Einheitliches DSFA-Muster zur öffentlichen Konsultation veröffentlicht

Der Europäische Datenschutzausschuss (EDSA) hat am 10. März 2026 ein standardisiertes Muster für Datenschutz-Folgenabschätzungen (DSFA/DPIA) nach Art. 35 DS-GVO verabschiedet und am 14. April 2026 zur öffentlichen Konsultation gestellt. Rückmeldungen können bis zum 9. Juni 2026 eingereicht werden. Ziel ist eine europaweit einheitliche DSFA-Dokumentation: Nach Abschluss der Konsultation sollen alle nationalen Datenschutzbehörden das Template als gemeinsames Muster oder zumindest als kompatibles „Meta-Template“ übernehmen.

Aufbau und Struktur

Das Template gliedert sich in sechs inhaltliche Abschnitte, die aufeinander aufbauen und gezielt Querverweise ermöglichen sollen. Es beginnt mit einer Übersicht zur Verarbeitung, einschließlich Verantwortlichem, Auftragsverarbeitern, Bezeichnung und Planungszeitraum, und führt über eine systematische Beschreibung der Verarbeitung (Datenkategorien, Zwecke, Verarbeitungsumfang und -kontext, technische Infrastruktur) zur Compliance-Analyse. Diese umfasst die Rechtsgrundlagenprüfung, Datenminimierung, Speicherfristen sowie Maßnahmen zur Umsetzung von Betroffenenrechten, Datenschutz durch Technikgestaltung (Art. 25 DS-GVO) und Datensicherheit (Art. 32 DS-GVO).

Risikobetrachtung in zwei Dimensionen

Besonders strukturiert ist die Risikoanalyse: Das Template unterscheidet systematisch zwischen Risiken, die sich aus dem bestimmungsgemäßen Betrieb der Verarbeitung ergeben – also durch die Verarbeitungsstruktur selbst –, und solchen, die durch unbeabsichtigte, rechtswidrige oder anormale Ereignisse wie Cyberangriffe, Fehlkonfigurationen oder Insidermissbrauch entstehen. Für beide Dimensionen sind Eintrittswahrscheinlichkeit, Schwere und risikobeeinflusssende Faktoren zu bewerten. Dem schließt sich ein Aktionsplan mit zusätzlichen Abhilfemaßnahmen und einer Restrisikobewertung an.

Einbindung von DSB und Betroffenen

Das Template sieht explizit vor, die Stellungnahme des Datenschutzbeauftragten sowie gegebenenfalls die Perspektive betroffener Personen oder ihrer Vertreter zu dokumentieren. Den Abschluss bildet eine formale Entscheidung über die Durchführbarkeit der Verarbeitung, von der Aufgabe über die vorherige Konsultation der Aufsichtsbehörde bis zur bedingten oder uneingeschränkten Freigabe.

Verantwortliche werden ausdrücklich ermutigt, das Template bereits jetzt in der Praxis zu erproben und Feedback im Rahmen der laufenden Konsultation einzureichen.

(Foto: Onetrick – stock.adobe.com)