Über die Dokumentvorlage
DPIA / Datenschutz-Folgenabschätzung (DSFA) Vorlagenpaket 2026 – Word, PDF & Excel
Komplettes Vorlagenpaket für Datenschutz-Folgenabschätzungen (DSFA) gemäß Artikel 35 DSGVO. Das Paket wurde für schwedische Unternehmen, Organisationen, Behörden, Projektleiter, Datenschutzbeauftragte, Informationssicherheitsbeauftragte und Juristen entwickelt, die hochriskante Verarbeitungen von personenbezogenen Daten strukturiert, nachvollziehbar und praxisorientiert dokumentieren müssen.
Das Paket kombiniert vier professionelle Dokumentvorlagen in Word/PDF mit einem umfassenden Excel-Tool für Screening, Risikobewertung, risikomindernde Maßnahmen, Konsultationen, Artikel-36-Bewertungen sowie laufende Überprüfungen. Insgesamt sind 9 Dateien enthalten.
Das ist enthalten – 9 Dateien
- DPIA / Datenschutz-Folgenabschätzung (DSFA) 2026 – Word (DOCX)
- DPIA / Datenschutz-Folgenabschätzung (DSFA) 2026 – PDF
- DPIA-Screening / Bedarfsanalyse – Word
- DPIA-Screening / Bedarfsanalyse – PDF
- Konsultation, Stellungnahme des DSB & vorherige Konsultation – Word
- Konsultation, Stellungnahme des DSB & vorherige Konsultation – PDF
- DPIA-Überprüfung, Beschluss & Änderungsprotokoll – Word
- DPIA-Überprüfung, Beschluss & Änderungsprotokoll – PDF
- DPIA-Risiko- & Screening-Arbeitswerkzeug – Excel (XLSX)
Wann ist eine DSFA erforderlich?
Gemäß Artikel 35 DSGVO muss der Verantwortliche vor Beginn einer Verarbeitungsart eine Datenschutz-Folgenabschätzung durchführen, wenn die Verarbeitung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt. Dies gilt insbesondere bei umfangreichem Profiling oder automatisierten Entscheidungen mit erheblicher Auswirkung, der großflächigen Verarbeitung sensibler personenbezogener Daten oder Daten über strafrechtliche Verurteilungen sowie bei systematischer großflächiger Überwachung.
Die IMY (schwedische Datenschutzbehörde) hat zudem eine spezielle Liste gemäß Artikel 35 Abs. 4 DSGVO und verwendet die neun Hochrisikokriterien, die in europäischen Datenschutzleitlinien entwickelt wurden. Als Grundregel gilt, dass das Erfüllen von mindestens zwei Kriterien für die Durchführung einer DSFA spricht, wobei in Einzelfällen bereits ein einziges Kriterium ausreichen kann. Die Screening-Vorlage und das Excel-Tool sind darauf ausgelegt, genau diese Bewertung zu dokumentieren.
Screening / Bedarfsanalyse
Die Screening-Vorlage hilft Ihnen, vor Projektbeginn zu dokumentieren, warum eine DSFA erforderlich ist – oder warum sie als nicht verpflichtend erachtet wird. Sie enthält Prüfpunkte für:
- Artikel 35 Abs. 3 DSGVO
- die Artikel-35-Abs.-4-Liste der IMY
- Bewertung und Scoring
- automatisierte Entscheidungen mit erheblicher Auswirkung
- systematische Überwachung
- sensible oder sehr persönliche Daten
- großflächige Verarbeitung
- Zusammenführung von Datensätzen
- schutzbedürftige betroffene Personen
- innovative Nutzung oder neue Technologien, einschließlich KI
- Verarbeitung, die eine Person an der Ausübung eines Rechts oder am Zugang zu Dienstleistungen oder Verträgen hindert
Komplette DSFA gemäß Artikel 35
Die Hauptvorlage ist darauf ausgelegt, die von der DSGVO geforderten und von der IMY in ihren Leitlinien hervorgehobenen Punkte zu dokumentieren. Sie umfasst unter anderem:
- systematische Beschreibung der Verarbeitung und deren Zwecke
- betroffene Personen und Kategorien personenbezogener Daten
- sensible personenbezogene Daten und Artikel-10-Daten
- Systeme, Technologie, KI, Profiling und automatisierte Entscheidungen
- Auftragsverarbeiter und Empfänger
- Drittlandübermittlungen
- Speicherung und Löschung
- Datenfluss und Lebenszyklus
- Rechtsgrundlage
- Bewertung der Notwendigkeit und Verhältnismäßigkeit
- Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Privacy by Design/Default)
- Risiken für die Rechte und Freiheiten des Einzelnen
- risikomindernde technische, organisatorische und juristische Maßnahmen
- verbleibendes Restrisiko
- Entscheidung, ob die Verarbeitung begonnen werden kann
- Notwendigkeit einer vorherigen Konsultation mit der IMY
- Plan für laufende Überprüfungen
Die Risiken betreffen Menschen – nicht das Geschäftsrisiko des Unternehmens
Eine häufige Schwäche bei der Arbeit mit DSFAs ist, dass die Risikoanalyse in Richtung unternehmerischer Risiken abdriftet. Die Vorlage unterscheidet daher ausdrücklich zwischen diesen Bereichen. Das DSFA-Risiko soll sich darauf beziehen, wie die Verarbeitung die Rechte und Freiheiten natürlicher Personen beeinflussen kann, beispielsweise durch Diskriminierung, Identitätsdiebstahl, finanziellen Verlust, Rufschädigung, Verlust der Vertraulichkeit, unbefugte Überwachung, fehlerhaftes Profiling, eingeschränkte Selbstbestimmung oder andere physische, materielle oder immaterielle Schäden.
Excel-Tool mit automatischer Risikoklassifizierung
Die Excel-Datei enthält separate Arbeitsblätter für:
- Dashboard mit Kennzahlen
- DPIA-Screening
- Verarbeitungsbeschreibung
- Notwendigkeit und Verhältnismäßigkeit
- Risikoregister
- Risikomaßnahmen
- Konsultationen und DSB-Beratung
- Überprüfung und Änderungsprotokoll
- Artikel 36 – Unterlagen für die vorherige Konsultation
- Rechtsquellen und Leitlinien
Das Risikoregister berechnet automatisch den Risikowert basierend auf Wahrscheinlichkeit und Schweregrad und zeigt separat das inhärente Risiko und das Restrisiko nach geplanten Maßnahmen an. Dies macht es einfacher zu verfolgen, wie Schutzmaßnahmen das Risikoprofil tatsächlich verändern.
Die Rolle des Datenschutzbeauftragten
Verfügt die Organisation über einen Datenschutzbeauftragten (DSB), ist dieser bei der Durchführung der DSFA zu konsultieren. Der DSB kann unter anderem zu Notwendigkeit, Methodik, Risiken, Schutzmaßnahmen und zur Korrektheit der Bewertung beraten. Die Verantwortung für die Durchführung der DSFA und die getroffenen Entscheidungen liegt jedoch weiterhin beim Verantwortlichen.
Das Paket enthält daher eine separate Vorlage für DSB-Stellungnahmen und Konsultationen, in der Ratschläge, Abweichungen und Nachverfolgungen klar dokumentiert werden können.
Einbeziehung der Betroffenen
Die DSGVO schreibt zudem vor, dass bei Bedarf die Ansichten der betroffenen Personen oder ihrer Vertreter einzuholen sind. Die Konsultationsvorlage enthält daher spezielle Felder für Methode, Teilnehmer, Ansichten, wie diese berücksichtigt wurden und – falls keine Konsultation durchgeführt wird – warum dies nicht zweckmäßig oder möglich war.
Artikel 36 – Vorherige Konsultation mit der IMY
Wenn die DSFA ergibt, dass die Verarbeitung trotz geplanter risikomindernder Maßnahmen weiterhin ein hohes Risiko mit sich bringen würde, muss der Verantwortliche vor Beginn der Verarbeitung eine vorherige Konsultation bei der IMY beantragen. Das Paket enthält sowohl Dokumentenfelder als auch ein spezielles Excel-Blatt, um sicherzustellen, dass die Unterlagen vollständig sind, bevor eine solche Bewertung oder Anfrage vorgenommen wird.
Die DSFA ist ein fortlaufender Prozess
Die Folgenabschätzung sollte nach Projektstart nicht archiviert und vergessen werden. Die IMY beschreibt die DSFA als laufenden Prozess. Eine neue oder aktualisierte Bewertung kann erforderlich sein, wenn sich beispielsweise Zwecke, Datenkategorien, Anzahl der betroffenen Personen, Systeme, KI-Funktionalität, Lieferanten, Empfänger, Drittlandübermittlungen oder Sicherheitsrisiken ändern.
Die separate Vorlage für Überprüfung, Beschluss und Änderungsprotokoll ermöglicht es, diese Änderungen zu dokumentieren und sicherzustellen, dass die tatsächliche Verarbeitung weiterhin der beschlossenen DSFA entspricht.
Besonders geeignet für
- neue IT-Systeme und SaaS-Dienste
- KI und automatisierte Analyse
- Profiling und Scoring
- HR- und Personalsysteme
- Kamera- und Sensorlösungen
- Gesundheitsdaten und andere sensible personenbezogene Daten
- großflächige Kunden- und Benutzerdatenbanken
- Zusammenführung verschiedener Datenquellen
- neue Cloud-Anbieter oder Drittlandübermittlungen
- Verarbeitung von Daten von Kindern oder anderen schutzbedürftigen Gruppen
Rechtsgrundlage
Das Paket wurde rechtlich zum 3. Oktober 2026 geprüft und basiert unter anderem auf:
- Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Artikel 5, 6, 9, 10, 25, 32, 35, 36 und 39
- Leitlinien der IMY zur Folgenabschätzung und praktischen Anleitung
- Liste der IMY gemäß Artikel 35 Abs. 4 DSGVO
- Leitlinien des EDSA/WP29 zur Datenschutz-Folgenabschätzung, WP248 rev.01
Der EDSA stellte 2026 einen neuen Vorschlag für eine gemeinsame europäische DSFA-Vorlage zur öffentlichen Konsultation vor. Dieses Produkt ist jedoch nicht von diesem noch nicht abgeschlossenen Konsultationsentwurf abhängig, sondern basiert primär auf der geltenden DSGVO und den aktuellen schwedischen Leitlinien der IMY.
Bitte beachten
Die Vorlagen sind allgemeine Compliance-Grundlagen. Sie ersetzen keine tatsächliche Analyse der geplanten Verarbeitung oder individuelle Rechtsberatung. Eine korrekte DSFA muss auf realen Systemen, Datenflüssen, Zwecken, Lieferanten, betroffenen Personen, Risiken und Schutzmaßnahmen basieren. Spezielle sektorspezifische Regelungen sind gegebenenfalls ebenfalls zu berücksichtigen.
Format: Word (DOCX) + PDF + Excel (XLSX)
Sprache: Schwedisch
Rechtsraum: Schweden / EU
Anzahl der Dateien: 9
Version: 1.0 – 03.10.2026
