DSFA-Vorlage (kostenloses Excel, 2026)

Diese DSFA-Vorlage ist eine kostenlose Excel-Arbeitsmappe, die eine Datenschutz-Folgenabschätzung entlang des Mindestinhalts strukturiert, den Artikel 35 Abs. 7 DSGVO verlangt. Wenn Sie als Compliance-Lead, Datenschutzbeauftragter oder CISO dokumentieren müssen, warum eine neue Verarbeitungstätigkeit rechtmäßig, verhältnismäßig und sicher ist, gibt Ihnen diese DSFA-Vorlage ein wiederholbares Formular statt eines leeren Blatts. Sie führt Sie durch eine systematische Beschreibung der Verarbeitung, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine strukturierte Sicht auf die Risiken für die Rechte und Freiheiten der Betroffenen und die Maßnahmen, mit denen Sie diese Risiken senken wollen. Alles ist auf den Artikel zurückgeführt, sodass ein Auditor oder eine Aufsichtsbehörde Ihrer Argumentation folgen kann. Laden Sie die Vorlage unten herunter, füllen Sie eine pro Verarbeitungstätigkeit aus und pflegen Sie sie als lebenden Nachweis statt als einmaliges Dokument. Ihre erste Folgenabschätzung wird ein paar Tage dauern, weil Sie beim Schreiben den Hausstil erst erfinden. Die danach schaffen Sie an einem Nachmittag.

Was die DSFA-Vorlage abdeckt

Die Arbeitsmappe spiegelt die vierteilige Struktur von Artikel 35 Abs. 7, mit einem eigenen Block für jeden Teil, damit nichts übersprungen wird:

• Systematische Beschreibung der Verarbeitung: die Vorgänge und ihre Zwecke, die Kategorien von Daten und betroffenen Personen, Empfänger, Speicherfristen und etwaige internationale Übermittlungen.
• Notwendigkeit und Verhältnismäßigkeit: Ihre Rechtsgrundlage, warum die Verarbeitung für den Zweck notwendig ist, ob eine weniger eingriffsintensive Option existiert und wie Datenminimierung und Betroffenenrechte gehandhabt werden.
• Risikobewertung: jedes Risiko für die Rechte und Freiheiten der Betroffenen, bewertet nach Eintrittswahrscheinlichkeit und Schwere, einschließlich unberechtigtem Zugriff, unerwünschter Veränderung und Verlust von Daten.
• Abhilfemaßnahmen: die technischen und organisatorischen Kontrollen, die jedes Risiko adressieren, das nach diesen Maßnahmen verbleibende Restrisiko sowie ein Owner und ein Fälligkeitsdatum.

Ein Kopfblock erfasst den Namen der Tätigkeit, das Datum der Bewertung, ob der Rat des Datenschutzbeauftragten nach Artikel 35 Abs. 2 eingeholt wurde, und ein Flag, ob eine vorherige Konsultation nach Artikel 36 ausgelöst wird.

Von den vier Teilen ist Notwendigkeit und Verhältnismäßigkeit derjenige, der echtes Nachdenken verlangt. Die Beschreibung ist Abschreibarbeit. Die Risikotabelle ist ein Workshop. Die Maßnahmen sind meist Dinge, die Sie ohnehin schon getan haben. Bei der Notwendigkeit müssen Sie mit Ihrem eigenen Produktteam über ein Feld streiten, das es erheben will und nicht begründen kann, und dieses Gespräch ist der gesamte Wert der Übung. Schreiben Sie diesen Abschnitt, sobald Sie wissen, was die Daten tatsächlich tun.

DSGVO (DSFA) ehrlich betrachtet: worauf es wirklich ankommt

Eine DSFA erfüllt eine echte Funktion. Artikel 35 Abs. 1 verlangt sie überall dort, wo eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, und dieses Urteil müssen Sie fällen, bevor die Verarbeitung beginnt.

Die Schwelle selbst ist vage, und zwar absichtlich; diese Vagheit ist der ehrliche Preis eines technologieneutralen Gesetzes. "Voraussichtlich ein hohes Risiko zur Folge" löst sich nicht auf, indem man es intensiver liest. Behandeln Sie Grenzfälle als DSFA und gehen Sie weiter: Eine Bewertung, die Sie streng genommen nicht gebraucht hätten, ist billig, und sie ist deutlich leichter zu verteidigen als die Entscheidung, eine auszulassen.

Drei Fälle nennt Artikel 35 Abs. 3 als stets DSFA-pflichtig:

• eine systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung, einschließlich Profiling, die rechtliche Wirkung gegenüber der Person entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt;
• die umfangreiche Verarbeitung besonderer Kategorien von Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten;
• die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Passt Ihre Tätigkeit auf einen dieser Fälle, ist die Bewertung verpflichtend. Zwei weitere Pflichten liegen um die Bewertung herum. Wo Sie einen Datenschutzbeauftragten benannt haben, verlangt Artikel 35 Abs. 2, dass Sie bei der Durchführung der DSFA dessen Rat einholen. Und wenn nach Anwendung Ihrer Maßnahmen ein hohes Restrisiko bleibt, verlangt Artikel 36, dass Sie vor Beginn der Verarbeitung Ihre Aufsichtsbehörde konsultieren. Die Vorlage markiert beide Punkte, sodass sie zu Entscheidungen werden, die Sie festhalten, statt zu Schritten, die Sie vergessen. Seien Sie beim Artikel-36-Flag ehrlich mit sich selbst. Kaum jemand will vor einem Launch-Termin eine Aufsichtsbehörde konsultieren, also gibt es einen ständigen Sog, das Restrisiko auf mittel herunterzubewerten und weiterzumachen. Wenn Sie sich dabei ertappen, den Score herunterzuargumentieren statt die Maßnahmen hochzuargumentieren, kennen Sie die Antwort bereits.

So nutzen Sie die DSFA-Vorlage

1. Kopieren Sie die Arbeitsmappe für die konkrete Verarbeitungstätigkeit, die Sie bewerten, und füllen Sie den Kopf aus: Name, Datum und ob ein Datenschutzbeauftragter benannt ist.
2. Vervollständigen Sie die systematische Beschreibung. Übernehmen Sie die Verarbeitungsdetails direkt aus Ihrem Verzeichnis von Verarbeitungstätigkeiten (nutzen Sie dafür unsere VVT-Vorlage), damit DSFA und VVT konsistent bleiben.
3. Arbeiten Sie Notwendigkeit und Verhältnismäßigkeit durch. Benennen Sie die Rechtsgrundlage und hinterfragen Sie, ob jedes Feld und jeder Empfänger für den Zweck wirklich gebraucht wird.
4. Identifizieren und bewerten Sie die Risiken für die Betroffenen und halten Sie dann für jedes Risiko die Maßnahmen sowie das danach verbleibende Restrisiko fest. Tun Sie das mit einem Engineer im Raum. Risikorunden, die die Compliance-Funktion allein durchführt, produzieren ordentliche Tabellen, die ein System beschreiben, das so nie gebaut wurde.
5. Holen Sie den Rat des Datenschutzbeauftragten ein, wo Sie einen haben, und konsultieren Sie Ihre Aufsichtsbehörde vor dem Start, falls ein Restrisiko weiterhin hoch ist.
6. Speichern Sie die fertige Bewertung als Nachweis und prüfen Sie sie erneut, wann immer sich die Verarbeitung wesentlich ändert.

Automatisieren Sie das in Venvera

Die Vorlage ist ein solider Ausgangspunkt, aber eine Tabelle hält sich nicht von selbst aktuell. In Venveras DSGVO-Framework wird dieselbe Struktur aus Artikel 35 Abs. 7 zu einer lebenden Bewertung: Die Beschreibung nutzt die Daten wieder, die Sie bereits in Ihrem Verzeichnis von Verarbeitungstätigkeiten halten, Risiken sind mit den Controls verknüpft, die sie behandeln, und der Rat des Datenschutzbeauftragten sowie eine etwaige Artikel-36-Konsultation werden als Nachweise mit Ownern und Terminen verfolgt. Weil die zugrunde liegenden Controls geteilt sind, wird die Arbeit, die Sie für die DSGVO leisten, über Ihre anderen Pflichten hinweg wiederverwendet, statt für jedes Audit neu erfasst zu werden. Wenn Sie von einer statischen Datei zu einem gepflegten Programm wechseln wollen: Venvera startet ab 399 EUR/Monat. Kombinieren Sie den Download mit unserer DSGVO-Compliance-Checkliste, um das größere Programm abzustecken.

Häufig gestellte Fragen

Wann ist eine DSFA nach der DSGVO verpflichtend?

Eine DSFA ist nach Artikel 35 Abs. 1 erforderlich, wann immer eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Artikel 35 Abs. 3 nennt drei Fälle, in denen sie immer verpflichtend ist: systematische und umfassende automatisierte Bewertung oder Profiling mit rechtlicher oder ähnlich erheblicher Wirkung; umfangreiche Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten; und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Was sind die vier Pflichtbestandteile einer DSFA?

Artikel 35 Abs. 7 legt den Mindestinhalt fest: (a) eine systematische Beschreibung der Verarbeitung und ihrer Zwecke; (b) eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung; (c) eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen; und (d) die zur Bewältigung dieser Risiken geplanten Abhilfemaßnahmen. Diese Vorlage gibt jedem Teil einen eigenen Abschnitt.

Muss ich meine Aufsichtsbehörde konsultieren?

Nur in einer Situation: Bleibt nach Anwendung Ihrer Maßnahmen ein hohes Restrisiko, verlangt Artikel 36, dass Sie vor Beginn der Verarbeitung Ihre Aufsichtsbehörde konsultieren. Unabhängig davon verlangt Artikel 35 Abs. 2, dass Sie bei der Durchführung der Bewertung den Rat Ihres Datenschutzbeauftragten einholen, sofern Sie einen benannt haben.

Ist diese DSFA-Vorlage kostenlos?

Ja. Die DSFA-Vorlage ist ein kostenloser Excel-Download, den Sie für beliebig viele Verarbeitungstätigkeiten nutzen können. Tragen Sie Ihre Daten in das Formular oben ein, um die Datei zu erhalten.