Checkliste: Datenschutz-Folgenabschätzung durchführen
Für: Datenschutzverantwortliche und Projektleitungen
Aktualisiert: 2026-11
Eine Datenschutz-Folgenabschätzung wird in sieben Schritten erstellt: prüfen, ob ein hohes Risiko besteht, die geplante Bearbeitung beschreiben, Risiken für die Betroffenen bewerten, Massnahmen festlegen, das Restrisiko beurteilen, bei hohem Restrisiko den EDÖB oder den Datenschutzberater konsultieren und die Abschätzung aufbewahren und aktualisieren.
Nach Art. 22 DSG ist eine DSFA nötig, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen mit sich bringen kann, insbesondere bei umfangreicher Bearbeitung besonders schützenswerter Daten oder systematischer umfangreicher Überwachung öffentlicher Bereiche. Die DSGVO kennt eine vergleichbare Pflicht in Art. 35.
Diese Checkliste beschreibt den Ablauf. Wo KI-Systeme im Spiel sind, ergänzt die Grundrechte-Folgenabschätzung nach dem AI Act die DSFA.
Die Checkliste
- 01
Pflicht prüfen
Anhand der Kriterien in Art. 22 DSG und der Bearbeitung beurteilen, ob ein hohes Risiko vorliegen kann.
Erledigt, wenn: Die Beurteilung ist schriftlich festgehalten, auch wenn keine DSFA nötig ist.
- 02
Bearbeitung beschreiben
Zweck, Datenkategorien, betroffene Personen, Systeme, Empfänger und Bekanntgaben ins Ausland beschreiben.
Erledigt, wenn: Die Beschreibung ist vollständig und mit dem Bearbeitungsverzeichnis abgeglichen.
- 03
Risiken bewerten
Risiken für Persönlichkeit und Grundrechte nach Eintrittswahrscheinlichkeit und Schwere einschätzen.
Erledigt, wenn: Jedes Risiko ist mit Wahrscheinlichkeit, Schwere und Begründung erfasst.
- 04
Massnahmen festlegen
Technische und organisatorische Massnahmen bestimmen, die die Risiken senken.
Erledigt, wenn: Jedem relevanten Risiko ist mindestens eine Massnahme mit verantwortlicher Person zugeordnet.
- 05
Restrisiko beurteilen
Nach den Massnahmen bewerten, ob ein hohes Risiko verbleibt.
Erledigt, wenn: Das Restrisiko ist bewertet und von der verantwortlichen Stelle akzeptiert oder eskaliert.
- 06
Konsultation klären
Bei hohem Restrisiko den EDÖB konsultieren; private Verantwortliche können stattdessen ihren Datenschutzberater konsultieren.
Erledigt, wenn: Die Konsultation ist erfolgt und dokumentiert oder begründet nicht nötig.
- 07
Aufbewahren und aktualisieren
Die DSFA aufbewahren und bei wesentlichen Änderungen der Bearbeitung aktualisieren.
Erledigt, wenn: Die DSFA ist abgelegt, mit Datum und Termin für die nächste Überprüfung.
Häufige Fehler
- —Die DSFA erst nach dem Go-live erstellen, wenn Massnahmen teuer werden.
- —Risiken für die Organisation statt für die Betroffenen bewerten.
- —Massnahmen nennen, ohne sie jemandem zuzuordnen.
- —Die DSFA nie aktualisieren, obwohl sich die Bearbeitung ändert.
Was diese Checkliste nicht abdeckt
- —Die Checkliste ersetzt keine rechtliche Beurteilung im Einzelfall.
- —Branchenspezifische Vorgaben, etwa im Gesundheitswesen, können zusätzliche Anforderungen stellen.
- —Für KI-Systeme kann zusätzlich eine Grundrechte-Folgenabschätzung nach AI Act nötig sein.
Übergeordnete Leistung: Datenschutzberatung
Passende Angebote
FRIA & DSFA für KI-Systeme
Dieses Paket erstellt die Folgenabschätzungen, die ein KI-System oft gleichzeitig braucht: die Grundrechte-Folgenabschätzung (FRIA) nach Artikel 27 AI Act und die Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO — integriert statt doppelt, als ein prüffestes Assessment mit klarer Freigabeentscheidung.
revDSG-Umsetzung für KMU: vom Ist-Zustand zum Nachweis
Ein abgegrenztes Paket, das ein Schweizer KMU von der Unsicherheit zum dokumentierten Stand bringt: Datenflüsse und Dienstleister erfassen, Pflichten bestimmen, Verträge und Auslandübermittlungen prüfen, Datenschutzerklärung-Grundlage liefern und klare Abläufe für Datenschutzverletzungen und Auskunftsbegehren festlegen.
Häufige Fragen
Wie lange muss die DSFA aufbewahrt werden?
Nach der Datenschutzverordnung mindestens zwei Jahre nach Beendigung der Bearbeitung.
Wer erstellt die DSFA?
Der Verantwortliche, meist die Projektleitung mit Unterstützung der Datenschutzverantwortlichen und der IT.
Gibt es eine Vorlage?
Vorlagen helfen bei der Struktur. Der Wert entsteht aber durch die konkrete Beschreibung und Bewertung der eigenen Bearbeitung.
Weitere Checklisten
Checkliste: Datenschutzerklärung nach DSG und DSGVO prüfen
Eine Datenschutzerklärung prüft man in sieben Schritten: Verantwortlicher und Kontakt, Zwecke der Bearbeitung, Kategorien von Daten, Empfänger und Auftragsbearbeiter, Bekanntgaben ins Ausland mit Garantien, Rechte der Betroffenen und Aktualität gegenüber den tatsächlich eingesetzten Diensten. Wer auch Personen in der EU anspricht, ergänzt die zusätzlichen Angaben der DSGVO.
Checkliste: Cookies und Einwilligung richtig umsetzen
Cookies setzt man in sieben Schritten richtig um: alle Cookies und Tracker inventarisieren, notwendige von optionalen trennen, die Regeln für das Zielpublikum bestimmen, in der Schweiz informieren und eine Ablehnung ermöglichen, für EU-Besucher optionale Cookies erst nach Einwilligung setzen, die Wahl technisch durchsetzen und regelmässig prüfen.
Checkliste: SEO-Migration beim Website-Relaunch
Die Sichtbarkeit beim Relaunch hält man in sieben Schritten: alle bestehenden Adressen und ihre Leistung erfassen, jede alte Adresse auf die passende neue weiterleiten, starke Inhalte übernehmen statt ersetzen, Metadaten und strukturierte Daten migrieren, auf einer Testumgebung prüfen, nach dem Livegang Sitemap und Search Console aktualisieren und die Entwicklung wochenlang kontrollieren.