Die DSGVO verlangt eine Datenschutz-Folgenabschätzung für jede Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. SYAGA DPIA-Express strukturiert und dokumentiert Ihre DSFA nach der Methodik von Artikel 35 und den Leitlinien des EDSA, ohne Improvisation und ohne Fachjargon.
Feststellen, ob Ihre Verarbeitung einer DSFA bedarf, und diese dann regelkonform durchführen
Jede Verarbeitung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, muss vor ihrer Durchführung Gegenstand einer Datenschutz-Folgenabschätzung sein (DSGVO, Art. 35).
Der EDSA (vormals Artikel-29-Datenschutzgruppe, Leitlinien WP248 rev.01) hat 9 Kriterien für ein hohes Risiko definiert. Sobald eine Verarbeitung mindestens zwei dieser Kriterien erfüllt, muss grundsätzlich eine DSFA durchgeführt werden: ein einziges falsch eingeschätztes Kriterium, und die Akte ist unvollständig.
Die CNIL (die französische Datenschutzbehörde) veröffentlicht Listen von Verarbeitungen, für die eine DSFA erforderlich ist oder nicht. Um genau zu bestimmen, wo Ihre Verarbeitung steht, ist eine sorgfältige Lektüre erforderlich, kein allgemeiner Eindruck.
Eine DSFA zu überstürzt durchzuführen, setzt Sie vor einer Aufsichtsbehörde der Unvollständigkeit aus; sie nicht durchzuführen, wenn sie erforderlich ist, setzt die Organisation einem Verstoß gegen Artikel 35 aus. Die CNIL-Methode strukturiert diese Entscheidung und dokumentiert sie.
Die von Artikel 35.7 der DSGVO vorgegebene Struktur, angewendet auf Ihre Verarbeitung, mit einer begründeten Schlussfolgerung bei jedem Schritt
Analyse anhand der 3 Fälle von Artikel 35.3, des 9-Kriterien-Rasters des EDSA (WP248 rev.01) und der CNIL-Listen der erforderlichen bzw. nicht erforderlichen Verarbeitungen. Begründete Schlussfolgerung, unabhängig davon, ob die DSFA letztlich verpflichtend ist oder nicht.
Zwecke, Kategorien betroffener Daten und Personen, Empfänger, Aufbewahrungsfristen: die vollständige Kartierung gemäß Artikel 35.7.a, konsistent mit Ihrem Verzeichnis von Verarbeitungstätigkeiten (Art. 30).
Prüfung, dass jede erhobene Angabe für den verfolgten Zweck erforderlich ist, dass die Rechtsgrundlage (Art. 6) für jede Verarbeitung identifiziert ist und dass der Grundsatz der Datenminimierung (Art. 5.1.c) eingehalten wird.
Für jedes identifizierte Risiko: Schwere, Eintrittswahrscheinlichkeit, bereits bestehende Maßnahmen, Restrisiko, dargestellt in Tabellenform, nutzbar für Ihre Geschäftsleitung oder Ihren Datenschutzbeauftragten.
Vorgesehene technische und organisatorische Maßnahmen (Art. 32), begründete Schlussfolgerung und dokumentierte Rechtfertigung im Sinne der Rechenschaftspflicht (Art. 5.2), einsatzbereit im Falle einer Kontrolle durch die CNIL.
Ein strukturiertes, belegtes Dokument, ehrlich darüber, was noch von Ihrem Juristen oder Datenschutzbeauftragten zu validieren ist
Das vollständige Dokument gemäß Artikel 35.7 (a bis d), mit begründeter Schlussfolgerung.
Die vorgelagerte Analyse, die entscheidet, ob Ihre Verarbeitung in den Anwendungsbereich der Pflicht fällt.
Die DSFA stützt sich auf dieselbe Grundlage wie Ihr Verzeichnis von Verarbeitungstätigkeiten.
Jeder Unsicherheitspunkt wird ausdrücklich gekennzeichnet, niemals an Ihrer Stelle entschieden.
Jede rechtliche Aussage ist belegt, nicht aus dem Gedächtnis behauptet.
Geliefert in einem bearbeitbaren, von Ihrem DSB oder Juristen wiederverwendbaren Format.
Eine Methode, die sich auf Texte und Behörden stützt, nicht auf hausgemachte Interpretationen
Datenschutz-Folgenabschätzung. Konsolidierter Text der Verordnung (EU) 2016/679 (EUR-Lex, CELEX 32016R0679).
Die 9 Kriterien für ein hohes Risiko des EDSA (vormals Artikel-29-Gruppe), von der CNIL als Referenzmethode zur Bestimmung der DSFA-Pflicht übernommen.
Listen der Verarbeitungen, für die eine DSFA erforderlich ist oder nicht, sowie die CNIL-Methode zur Durchführung einer Folgenabschätzung.
Verzeichnis von Verarbeitungstätigkeiten: die Konsistenzgrundlage (Zwecke, Daten, Fristen), auf der jede DSFA aufbaut.
Der Umfang hängt von der Anzahl der Verarbeitungen, ihrer Komplexität und dem bereits bei Ihnen vorhandenen Dokumentationsstand ab. Angebot nach einem ersten Austausch.
Sie wissen nicht, ob Ihre Verarbeitung betroffen ist
Verarbeitung als hohes Risiko eingestuft
Mehrere risikobehaftete Verarbeitungen abzudecken
Eine DSFA ist nie endgültig
Artikel 35.11 der DSGVO verlangt eine Überprüfung der Analyse bei wesentlicher Änderung der Verarbeitung (neuer Auftragsverarbeiter, Hosting-Wechsel, Erweiterung des Erhebungsumfangs). Ein Angebot für die Überprüfung wird von Fall zu Fall erstellt.
Was der Text wirklich sagt, verständlich aufbereitet. Jeder Punkt behält seinen Link zum offiziellen Dokument.
Eine DSFA ist schlicht eine Bewertungsarbeit: Man betrachtet die Risiken, die eine Datenverarbeitung für die betroffenen Personen mit sich bringt, bevor man sie einführt. Die CNIL definiert sie als "ein formales Verfahren zur Bewertung der mit der Verarbeitung personenbezogener Daten verbundenen Risiken". Das ist keine zusätzliche Verwaltungsformalität, sondern ein Instrument des gesunden Menschenverstands, das die DSGVO in bestimmten Fällen verpflichtend macht. Quelle: CNIL →
Man muss kein Großunternehmen sein, um betroffen zu sein. Die CNIL geht davon aus, dass eine DSFA verpflichtend wird, sobald eine Verarbeitung mindestens zwei dieser neun Situationen erfüllt: Personen bewerten oder einstufen, eine automatisierte Entscheidung treffen, die sich real auf sie auswirkt, sie systematisch überwachen, sensible Daten erheben (Gesundheit, Herkunft usw.), in großem Umfang erheben, mehrere Datenbanken zusammenführen, schutzbedürftige Personen betreffen (Beschäftigte, Patienten, Minderjährige...), eine neue Technologie einsetzen, oder jemandem ein Recht oder eine Leistung vorenthalten. Quelle: CNIL →
Um Rätselraten zu vermeiden, hat die CNIL zwei offizielle Listen veröffentlicht: eine Liste mit 14 Arten von Verarbeitungen, bei denen die DSFA verpflichtend ist (Gesundheitsdaten, HR-Profiling, Überwachung von Beschäftigten, großflächige Geolokalisierung...), und eine Liste mit 12 Arten, bei denen sie nicht erforderlich ist (Lohn- und Personalverwaltung mit weniger als 250 Beschäftigten ohne Profiling, Lieferantenverwaltung, Patientenakte eines einzeln praktizierenden Gesundheitsfachmanns...). Diese Listen decken nicht alle Fälle ab, beantworten aber bereits viele gängige Situationen. Quelle: CNIL-Liste der erforderlichen Verarbeitungen →
Die DSGVO (Artikel 35) verlangt keinen Roman, sondern vier präzise Bausteine: die Verarbeitung und ihren Zweck beschreiben, prüfen, dass sie wirklich notwendig und verhältnismäßig ist, die Risiken für die betroffenen Personen bewerten und schließlich die vorgesehenen Maßnahmen zur Risikominderung auflisten. Am Ende steht eine klare Schlussfolgerung: Ist die Verarbeitung akzeptabel, und unter welchen Bedingungen. Quelle: DSGVO, Artikel 35 →
Wenn Ihre Organisation einen Datenschutzbeauftragten benannt hat, verlangt die DSGVO, dass Sie ihn bei der Durchführung der DSFA um Rat fragen und ihn mit der Prüfung beauftragen, dass die Analyse tatsächlich durchgeführt wurde. Das ist eine Schutzmaßnahme, kein Kästchen zum Abhaken: Der DSB bleibt der richtige Reflex, bevor man eine Schlussfolgerung bestätigt. Quelle: DSGVO, Artikel 35 und 39 →
Wenn die Verarbeitung trotz der vorgesehenen Maßnahmen weiterhin ein hohes Risiko für die betroffenen Personen darstellt, verlangt die DSGVO, vor dem Start die CNIL zu konsultieren. Diese hat dann acht Wochen Zeit, um eine schriftliche Stellungnahme abzugeben (verlängerbar um sechs Wochen bei komplexen Fällen). Beruhigend zu wissen: Dieser Fall bleibt die Ausnahme, nicht die Regel. Quelle: DSGVO, Artikel 36 →
Die CNIL weist darauf hin, dass DSGVO-Bußgelder bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes erreichen können, je nachdem, welcher Betrag höher ist. Das ist eine gesetzliche Obergrenze, kein unabwendbares Schicksal: Eine gut durchgeführte DSFA ist gerade das, was im Kontrollfall zeigt, dass das Thema ernst genommen wurde. Quelle: CNIL →
Der Europäische Ausschuss für Datenschutz (CEPD/EDPB) hat vom 14. April bis 9. Juni 2026 den Entwurf eines einheitlichen DSFA-Musters zur öffentlichen Konsultation gestellt, das die Praxis zwischen den europäischen Ländern harmonisieren soll. Die Konsultation ist inzwischen abgeschlossen; wir verfolgen die weitere Entwicklung dieses Projekts, um unsere Kunden zu gegebener Zeit zu informieren. Quelle: EDPB →
Bevor man weiß, wie man eine DSFA durchführt, muss man wissen, ob man betroffen ist. Hier ist der genaue Anwendungsbereich, wie ihn die DSGVO und die CNIL definieren - ohne unnötige Spannung.
Die DSGVO legt keine Mitarbeiterschwelle für die DSFA-Pflicht fest. Ihr Artikel 35 verpflichtet den "für die Verarbeitung Verantwortlichen" zu dieser Analyse, unabhängig von seiner Rechtsform (Verein, Handwerksbetrieb, KMU, Gebietskörperschaft, Großkonzern), sobald eine Verarbeitung "voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat". Häufige Falle, die zu vermeiden ist: Die Schwelle von 250 Beschäftigten existiert zwar in der DSGVO, betrifft aber eine teilweise Befreiung vom Verarbeitungsverzeichnis (Artikel 30), nicht die DSFA. Ein Unternehmen mit 5 Beschäftigten kann betroffen sein; ein Konzern mit 2000 Beschäftigten kann es nicht sein: Alles hängt von der Verarbeitung ab, nie von der Größe der Struktur. Quelle: DSGVO, Artikel 35 (wiedergegeben von der CNIL) →
Artikel 35 richtet sich an den "für die Verarbeitung Verantwortlichen" im weiten Sinne: ein privates Unternehmen ebenso wie eine Verwaltung, eine Gebietskörperschaft, einen Verein oder eine Gesundheitseinrichtung. Der Text sieht sogar ausdrücklich den Fall einer "systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche" vor, was typischerweise eine Gemeinde oder einen sozialen Wohnungsbauträger betrifft, der Videoüberwachung im öffentlichen Raum installiert - nicht nur ein Handelsunternehmen. Quelle: DSGVO, Artikel 35, Absatz 3 →
Die CNIL und die frühere Artikel-29-Gruppe (heute Europäischer Ausschuss, EDPB) haben in ihren Referenz-Leitlinien (WP248) neun Kriterien festgelegt. Sobald eine Verarbeitung mindestens zwei davon erfüllt, wird die DSFA verpflichtend: Personen bewerten oder einstufen, automatisch etwas entscheiden, das sie betrifft, sie systematisch überwachen, sensible Daten verarbeiten, in großem Umfang verarbeiten, Dateien zusammenführen, schutzbedürftige Personen betreffen (Beschäftigte, Patienten, Minderjährige), eine neue Technologie einsetzen, oder jemandem ein Recht oder einen Vertrag vorenthalten. Quelle: CNIL, Leitlinien G29/EDPB (WP248) →
In der Praxis ordnet die CNIL-Doktrin diesen Kriterien typischerweise Folgendes zu: eine Arztpraxis oder Klinik, die Gesundheitsdaten in großem Umfang verarbeitet, eine Personalabteilung, die ein Bewertungs- oder Profiling-Tool für Beschäftigte einsetzt, ein Unternehmen mit Ausweiskarten und systematischer Videoüberwachung seiner öffentlich zugänglichen Räumlichkeiten, ein Kredit- oder Inkassounternehmen, das Scoring betreibt, oder ein vernetztes Gesundheitsgerät, das Daten zu Lebensgewohnheiten erfasst. Quelle: CNIL, Liste der 14 Verarbeitungen mit DSFA-Pflicht →
Die CNIL hat auch eine Liste mit 12 Arten von Verarbeitungen veröffentlicht, für die eine DSFA NICHT erforderlich ist: zum Beispiel die Lohn- und Personalverwaltung einer Organisation mit weniger als 250 Beschäftigten (ohne Profiling), die Patientenakte eines allein praktizierenden Gesundheitsfachmanns oder die laufende Lieferantenverwaltung. Beruhigend für viele Kleinstunternehmen: Beschäftigte oder Kunden zu haben, reicht allein nicht aus, um die Pflicht auszulösen. Quelle: CNIL, Liste der 12 Verarbeitungen ohne DSFA →
Kein Anwaltsjargon: einfache Antworten, jede gestützt auf den offiziellen Text, auf dem sie beruht.
Die wirklich wichtigen, belegten Daten, um zu wissen, was heute bereits verpflichtend ist und was noch kommt.
Die DSGVO gilt seit dem 25. Mai 2018 in ganz Europa. Die Pflicht zur Durchführung einer DSFA (Artikel 35), die beiden CNIL-Listen, die festlegen, wann sie verpflichtend ist oder nicht, und die europäischen Leitlinien, die erklären, wie sie durchzuführen ist: All das ist in Kraft, stabil und hängt von keiner künftigen Reform ab. Das ist die Grundlage, auf die Sie sich bereits jetzt stützen können.
Der Europäische Ausschuss für Datenschutz (CEPD) arbeitet an einem einheitlichen DSFA-Muster, um die Praxis zwischen den europäischen Ländern zu harmonisieren. Die öffentliche Konsultation zu diesem Projekt endete am 9. Juni 2026; ein Veröffentlichungsdatum des endgültigen Musters wurde noch nicht mitgeteilt. Nichts zwingt zum Abwarten: Die CNIL-Methode bleibt in der Zwischenzeit gültig.
Das Europäische Parlament und der Rat verabschieden die Verordnung 2016/679 am 27. April 2016. Sie wird am 4. Mai 2016 im Amtsblatt der Europäischen Union (ABl. L119) veröffentlicht und tritt zwanzig Tage später, am 24. Mai 2016, in Kraft, ohne bereits anwendbar zu sein. Quelle: EUR-Lex, offizielle Fundstelle der Verordnung →
Zwei Jahre nach ihrer Verabschiedung gilt die Verordnung endlich in ganz Europa (Artikel 99.2). An diesem Tag wird die DSFA-Pflicht aus Artikel 35 verbindlich, und der Europäische Ausschuss für Datenschutz (CEPD) wird erstmals eingesetzt und übernimmt die bereits verfassten Leitlinien zur DSFA (WP248 rev.01). Quelle: EUR-Lex, Datenblatt der Verordnung (Artikel 99) → Quelle: CEPD, übernommene Leitlinien →
Wenige Monate nach Inkrafttreten der DSGVO verabschiedet die CNIL ihren Beschluss Nr. 2018-327: eine konkrete Liste von 14 Arten von Verarbeitungen (Gesundheitsdaten, HR-Profiling, Überwachung von Beschäftigten...), für die die DSFA systematisch durchgeführt werden muss. Schluss mit dem Rätselraten von Fall zu Fall. Quelle: CNIL →
Ein Jahr später ergänzt die CNIL ihre Doktrin mit dem Beschluss Nr. 2019-118: eine Liste von Verarbeitungen, für die eine DSFA NICHT erforderlich ist (Lohnabrechnung mit weniger als 250 Beschäftigten ohne Profiling, Lieferantenverwaltung, Patientenakte eines einzeln praktizierenden Fachmanns...). Die beiden CNIL-Listen zusammen beantworten bereits viele gängige Situationen, ohne dass man selbst entscheiden muss. Quelle: CNIL →
Der CEPD hat den Entwurf eines gemeinsamen DSFA-Musters zur öffentlichen Konsultation gestellt, das die Praxis zwischen den europäischen Ländern harmonisieren soll (derzeit hat jede nationale Behörde noch ihr eigenes Raster). Die Konsultation ist seit dem 9. Juni 2026 abgeschlossen; es handelt sich noch nicht um einen anwendbaren Text, sondern lediglich um einen in Prüfung befindlichen Entwurf. Quelle: CEPD →
Der CEPD gibt selbst an, dass das Muster "vorbehaltlich geeigneter Änderungen finalisiert wird", woraufhin die nationalen Behörden Schritte einleiten werden, um es als einheitliches Muster oder als mit den bereits bestehenden Mustern (darunter das der CNIL) kompatibles "Meta-Modell" zu übernehmen. Bislang wurde kein Datum mitgeteilt: Wir verfolgen dieses Dossier, um unsere Kunden zu informieren, sobald es Konkretes gibt, ohne etwas vorwegzunehmen. Quelle: CEPD →
Wer sanktioniert, wie viel, und nach welchen Kriterien. Ohne Dramatisierung: Die große Mehrheit der Fälle hat nichts mit den Beträgen zu tun, die Schlagzeilen machen.
Es ist ein spezialisiertes Gremium der CNIL, getrennt von dem Kollegium, das im Alltag kontrolliert und berät, das die Sanktionen ausspricht. Es verfügt über mehrere abgestufte Instrumente, nicht nur das Bußgeld: Ermahnung, Verwarnung, Anordnung (mit oder ohne Zwangsgeld), Anweisung, zeitweilige oder endgültige Einschränkung der Verarbeitung. Das Bußgeld ist nur die letzte Stufe der Leiter. Quelle: CNIL, die verhängten Sanktionen →
Die DSGVO (Artikel 83) legt zwei Obergrenzen fest, wobei der höhere Betrag gilt: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes des Vorjahres bei Verstößen gegen organisatorische Pflichten (Sicherheit, Verzeichnis, DSB, Folgenabschätzung...); bis zu 20 Millionen Euro oder 4 % bei Verstößen gegen materielle Grundsätze (Rechtsgrundlage, Einwilligung, Rechte betroffener Personen, Übermittlungen außerhalb der EU). Das sind Obergrenzen, keine automatischen Beträge. Quelle: DSGVO, Artikel 83 →
Artikel 83.2 verpflichtet die Behörde, Folgendes zu berücksichtigen: Schwere und Dauer des Verstoßes, Vorsatz oder bloße Fahrlässigkeit, bereits getroffene Maßnahmen zur Schadensbegrenzung, Grad der Verantwortung, frühere Verstöße, Zusammenarbeit mit der Behörde und die Sensibilität der betroffenen Daten. Konkret: Eine Organisation, die ihr Vorgehen dokumentiert hat (Verzeichnis, DSFA, Sicherheitsmaßnahmen) und kooperiert, wird anders beurteilt als eine, die nichts unternommen hat. Quelle: DSGVO, Artikel 83.2 →
Am 10. November 2022 verhängte der eingeschränkte Spruchkörper der CNIL ein Bußgeld von 800 000 Euro gegen Discord. Zu den festgestellten Verstößen zählten: eine übermäßige Aufbewahrungsdauer, ein Sicherheitsmangel und, mit Bezug auf Artikel 35 der DSGVO, das Fehlen einer Folgenabschätzung, obwohl die großflächige und Minderjährige betreffende Verarbeitung eine solche erfordert hätte. Das ist das direkteste Beispiel für den Zusammenhang zwischen "keine dokumentierte DSFA" und einer ausgesprochenen Sanktion. Quelle: Beschluss SAN-2022-020, Légifrance →
Criteo wurde am 15. Juni 2023 mit 40 Millionen Euro sanktioniert, weil das Unternehmen keine gültige Einwilligung zum Setzen von Werbe-Cookies nachweisen konnte. Clearview AI wurde am 17. Oktober 2022 mit 20 Millionen Euro sanktioniert, wegen der massenhaften Erfassung von Fotos ohne Rechtsgrundlage. Diese Beträge betreffen internationale Verarbeitungen in sehr großem Umfang, nicht den Fall eines KMU, das sein Vorgehen dokumentiert. Quelle: Beschluss SAN-2023-009, Légifrance →
Auf derselben offiziellen CNIL-Seite mit den Beschlüssen wird ein erheblicher Teil der veröffentlichten Sanktionen in Tausenden Euro gemessen, nicht in Millionen: eine Werbeagentur mit 3 000 Euro sanktioniert, zwei Ärzte mit 3 000 bzw. 6 000 Euro, ein Essenslieferdienst mit 20 000 Euro. Die Sanktion ist proportional zur Größe und Schwere, kein einheitliches Fallbeil. Quelle: CNIL, die verhängten Sanktionen →
Was man sich merken sollte
Eine gut durchgeführte DSFA macht eine Organisation nicht unantastbar: Sie ist der Nachweis, im Kontrollfall, dass das Thema ernst genommen wurde. Genau das verlangt Artikel 83.2 der DSGVO zu berücksichtigen, um ein Bußgeld festzusetzen - oder eben nicht.
In Europa hat jedes Land seine eigenen Behörden. Hier finden Sie für die 30 Länder des Europäischen Wirtschaftsraums die Datenschutzbehörde (Ihr DSGVO-Ansprechpartner) und die nationale Cybersicherheitsbehörde. Jeder Name verlinkt auf die offizielle Website.
Quellen: offizielle Websites der Behörden und Mitgliederliste des EDPB (edpb.europa.eu), abgerufen am 18. Juli 2026. Bestätigte Datenschutzbehörden: 30/30. Bestätigte Cybersicherheitsbehörden: 28/30. Der Hinweis „zu bestätigen" kennzeichnet eine bislang nicht gesicherte offizielle Quelle.
Beschreiben Sie uns Ihre Verarbeitung, wir melden uns mit einem individuellen Angebot.
Kostenlos: Ihr Score + Ihre Lücken. Der ausführliche Bericht und die Attestierung: 499 EUR netto, nur wenn Sie es entscheiden.
contact@syaga.eu Die CNIL-Methode noch einmal ansehen