Datenschutz-Folgenabschätzung oder NIS2-Risikoanalyse? 10 Prüfpunkte im Abgleich — und warum die DSFA das Restrisiko anders misst

Kurz gesagt: Eine Datenschutz-Folgenabschätzung (DSFA) ersetzt die Risikoanalyse nach § 30 BSIG nicht. Sie liefert Bausteine, mehr nicht. Das zeigt schon eine Wortzählung, die wir für diesen Beitrag über die amtlichen Volltexte laufen ließen: „Datenschutz-Folgenabschätzung“ kommt im BSIG, in der NIS-2-Richtlinie und in der Durchführungsverordnung (EU) 2024/2690 kein einziges Mal vor. Umgekehrt enthält die DSGVO weder das Wort „Restrisiko“ noch „Risikobereitschaft“ — genau die beiden Begriffe, auf die eine NIS2-Risikoanalyse am Ende hinausläuft.

Wer bereits DSFAs führt, fängt trotzdem nicht bei null an. Dieser Beitrag legt die zehn Prüfpunkte aus Anhang Nummer 2.1.2 der Durchführungsverordnung neben Art. 35 DSGVO, zeigt die Stelle, an der beide Verfahren unterschiedlich rechnen, und erklärt, warum manche NIS2-Maßnahme selbst eine DSFA auslöst. Den Gesamtüberblick über beide Regelwerke finden Sie im Leitfaden NIS2 und DSGVO: Wie beide Vorschriften zusammenwirken.

Wer muss was? DSFA, § 30 BSIG und Durchführungsverordnung im Überblick

In Kurzform: Die DSFA ist anlassbezogen und trifft jeden Verantwortlichen, der personenbezogene Daten verarbeitet. Die NIS2-Risikoanalyse ist eine Daueraufgabe, trifft aber nur besonders wichtige und wichtige Einrichtungen.

Pflicht	Wen sie trifft	Auslöser	Gegenstand	Wiederholung
DSFA nach Art. 35 DSGVO	jeden Verantwortlichen	eine Verarbeitung mit „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“; Regelfälle in Abs. 3, Muss-Liste der Aufsicht nach Abs. 4	einzelne Verarbeitungsvorgänge; ähnliche Vorgänge mit ähnlichen Risiken dürfen gebündelt werden	vorab; Überprüfung „erforderlichenfalls“, zumindest bei Risikoänderungen (Abs. 11)
Risikoanalyse nach § 30 BSIG	besonders wichtige und wichtige Einrichtungen	immer — Abs. 2 Nr. 1 verlangt „Konzepte in Bezug auf die Risikoanalyse“	die informationstechnischen Systeme, Komponenten und Prozesse, „die sie für die Erbringung ihrer Dienste nutzen“	das Gesetz nennt keinen Rhythmus
Risikomanagementrahmen nach Anhang Nummer 2.1 der Durchführungsverordnung (EU) 2024/2690	elf Einrichtungsarten, die § 30 Abs. 3 BSIG aufzählt — u. a. Cloud-Anbieter, Rechenzentren, Managed (Security) Service Provider, DNS-Dienste, Online-Marktplätze	immer	Risiken für die Sicherheit von Netz- und Informationssystemen	„mindestens jährlich“ sowie bei wesentlichen Änderungen oder erheblichen Sicherheitsvorfällen (Nr. 2.1.4)

Für die meisten deutschen Einrichtungen ist die Durchführungsverordnung also nicht unmittelbar verbindlich. Sie ist aber der ausführlichste amtliche Text dazu, woraus ein Risikomanagementverfahren besteht — deshalb dient sie in diesem Beitrag als Prüfraster. Wie Sie § 30 BSIG Schritt für Schritt umsetzen, steht im Leitfaden zur NIS2-Risikobewertung für KMU.

Brauchen Sie beides? Drei Fragen klären es:

1. Ist Ihr Unternehmen eine besonders wichtige oder wichtige Einrichtung? Wenn nein, entfällt die NIS2-Risikoanalyse — die DSFA-Prüfung nach Art. 35 bleibt. Ob Sie betroffen sind, klärt die NIS2-Betroffenheitsprüfung.
2. Wenn ja, ist die Risikoanalyse nach § 30 Pflicht — ganz gleich, ob und wie viele personenbezogene Daten Sie verarbeiten.
3. Gibt es Verarbeitungen, die unter Art. 35 Abs. 3 oder die Muss-Liste fallen, oder schafft eine Ihrer Sicherheitsmaßnahmen eine solche Verarbeitung? Dann brauchen Sie zusätzlich eine DSFA, und zwar je Verarbeitung.

Zwei Analysen, zwei Schutzgüter

In Kurzform: Die DSFA fragt, was einer Person passieren kann. Die NIS2-Risikoanalyse fragt, was dem Dienst passieren kann.

Art. 35 Abs. 1 DSGVO misst das Risiko an den „Rechten und Freiheiten natürlicher Personen“. Die NIS-2-Richtlinie definiert Risiko in Art. 6 Nr. 9 dagegen als „Potenzial für Verluste oder Störungen, die durch einen Sicherheitsvorfall verursacht werden“. Bezugspunkt ist der Sicherheitsvorfall, nicht die betroffene Person. Die Datenschutzaufsicht sieht das genauso: Die DSFA-Leitlinien WP 248 der Art.-29-Datenschutzgruppe beschreiben die DSFA als Instrument für Risiken der Betroffenen und halten fest, dass in der Informationssicherheit „der Schwerpunkt des Risikomanagements auf der Organisation“ liegt.

Der Unterschied wird konkret, sobald Sie die Schutzziele nebeneinanderlegen. Das Standard-Datenschutzmodell (SDM) 3.1, die Methode der deutschen Datenschutzaufsichtsbehörden, arbeitet mit sieben Gewährleistungszielen. Die NIS2-Texte kennen drei oder vier:

Ziel	SDM 3.1 (DSK)	§ 30 Abs. 1 BSIG	DVO Nr. 2.1.2 d / RL Art. 6 Nr. 2
Verfügbarkeit	ja	ja	ja
Integrität	ja	ja	ja
Vertraulichkeit	ja	ja	ja
Authentizität	—	—	ja
Datenminimierung	ja	—	—
Nichtverkettung	ja	—	—
Transparenz	ja	—	—
Intervenierbarkeit	ja	—	—

Daraus folgen zwei Lücken, die eine DSFA nicht schließen kann. Erstens die Authentizität — ob ein Nutzer, eine Nachricht oder ein Datensatz wirklich von dem stammt, der er zu sein vorgibt. Sie ist kein Gewährleistungsziel des SDM; im gesamten BSIG steht das Wort genau einmal, bei den kritischen Komponenten, nicht in § 30. Die Durchführungsverordnung verlangt sie in Nummer 2.1.2 Buchstabe d ausdrücklich.

Zweitens, und in der Praxis schwerer: Eine DSFA erfasst nur Verarbeitungen personenbezogener Daten. Die Steuerung einer Produktionslinie, die keine Personendaten kennt, taucht in keiner DSFA auf. Für § 30 BSIG ist sie Pflichtgegenstand, sobald der Dienst von ihr abhängt. Die Lücke läuft auch in die Gegenrichtung: Eine Verarbeitung kann für Betroffene hochriskant sein und für den Betrieb völlig unkritisch. Das SDM empfiehlt für den Fall, dass Grundschutz- und SDM-Bewertung derselben Verarbeitung auseinanderlaufen, die Maßnahmen für den höheren Schutzbedarf umzusetzen oder die Abweichung zu analysieren und zu dokumentieren — „Die datenschutzrechtlichen Anforderungen sind maßgeblich.“

Die zehn Prüfpunkte der Durchführungsverordnung im Abgleich

In Kurzform: Für neun der zehn Pflichtelemente aus Nummer 2.1.2 liefert eine sauber geführte DSFA verwertbares Material, für eines gar nichts. Fertig ist keines davon.

Als Vergleichsmaßstab dient neben Art. 35 Abs. 7 DSGVO der Explainer zum DSFA-Muster des Europäischen Datenschutzausschusses (Version 1.0 vom 10. März 2026), weil er beschreibt, was eine DSFA heute praktisch enthält. Die Aufwandsspalte ist eine eigene Einschätzung für ein Unternehmen mit bestehender DSFA-Praxis.

Nr. 2.1.2	Anforderung (Kurzfassung)	Was die DSFA liefert	Was fehlt	Aufwand
a	eine Risikomanagementmethodik befolgen	eine Methode nach Wahl; das EDSA-Muster fragt nach Wahrscheinlichkeits- und Schwerestufen, Priorisierung und Akzeptanzniveaus (Explainer 4.1.2)	der Gegenstand: Systeme und Dienste statt Betroffene	niedrig
b	Risikotoleranzschwelle „im Einklang mit der Risikobereitschaft“ der Einrichtung	nichts — Akzeptanzniveaus der DSFA bemessen sich am Schaden für Betroffene	eine Schwelle aus Sicht des Unternehmens	mittel
c	Risikokriterien einführen und pflegen	Schwere und Eintrittswahrscheinlichkeit für Betroffene	Kriterien für Betriebsstörungen und finanzielle Verluste, wie sie § 2 Nr. 11 BSIG für erhebliche Vorfälle nennt	mittel
d	Risiken gefahrenübergreifend ermitteln — inkl. Dritter, Authentizität, punktueller Ausfälle	Risiken je Verarbeitung, inklusive Bedrohungen wie Innentäter oder Ransomware	alle Systeme ohne Personenbezug, Authentizität, physische und umweltbedingte Gefahren, Single Points of Failure	hoch
e	analysieren: Bedrohungsniveau, Wahrscheinlichkeit, Auswirkung, Cyberbedrohungen und Schwachstellen	Risiko als Wahrscheinlichkeit × Schwere (Explainer 4.1.3)	laufende Einbindung von Bedrohungs- und Schwachstelleninformationen	mittel
f	Risiken anhand der Kriterien bewerten	Einstufung des inhärenten Risikos	Bewertung gegen die Kriterien aus c	niedrig
g	Behandlungsoptionen und -maßnahmen bestimmen	Abhilfemaßnahmen nach Art. 35 Abs. 7 Buchst. d	Maßnahmen ohne Datenschutzbezug	niedrig
h	Umsetzung fortlaufend überwachen	Überprüfung bei Risikoänderung (Art. 35 Abs. 11)	fortlaufende statt anlassbezogene Überwachung	mittel
i	Verantwortliche und Zeitpunkte festlegen	Maßnahmenplan mit „responsible team, timelines“ (Explainer 4.2.3)	Ausdehnung auf alle Behandlungsmaßnahmen	niedrig
j	Risikobehandlungsplan; Gründe für Restrisiken „umfassend erläutern“	Bewertung der Restrisiken (Explainer 4.2.2)	Begründung aus Sicht der Einrichtung und Akzeptanz durch die Leitungsorgane (Nr. 2.1.1)	mittel

Die Bilanz: Die DSFA ist ein guter Steinbruch für Methode, Maßnahmenplanung und Zuständigkeiten. Ihr fehlen alle Systeme ohne Personenbezug und die Risikotoleranzschwelle der Einrichtung. Wie sich die zehn Punkte methodisch mit einer Norm füllen lassen, zeigt das Kapitel-Mapping im Beitrag ISO 27005 und NIS2.

Wo die DSFA aufhört zu zählen: das Restrisiko

Hier liegt der eigentliche Konflikt. Nummer 2.1.2 Buchstabe b verlangt eine Risikotoleranzschwelle „im Einklang mit der Risikobereitschaft der betreffenden Einrichtungen“, und nach Nummer 2.1.1 akzeptieren die Leitungsorgane die Ergebnisse der Risikobewertung und die Restrisiken. Maßstab ist also, was das Unternehmen zu tragen bereit ist.

Wie weit das gehen darf, zeigt die Umsetzungsleitlinie der ENISA (Version 1.0, Juni 2025). Als Beispiele für Akzeptanzkriterien nennt sie unter anderem, Risiken mit geringer Eintrittswahrscheinlichkeit hinzunehmen oder Risiken zu akzeptieren, wenn die Minderung mehr kostet als der mögliche Schaden.

Im Datenschutz geht diese Rechnung nicht auf. Das SDM formuliert es ausdrücklich: Die aus der Informationssicherheit bekannten „Instrumente der Risikoakzeptanz oder des Risikotransfers stehen im datenschutzrechtlichen Kontext dem Verantwortlichen nicht zur Verfügung“. Restrisiken dürfen erst akzeptiert werden, wenn ein angemessenes Schutzniveau erreicht ist. Der EDSA-Explainer ergänzt, dass ein Risiko als nicht akzeptabel gelten kann, wenn die mögliche Schwere sehr hoch ist, „even when its likelihood of occurring is low“. Bleibt ein hohes Restrisiko, ist der nächste Schritt keine Unterschrift der Geschäftsführung, sondern die vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO. Die Behörde hat dafür bis zu acht Wochen, verlängerbar um sechs.

Ein Beispiel, an dem beide Logiken auseinanderlaufen: Ein Altsystem der Personalabteilung hat eine bekannte, nicht behobene Schwachstelle; der Austausch ist fürs nächste Geschäftsjahr geplant. Nach der NIS2-Logik kann die Leitung dieses Restrisiko befristet akzeptieren, wenn es unter der Toleranzschwelle liegt und die Gründe im Risikobehandlungsplan umfassend erläutert sind. WP 248 nennt genau diese Lage — „eine bekannte Sicherheitslücke nicht behoben“ — als Beispiel dafür, dass der Eintritt eines Risikos unausweichlich erscheint, und damit als Fall eines unzulässig hohen Restrisikos, der zur Konsultation der Aufsichtsbehörde führt.

In einem Register mit nur einer Akzeptanzspalte fällt dieser Unterschied nicht auf: Dort steht ein Restrisiko, das personenbezogene Daten betrifft, als „akzeptiert“, ohne dass ein Datenschutzbeauftragter gefragt wurde. NIS2-seitig ist das sauber. Datenschutzrechtlich ist es eine offene Flanke. Prüfen Sie deshalb für jedes akzeptierte Restrisiko, ob es eine DSFA-pflichtige Verarbeitung berührt und ob es dort als hoch gilt.

Die Gegenrichtung: NIS2-Maßnahmen, die selbst eine DSFA auslösen

In Kurzform: Die NIS2-Risikoanalyse entscheidet, was überwacht und protokolliert wird — und genau diese Überwachung kann DSFA-pflichtig sein.

Die Verbindung steht im Verordnungstext: Nach Nummer 3.2.3 erstellen die Einrichtungen die Liste der protokollierten Anlagen und Werte „auf der Grundlage der Ergebnisse der gemäß Nummer 2.1 durchgeführten Risikobewertung“. Die Protokolle sollen unter anderem Nutzerverwaltung, Zugriffe und Authentifizierungsereignisse enthalten — also Daten über Beschäftigte. ENISA rät in den Tipps zu Nummer 3.2.7, personenbezogene Daten in Protokollen nicht unnötig zu verarbeiten und, „when required“, nach einer Datenschutz-Folgenabschätzung zusätzliche Schutzmaßnahmen einzuziehen. Das ist die einzige Stelle, an der die 170-seitige Leitlinie eine DSFA erwähnt.

NIS2-Maßnahme	Fundstelle	DSFA-Bezug
Protokollierung und Angriffserkennung mit SIEM	DVO Nr. 3.2.1 bis 3.2.3	ENISA-Tipp zu Nr. 3.2.7: DSFA „when required“; bei Auswertung des Beschäftigtenverhaltens Muss-Liste Nr. 8 prüfen
Data-Loss-Prevention	keine eigene DVO-Nummer; in der Praxis Teil der Maßnahmen nach § 30 Abs. 2 BSIG	Muss-Liste Nr. 8: DLP-Systeme, „die systematische Profile der Mitarbeiter erzeugen“ — DSFA erforderlich
Biometrische Zutrittskontrolle	DVO Nr. 13.3.2 b	Muss-Liste Nr. 1: Biometrie zur eindeutigen Identifizierung, wenn mindestens ein weiteres WP-248-Kriterium zutrifft
Kontinuierliche Überwachung der Räumlichkeiten, etwa per Video	DVO Nr. 13.3.2 d	SDM nennt Videoüberwachung zur Objektsicherung als Sicherheitsmaßnahme, die selbst datenschutzkonform eingerichtet sein muss; bei öffentlich zugänglichen Bereichen Art. 35 Abs. 3 Buchst. c

Die Muss-Liste der Datenschutzkonferenz (Version 1.1 vom 17. Oktober 2018) nennt beim DLP-Eintrag als Beispiel die zentrale Aufzeichnung von Internetverkehr, Mailverkehr und Wechselmedien-Nutzung am Arbeitsplatz. Das deckt sich mit Maßnahmen gegen Datenabfluss, die Unternehmen im Rahmen ihrer NIS2-Umsetzung einführen können. Das SDM ordnet solche Fälle als eigenen Risikotyp ein: Maßnahmen der Informationssicherheit, die nicht datenschutzgerecht betrieben werden.

Bei Beschäftigtendaten kommt in Betrieben mit Betriebsrat ein dritter Prüfpunkt hinzu: § 87 Abs. 1 Nr. 6 BetrVG gibt ihm ein Mitbestimmungsrecht bei technischen Einrichtungen, „die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Planen Sie die DSFA-Vorprüfung deshalb im selben Projektschritt wie die Maßnahme selbst, nicht erst beim Rollout. Hinweise zur Zutrittsseite finden Sie im Beitrag zur physischen Sicherheit und Zutrittskontrolle.

So verbinden Sie beide Analysen ohne doppelte Arbeit

In Kurzform: ein Register, zwei Bewertungsspalten, eine zweistufige Freigabe.

1. Verzeichnisse verknüpfen (Aufwand: niedrig). Legen Sie das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO neben Ihre Asset-Liste und ordnen Sie jeder Verarbeitung die Systeme zu, auf denen sie läuft. Was übrig bleibt — Systeme ohne zugeordnete Verarbeitung —, ist die Liste, die Ihre DSFAs nie gesehen haben.
2. Zwei Schadensspalten im Register (Aufwand: mittel). Bewerten Sie jedes Risiko einmal für den Dienst und die Einrichtung, einmal für die Betroffenen. Die höhere Einstufung bestimmt die Maßnahme — die erste der beiden Optionen, die das SDM für abweichende Schutzbedarfe nennt.
3. Zweistufige Restrisiko-Freigabe (Aufwand: mittel). Die Leitung zeichnet Restrisiken nach Nummer 2.1.1 nur ab, wenn die Datenschutzspalte nicht „hoch“ zeigt. Andernfalls holen Sie den Rat des Datenschutzbeauftragten ein und prüfen Art. 36.
4. DSFA-Vorprüfung als Pflichtschritt (Aufwand: niedrig). Jede neue Überwachungs-, Protokollierungs- oder Zutrittsmaßnahme aus dem Behandlungsplan läuft durch die Kriterien aus Art. 35 Abs. 3 und der Muss-Liste.
5. Ein gemeinsamer Takt (Aufwand: niedrig). Die Durchführungsverordnung verlangt eine Überprüfung mindestens jährlich, Art. 35 Abs. 11 eine Überprüfung bei Risikoänderungen. Ein jährlicher Review plus anlassbezogene Prüfung deckt beides ab.

Rolle	NIS2-Risikoanalyse	DSFA
Geschäftsleitung	muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG); akzeptiert Restrisiken (DVO Nr. 2.1.1)	entscheidet für den Verantwortlichen über Durchführung (Art. 35 Abs. 1) und Konsultation (Art. 36)
ISB / CISO	führt Methodik, Register und Behandlungsplan	kann laut WP 248 eine DSFA vorschlagen und bei der Frage helfen, ob das Restrisiko hinnehmbar ist
Datenschutzbeauftragter	in § 30 BSIG nicht genannt; Beteiligung bei datenbezogenen Risiken empfehlenswert	sein Rat ist einzuholen (Art. 35 Abs. 2)
Fachbereich	liefert Dienst- und Auswirkungsdaten	beschreibt Verarbeitung und Zwecke (Art. 35 Abs. 7 Buchst. a)

Für die Geschäftsführung im Mittelstand: Ihre Unterschrift unter die Restrisiko-Akzeptanz ist NIS2-seitig vorgesehen. Eine Konsultation der Datenschutzaufsicht ersetzt sie nicht. Lassen Sie sich vor jeder Freigabe bestätigen, dass kein hoch eingestuftes Datenschutzrisiko darunter ist.

Für CISO und ISB: Nutzen Sie vorhandene DSFAs als Input für die Risikokriterien und das Register, aber nicht als Ersatz für Buchstabe d. Authentizität und Systeme ohne Personenbezug müssen Sie selbst ergänzen.

Für Datenschutzbeauftragte: Die Protokollierungsliste nach Nummer 3.2.3 und der Risikobehandlungsplan sind Ihre beste Frühwarnliste für neue DSFA-Fälle. Fordern Sie beide an, bevor neue Maßnahmen live gehen.

Was bei Lücken droht, regeln zwei getrennte Bußgeldregime:

Lücke	Norm	Höchstrahmen
Risikomanagementmaßnahme nicht ergriffen	§ 65 Abs. 2 Nr. 2 i. V. m. § 30 Abs. 1 Satz 1 BSIG	10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen); bei mehr als 500 Mio. € Umsatz bis 2 % bzw. 1,4 % des Gesamtumsatzes
Einhaltung nicht dokumentiert	§ 65 Abs. 2 Nr. 3 i. V. m. § 30 Abs. 1 Satz 3 BSIG	wie oben
Pflichtige DSFA unterlassen	Art. 35 i. V. m. Art. 83 Abs. 4 Buchst. a DSGVO	10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist

Häufig gestellte Fragen

Kann ich das DSFA-Muster des EDSA für die NIS2-Risikoanalyse verwenden?
Als Gliederung für Methode, Maßnahmenplan und Zuständigkeiten ja. Der EDSA betont, dass das Muster nicht verpflichtend ist und jede DSFA-Methodik zulässt; es lief bis 9. Juni 2026 in der öffentlichen Konsultation. Eine Risikotoleranzschwelle nach der Risikobereitschaft des Unternehmens und Systeme ohne Personenbezug sieht es nicht vor — seine Akzeptanzniveaus beziehen sich auf die Rechte der Betroffenen.

Ist die Muss-Liste der Datenschutzkonferenz abschließend?
Nein. Sie konkretisiert Art. 35 Abs. 4, ersetzt aber nicht die Prüfung nach Absatz 1. Eine Verarbeitung, die nicht auf der Liste steht, kann trotzdem DSFA-pflichtig sein.

Muss der Datenschutzbeauftragte an der NIS2-Risikoanalyse beteiligt werden?
§ 30 BSIG sieht das nicht vor. Sobald ein akzeptiertes Restrisiko personenbezogene Daten berührt, ist seine Beteiligung aber praktisch geboten, weil dort die Abwägung nach Art. 35 und 36 DSGVO anknüpft.

Drohen für dasselbe Versäumnis zwei Bußgelder?
Nicht für dasselbe Verhalten. Hat die Datenschutzaufsicht nach Art. 58 Abs. 2 Buchst. i DSGVO ein Bußgeld verhängt, darf nach § 65 Abs. 11 BSIG für einen Verstoß, der sich aus demselben Verhalten ergibt, keine weitere Geldbuße nach dem BSIG folgen. Für getrennte Versäumnisse — fehlende DSFA hier, fehlende Risikoanalyse dort — greift die Regel nach ihrem Wortlaut nicht.

Fazit

Die DSFA zählt für die NIS2-Risikoanalyse genau so weit, wie sich Methode, Maßnahmenplan und Zuständigkeiten übertragen lassen. Sie hört auf zu zählen bei allem, was keine personenbezogenen Daten verarbeitet, bei der Authentizität und vor allem beim Restrisiko: NIS2 misst es an der Risikobereitschaft des Unternehmens, der Datenschutz am Schaden der Betroffenen. Der praktische erste Schritt ist deshalb nicht eine neue Analyse, sondern eine zweite Spalte im bestehenden Register — und eine Freigaberegel, die beide Spalten liest.

Dieser Beitrag bietet allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Einrichtungsart und Bundesland abweichen. Für eine auf Ihre Situation zugeschnittene Beurteilung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder an eine Compliance-Fachkraft.

Quellen

1. Art. 35 DSGVO — Datenschutz-Folgenabschätzung, dsgvo-gesetz.de — Absätze 1, 2, 3, 4, 7 und 11.
2. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), deutsche Fassung, EUR-Lex — Art. 30, 36 und 83 Abs. 4 Buchst. a. Wortzählung über den Volltext: „Restrisik“, „Toleranz“, „Risikobereitschaft“ und „akzeptier“ jeweils 0 Treffer.
3. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de — Absatz 1 Satz 1 und 3, Absatz 2 Nummer 1, Absatz 3. Wortzählung über den BSIG-Volltext: „Folgenabschätzung“ 0, „Authentizität“ 1 Treffer.
4. § 2 BSIG — Begriffsbestimmungen, gesetze-im-internet.de — Nummern 11, 39 und 40.
5. § 65 BSIG — Bußgeldvorschriften, gesetze-im-internet.de — Absatz 2 Nummern 2 und 3, Absätze 5 bis 7 und 11.
6. § 38 BSIG — Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, gesetze-im-internet.de — Absatz 1.
7. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, deutsche Fassung, EUR-Lex — Anhang Nummern 2.1.1 bis 2.1.4, 3.2.1 bis 3.2.3 und 13.3.2. Wortzählung: „Folgenabschätzung“ 0, „2016/679“ 0 Treffer.
8. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), deutsche Fassung, EUR-Lex — Art. 6 Nummern 2 und 9, Art. 35.
9. Das Standard-Datenschutzmodell, Version 3.1, beschlossen von der 107. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder am 14. Mai 2024 — Gewährleistungsziele (S. 10), Kapitel D3.1 (S. 50), D3.2.2 (S. 53), D3.3 (S. 55).
10. Datenschutzkonferenz: Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (nicht-öffentlicher Bereich), Version 1.1 vom 17.10.2018 — Nummern 1 und 8.
11. Art.-29-Datenschutzgruppe: Leitlinien zur Datenschutz-Folgenabschätzung (DSFA), WP 248 Rev. 01, zuletzt überarbeitet am 4. Oktober 2017 — Anmerkung zu den Bestandteilen der DSFA und Abschnitt E (hohe Restrisiken).
12. Europäischer Datenschutzausschuss: „Enhancing compliance and consistency: EDPB adopts DPIA template“, Pressemitteilung vom 14. April 2026.
13. Europäischer Datenschutzausschuss: DPIA-Muster, Explainer Version 1.0, angenommen am 10. März 2026 (Konsultationsfassung) — Abschnitte 4.1.2, 4.1.3, 4.2.2, 4.2.3 und Fußnote 9.
14. ENISA: Technical Implementation Guidance on Cybersecurity Risk Management Measures, Version 1.0, Juni 2025 — Leitfaden zu Anhang Nummer 2.1.2 und Tipps zu Nummer 3.2.7.
15. § 87 BetrVG — Mitbestimmungsrechte, gesetze-im-internet.de — Absatz 1 Nummer 6.