Eine DSFA ist nach Art. 35 DSGVO immer dann erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bedeutet. Bei KI-Systemen ist das häufig der Fall – automatisierte Bewertung, Profilbildung, systematische Überwachung, große Datenmengen. SimpleAct führt die DSFA als eigenen Datensatz mit Risiken, Maßnahmen, Restrisiko und einer echten Freigabe.

Auf einen Blick

Enthalten ab: Professional
Wo in der App: Datenschutz → DSFA
Ergebnis: Freigegebene DSFA mit Restrisiko-Bewertung, Teil des DSGVO-Gesamtexports
Rechtsbezug: Art. 35 DSGVO
API: /api/v1/dpia

Aufbau einer DSFA

Notwendigkeitsprüfung

Ein Kennzeichen, ob eine DSFA erforderlich ist, plus die Begründung. Auch ein „nicht erforderlich" gehört dokumentiert – die Entscheidung gegen eine DSFA muss ebenso begründbar sein wie die dafür.

Beschreibung der Verarbeitung

Was verarbeitet wird, zu welchem Zweck, in welchem Umfang. Über die Verknüpfung mit einem VVT-Eintrag müssen Sie die Basisangaben nicht doppelt pflegen.

Risiken

Eine Liste einzelner Risiken, jedes mit Titel, Beschreibung sowie Eintrittswahrscheinlichkeit und Schwere – jeweils niedrig, mittel oder hoch. Kein Fließtext, sondern einzeln bewertbare Positionen.

Abhilfemaßnahmen

Je Maßnahme: Titel, konkrete Beschreibung, optional der Verweis auf eine bestehende Kontrolle und die Einschätzung der Wirksamkeit – vollständig, teilweise oder nicht wirksam.

Restrisiko

Niedrig, mittel, hoch oder unbekannt. Diese eine Angabe entscheidet über den nächsten Schritt: Bei hohem Restrisiko ist nach Art. 36 die vorherige Konsultation der Aufsichtsbehörde erforderlich.

Konsultation und Freigabe

Kennzeichen und Notizen zur Konsultation, verantwortliche Person mit E-Mail, Freigabestatus mit Freigebendem und Zeitpunkt sowie der nächste Prüftermin.

Freigabestatus

Status	Bedeutung
DRAFT	In Arbeit.
IN_REVIEW	Beim Datenschutzbeauftragten zur Stellungnahme – nach Art. 35 Abs. 2 ist dessen Rat einzuholen.
APPROVED	Freigegeben, mit Namen und Zeitpunkt der Freigabe.
REJECTED	Abgelehnt – die Verarbeitung darf so nicht starten.
ARCHIVED	Überholt, aber aufbewahrt. Eine DSFA ist auch nach dem Ende der Verarbeitung Nachweis.

Welche Systeme eine DSFA brauchen

Eine eigene Ansicht listet KI-Systeme, für die noch keine DSFA verknüpft ist und die entweder als hochriskant eingestuft sind oder personenbezogene Daten verarbeiten. Das ist Ihre Arbeitsliste – und die Antwort auf die Frage, die eine Behörde als Zweites stellt.

DSFA ist nicht FRIA

Die DSFA schützt personenbezogene Daten. Die Grundrechte-Folgenabschätzung des AI Act (Art. 27) betrachtet Grundrechte insgesamt, auch bei Verarbeitungen ohne Personenbezug, und gilt für bestimmte Betreiber von Hochrisiko-Systemen. Die Analysen überschneiden sich – ersetzen können sie einander nicht. In SimpleAct liegt die FRIA in der Assurance-Akte des jeweiligen KI-Systems.

Datenschutz-Folgenabschätzung