Compliance-Lexikon · Strategie
Datenschutz-Folgenabschätzung – Strategie
Die Datenschutz-Folgenabschaetzung wird in den meisten Organisationen als buerokratische Huerde betrachtet. Die strategische Dimension ist eine andere: Die DSFA ist das einzige Instrument, das Datenschutzrisiken systematisch vor Beginn einer Verarbeitung adressiert -- nicht nachtraeglich.
Die strategische Perspektive
Datenschutz-Folgenabschaetzung ist der operative Kern von Privacy by Design. Wer DSFA ernst nimmt, baut Datenschutz in Systeme ein -- nicht nachtraeglich an sie heran. Das senkt langfristig die Kosten: Privacy-Probleme in der Designphase zu loesen ist um Groessenordnungen guenstiger als nach dem Go-Live.
DSFA und KI-Systeme
Der EU AI Act (in Kraft seit 2024) ergaenzt die DSFA-Pflicht fuer KI-Systeme mit eigenem Risikobewertungsregime. Fuer Hochrisiko-KI-Systeme nach EU AI Act und gleichzeitig DSFA-pflichtige Verarbeitungen muessen beide Prozesse koordiniert werden -- der EU AI Act sieht eine Verzahnung mit der DSGVO-DSFA vor. Dies ist ein Bereich, in dem die regulatorische Komplexitaet deutlich zugenommen hat.
Strategischer Kern
Die entscheidende Frage lautet nicht "Haben wir DSFAs durchgefuehrt?", sondern "Identifizieren wir jede neue risikoreiche Verarbeitung zuverlaessig und prufen sie vor Beginn?" Der Unterschied ist der zwischen DSFA als reaktiver Pflicht und DSFA als integriertem Entwicklungsprozess.
DSFA als Innovationsenabeler
Organisationen, die DSFA als Buerokratie sehen, erleben sie als Blocker fuer Innovationen. Organisationen, die DSFA als strukturiertes Risikomanagement verstehen, gewinnen dadurch: Sie koennen neue Datenverarbeitungen schneller und sicherer in Betrieb nehmen, weil die Risiken vorab analysiert und gemindert wurden. DSFA gibt Rechts- und Technikabteilungen eine gemeinsame Sprache.
Verknuepfung mit Verarbeitungsverzeichnis und AVV
Eine vollstaendige DSGVO-Architektur verknuepft DSFA, Verarbeitungsverzeichnis (VVT) und Auftragsverarbeitungsvertraege: Das VVT ist die vollstaendige Liste aller Verarbeitungen, die DSFA-Pruefung ist der Schwellenwert-Check fuer jede Verarbeitung, und der AVV regelt die rechtskonformer Einbindung von Auftragsverarbeitern. Alle drei Dokumente muessen konsistent und aktuell sein.
BAM Enterprise · Executable Compliance
Enterprise-Setup besprechen
DSFA als ausfuehrbares Compliance-Artefakt -- DSGVO und EU AI Act gleichzeitig.
Den praktischen Einstieg -- wie die DSFA konkret durchgefuehrt und im Audit nachgewiesen wird -- findet sich auf Ebene 2.