelle: DSGVO, Artikel 35 →
Die Rolle Ihres DSB (falls vorhanden)
Wenn Ihre Organisation einen Datenschutzbeauftragten benannt hat, verlangt die DSGVO, dass Sie ihn bei der Durchführung der DSFA um Rat fragen und ihn mit der Prüfung beauftragen, dass die Analyse tatsächlich durchgeführt wurde. Das ist eine Schutzmaßnahme, kein Kästchen zum Abhaken: Der DSB bleibt der richtige Reflex, bevor man eine Schlussfolgerung bestätigt. Quelle: DSGVO, Artikel 35 und 39 →
Und wenn das Risiko nach der Analyse hoch bleibt?
Wenn die Verarbeitung trotz der vorgesehenen Maßnahmen weiterhin ein hohes Risiko für die betroffenen Personen darstellt, verlangt die DSGVO, vor dem Start die CNIL zu konsultieren. Diese hat dann acht Wochen Zeit, um eine schriftliche Stellungnahme abzugeben (verlängerbar um sechs Wochen bei komplexen Fällen). Beruhigend zu wissen: Dieser Fall bleibt die Ausnahme, nicht die Regel. Quelle: DSGVO, Artikel 36 →
Die Sanktionen, ohne Dramatisierung
Die CNIL weist darauf hin, dass DSGVO-Bußgelder bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes erreichen können, je nachdem, welcher Betrag höher ist. Das ist eine gesetzliche Obergrenze, kein unabwendbares Schicksal: Eine gut durchgeführte DSFA ist gerade das, was im Kontrollfall zeigt, dass das Thema ernst genommen wurde. Quelle: CNIL →
Eine europäische Entwicklung, die man verfolgen sollte
Der Europäische Ausschuss für Datenschutz (CEPD/EDPB) hat vom 14. April bis 9. Juni 2026 den Entwurf eines einheitlichen DSFA-Musters zur öffentlichen Konsultation gestellt, das die Praxis zwischen den europäischen Ländern harmonisieren soll. Die Konsultation ist inzwischen abgeschlossen; wir verfolgen die weitere Entwicklung dieses Projekts, um unsere Kunden zu gegebener Zeit zu informieren. Quelle: EDPB →
Wer ist wirklich von der DSFA betroffen?
Bevor man weiß, wie man eine DSFA durchführt, muss man wissen, ob man betroffen ist. Hier ist der genaue Anwendungsbereich, wie ihn die DSGVO und die CNIL definieren - ohne unnötige Spannung.
Das einzige Kriterium, das zählt: das Risiko, nicht die Größe
Die DSGVO legt keine Mitarbeiterschwelle für die DSFA-Pflicht fest. Ihr Artikel 35 verpflichtet den "für die Verarbeitung Verantwortlichen" zu dieser Analyse, unabhängig von seiner Rechtsform (Verein, Handwerksbetrieb, KMU, Gebietskörperschaft, Großkonzern), sobald eine Verarbeitung "voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat". Häufige Falle, die zu vermeiden ist: Die Schwelle von 250 Beschäftigten existiert zwar in der DSGVO, betrifft aber eine teilweise Befreiung vom Verarbeitungsverzeichnis (Artikel 30), nicht die DSFA. Ein Unternehmen mit 5 Beschäftigten kann betroffen sein; ein Konzern mit 2000 Beschäftigten kann es nicht sein: Alles hängt von der Verarbeitung ab, nie von der Größe der Struktur. Quelle: DSGVO, Artikel 35 (wiedergegeben von der CNIL) →
Öffentlich oder privat: niemand ist vom Anwendungsbereich ausgeschlossen
Artikel 35 richtet sich an den "für die Verarbeitung Verantwortlichen" im weiten Sinne: ein privates Unternehmen ebenso wie eine Verwaltung, eine Gebietskörperschaft, einen Verein oder eine Gesundheitseinrichtung. Der Text sieht sogar ausdrücklich den Fall einer "systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche" vor, was typischerweise eine Gemeinde oder einen sozialen Wohnungsbauträger betrifft, der Videoüberwachung im öffentlichen Raum installiert - nicht nur ein Handelsunternehmen. Quelle: DSGVO, Artikel 35, Absatz 3 →
Der konkrete Auslöser: 2 von 9 Kriterien
Die CNIL und die frühere Artikel-29-Gruppe (heute Europäischer Ausschuss, EDPB) haben in ihren Referenz-Leitlinien (WP248) neun Kriterien festgelegt. Sobald eine Verarbeitung mindestens zwei davon erfüllt, wird die DSFA verpflichtend: Personen bewerten oder einstufen, automatisch etwas entscheiden, das sie betrifft, sie systematisch überwachen, sensible Daten verarbeiten, in großem Umfang verarbeiten, Dateien zusammenführen, schutzbedürftige Personen betreffen (Beschäftigte, Patienten, Minderjährige), eine neue Technologie einsetzen, oder jemandem ein Recht oder einen Vertrag vorenthalten. Quelle: CNIL, Leitlinien G29/EDPB (WP248) →
Konkrete Beispiele betroffener Profile
In der Praxis ordnet die CNIL-Doktrin diesen Kriterien typischerweise Folgendes zu: eine Arztpraxis oder Klinik, die Gesundheitsdaten in großem Umfang verarbeitet, eine Personalabteilung, die ein Bewertungs- oder Profiling-Tool für Beschäftigte einsetzt, ein Unternehmen mit Ausweiskarten und systematischer Videoüberwachung seiner öffentlich zugänglichen Räumlichkeiten, ein Kredit- oder Inkassounternehmen, das Scoring betreibt, oder ein vernetztes Gesundheitsgerät, das Daten zu Lebensgewohnheiten erfasst. Quelle: CNIL, Liste der 14 Verarbeitungen mit DSFA-Pflicht →
Und wenn ich nicht betroffen bin, wie erfahre ich das?
Die CNIL hat auch eine Liste mit 12 Arten von Verarbeitungen veröffentlicht, für die eine DSFA NICHT erforderlich ist: zum Beispiel die Lohn- und Personalverwaltung einer Organisation mit weniger als 250 Beschäftigten (ohne Profiling), die Patientenakte eines allein praktizierenden Gesundheitsfachmanns oder die laufende Lieferantenverwaltung. Beruhigend für viele Kleinstunternehmen: Beschäftigte oder Kunden zu haben, reicht allein nicht aus, um die Pflicht auszulösen. Quelle: CNIL, Liste der 12 Verarbeitungen ohne DSFA →
Die Fragen, die sich ein Unternehmer wirklich zur DSFA stellt
Kein Anwaltsjargon: einfache Antworten, jede gestützt auf den offiziellen Text, auf dem sie beruht.
Der Zeitplan der DSFA, einfach erklärt
Die wirklich wichtigen, belegten Daten, um zu wissen, was heute bereits verpflichtend ist und was noch kommt.
Bereits heute in Kraft
Die DSGVO gilt seit dem 25. Mai 2018 in ganz Europa. Die Pflicht zur Durchführung einer DSFA (Artikel 35), die beiden CNIL-Listen, die festlegen, wann sie verpflichtend ist oder nicht, und die europäischen Leitlinien, die erklären, wie sie durchzuführen ist: All das ist in Kraft, stabil und hängt von keiner künftigen Reform ab. Das ist die Grundlage, auf die Sie sich bereits jetzt stützen können.
Im Blick behalten, noch nicht endgültig
Der Europäische Ausschuss für Datenschutz (CEPD) arbeitet an einem einheitlichen DSFA-Muster, um die Praxis zwischen den europäischen Ländern zu harmonisieren. Die öffentliche Konsultation zu diesem Projekt endete am 9. Juni 2026; ein Veröffentlichungsdatum des endgültigen Musters wurde noch nicht mitgeteilt. Nichts zwingt zum Abwarten: Die CNIL-Methode bleibt in der Zwischenzeit gültig.
Die DSGVO wird verabschiedet und anschließend im Amtsblatt der EU veröffentlicht
Das Europäische Parlament und der Rat verabschieden die Verordnung 2016/679 am 27. April 2016. Sie wird am 4. Mai 2016 im Amtsblatt der Europäischen Union (ABl. L119) veröffentlicht und tritt zwanzig Tage später, am 24. Mai 2016, in Kraft, ohne bereits anwendbar zu sein. Quelle: EUR-Lex, offizielle Fundstelle der Verordnung →
Die DSGVO wird anwendbar: Die DSFA wird zur echten Pflicht
Zwei Jahre nach ihrer Verabschiedung gilt die Verordnung endlich in ganz Europa (Artikel 99.2). An diesem Tag wird die DSFA-Pflicht aus Artikel 35 verbindlich, und der Europäische Ausschuss für Datenschutz (CEPD) wird erstmals eingesetzt und übernimmt die bereits verfassten Leitlinien zur DSFA (WP248 rev.01). Quelle: EUR-Lex, Datenblatt der Verordnung (Artikel 99) → Quelle: CEPD, übernommene Leitlinien →
Die CNIL veröffentlicht ihre Liste der 14 Verarbeitungen, bei denen die DSFA verpflichtend ist
Wenige Monate nach Inkrafttreten der DSGVO verabschiedet die CNIL ihren Beschluss Nr. 2018-327: eine konkrete Liste von 14 Arten von Verarbeitungen (Gesundheitsdaten, HR-Profiling, Überwachung von Beschäftigten...), für die die DSFA systematisch durchgeführt werden muss. Schluss mit dem Rätselraten von Fall zu Fall. Quelle: CNIL →
Die CNIL veröffentlicht die umgekehrte Liste: wann die DSFA nicht notwendig ist
Ein Jahr später ergänzt die CNIL ihre Doktrin mit dem Beschluss Nr. 2019-118: eine Liste von Verarbeitungen, für die eine DSFA NICHT erforderlich ist (Lohnabrechnung mit weniger als 250 Beschäftigten ohne Profiling, Lieferantenverwaltung, Patientenakte eines einzeln praktizierenden Fachmanns...). Die beiden CNIL-Listen zusammen beantworten bereits viele gängige Situationen, ohne dass man selbst entscheiden muss. Quelle: CNIL →
Der CEPD konsultiert zu einem einheitlichen europäischen DSFA-Muster
Der CEPD hat den Entwurf eines gemeinsamen DSFA-Musters zur öffentlichen Konsultation gestellt, das die Praxis zwischen den europäischen Ländern harmonisieren soll (derzeit hat jede nationale Behörde noch ihr eigenes Raster). Die Konsultation ist seit dem 9. Juni 2026 abgeschlossen; es handelt sich noch nicht um einen anwendbaren Text, sondern lediglich um einen in Prüfung befindlichen Entwurf. Quelle: CEPD →
Die Fertigstellung des CEPD-Musters, ohne bekannten Termin
Der CEPD gibt selbst an, dass das Muster "vorbehaltlich geeigneter Änderungen finalisiert wird", woraufhin die nationalen Behörden Schritte einleiten werden, um es als einheitliches Muster oder als mit den bereits bestehenden Mustern (darunter das der CNIL) kompatibles "Meta-Modell" zu übernehmen. Bislang wurde kein Datum mitgeteilt: Wir verfolgen dieses Dossier, um unsere Kunden zu informieren, sobald es Konkretes gibt, ohne etwas vorwegzunehmen. Quelle: CEPD →
Die DSGVO-Sanktionen, einfach erklärt
Wer sanktioniert, wie viel, und nach welchen Kriterien. Ohne Dramatisierung: Die große Mehrheit der Fälle hat nichts mit den Beträgen zu tun, die Schlagzeilen machen.
Wer in Frankreich entscheidet: der eingeschränkte Spruchkörper der CNIL
Es ist ein spezialisiertes Gremium der CNIL, getrennt von dem Kollegium, das im Alltag kontrolliert und berät, das die Sanktionen ausspricht. Es verfügt über mehrere abgestufte Instrumente, nicht nur das Bußgeld: Ermahnung, Verwarnung, Anordnung (mit oder ohne Zwangsgeld), Anweisung, zeitweilige oder endgültige Einschränkung der Verarbeitung. Das Bußgeld ist nur die letzte Stufe der Leiter. Quelle: CNIL, die verhängten Sanktionen →
Zwei gesetzliche Obergrenzen, kein einheitlicher Betrag
Die DSGVO (Artikel 83) legt zwei Obergrenzen fest, wobei der höhere Betrag gilt: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes des Vorjahres bei Verstößen gegen organisatorische Pflichten (Sicherheit, Verzeichnis, DSB, Folgenabschätzung...); bis zu 20 Millionen Euro oder 4 % bei Verstößen gegen materielle Grundsätze (Rechtsgrundlage, Einwilligung, Rechte betroffener Personen, Übermittlungen außerhalb der EU). Das sind Obergrenzen, keine automatischen Beträge. Quelle: DSGVO, Artikel 83 →
Wie der Betrag wirklich festgelegt wird
Artikel 83.2 verpflichtet die Behörde, Folgendes zu berücksichtigen: Schwere und Dauer des Verstoßes, Vorsatz oder bloße Fahrlässigkeit, bereits getroffene Maßnahmen zur Schadensbegrenzung, Grad der Verantwortung, frühere Verstöße, Zusammenarbeit mit der Behörde und die Sensibilität der betroffenen Daten. Konkret: Eine Organisation, die ihr Vorgehen dokumentiert hat (Verzeichnis, DSFA, Sicherheitsmaßnahmen) und kooperiert, wird anders beurteilt als eine, die nichts unternommen hat. Quelle: DSGVO, Artikel 83.2 →
Ein realer Fall, in dem die fehlende DSFA eine Rolle spielte: Discord
Am 10. November 2022 verhängte der eingeschränkte Spruchkörper der CNIL ein Bußgeld von 800 000 Euro gegen Discord. Zu den festgestellten Verstößen zählten: eine übermäßige Aufbewahrungsdauer, ein Sicherheitsmangel und, mit Bezug auf Artikel 35 der DSGVO, das Fehlen einer Folgenabschätzung, obwohl die großflächige und Minderjährige betreffende Verarbeitung eine solche erfordert hätte. Das ist das direkteste Beispiel für den Zusammenhang zwischen "keine dokumentierte DSFA" und einer ausgesprochenen Sanktion. Quelle: Beschluss SAN-2022-020, Légifrance →
Hohe Beträge gibt es, sie bleiben aber selten
Criteo wurde am 15. Juni 2023 mit 40 Millionen Euro sanktioniert, weil das Unternehmen keine gültige Einwilligung zum Setzen von Werbe-Cookies nachweisen konnte. Clearview AI wurde am 17. Oktober 2022 mit 20 Millionen Euro sanktioniert, wegen der massenhaften Erfassung von Fotos ohne Rechtsgrundlage. Diese Beträge betreffen internationale Verarbeitungen in sehr großem Umfang, nicht den Fall eines KMU, das sein Vorgehen dokumentiert. Quelle: Beschluss SAN-2023-009, Légifrance →
Die Realität der meisten CNIL-Fälle
Auf derselben offiziellen CNIL-Seite mit den Beschlüssen wird ein erheblicher Teil der veröffentlichten Sanktionen in Tausenden Euro gemessen, nicht in Millionen: eine Werbeagentur mit 3 000 Euro sanktioniert, zwei Ärzte mit 3 000 bzw. 6 000 Euro, ein Essenslieferdienst mit 20 000 Euro. Die Sanktion ist proportional zur Größe und Schwere, kein einheitliches Fallbeil. Quelle: CNIL, die verhängten Sanktionen →
Was man sich merken sollte
Eine gut durchgeführte DSFA macht eine Organisation nicht unantastbar: Sie ist der Nachweis, im Kontrollfall, dass das Thema ernst genommen wurde. Genau das verlangt Artikel 83.2 der DSGVO zu berücksichtigen, um ein Bußgeld festzusetzen - oder eben nicht.
Ihre Aufsichtsbehörde, je nach Land
In Europa hat jedes Land seine eigenen Behörden. Hier finden Sie für die 30 Länder des Europäischen Wirtschaftsraums die Datenschutzbehörde (Ihr DSGVO-Ansprechpartner) und die nationale Cybersicherheitsbehörde. Jeder Name verlinkt auf die offizielle Website.
Quellen: offizielle Websites der Behörden und Mitgliederliste des EDPB (edpb.europa.eu), abgerufen am 18. Juli 2026. Bestätigte Datenschutzbehörden: 30/30. Bestätigte Cybersicherheitsbehörden: 28/30. Der Hinweis „zu bestätigen" kennzeichnet eine bislang nicht gesicherte offizielle Quelle.
Bereit, Ihre DSFA zu dokumentieren?
Beschreiben Sie uns Ihre Verarbeitung, wir melden uns mit einem individuellen Angebot.
Ihr eigenes Microsoft 365: der kostenlose Score
SYAGA Audit liest die Sicherheitskonfiguration Ihres Microsoft 365 und liefert Ihnen einen kostenlosen Score, Punkt für Punkt. Es wird nur gelesen: im Rahmen der Rechte, die Microsoft für reines Lesen zu erteilen erlaubt, und selbst dort, wo ein Recht Handeln erlauben würde, lesen wir nur. Dieser Score beschreibt Konfigurationsfakten; er garantiert keine Konformität.