Nachrichten der Woche

EDSA möchte DSFA vereinheitlichen

Von Jonas HerrmannVeröffentlicht am
Lesezeit:-Wörter

Mit einer Mitteilung vom 14. April 2026 nahm der Europäische Datenschutzausschuss (EDSA) eine Vorlage für Datenschutz-Folgenabschätzungen (DSFA) an. Damit adressiert der EDSA ein Instrument der Datenschutz-Grundverordnung (DSGVO), das in der Praxis häufig als technisch und dokumentationsintensiv wahrgenommen wird, rechtlich aber erhebliche Bedeutung hat. Nach Darstellung des Ausschusses soll die neue Vorlage Organisationen dabei unterstützen, ihre Berichtsprozesse zu strukturieren, zu harmonisieren und nachweisbar zu dokumentieren. Der EDSA knüpft damit ausdrücklich an sein Ziel an, die Einhaltung der DSGVO zu erleichtern und innerhalb Europas zu vereinheitlichen.


Eine DSFA ist gemäß Art. 35 DSGVO immer dann erforderlich, wenn eine Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Sie dient dazu, eine geplante Verarbeitung systematisch zu beschreiben, deren Erforderlichkeit und Angemessenheit zu bewerten sowie Risiken für betroffene Personen zu erkennen und zu verringern. Die praktische Bedeutung einer DSFA lässt sich nicht zuletzt daran erkennen, dass Verantwortliche vielfach auf alternativlose Softwarelösungen setzen (müssen), die z. B. einen transatlantischen Datentransfer nach sich ziehen. Der mittels DSFA aufgearbeitete Fokus liegt dabei regelmäßig auf der Reduzierung der zuvor dokumentierten Risiken.

Bereits diese Funktion zeigt, dass die Datenschutz-Folgenabschätzung nicht bloß ein internes Verwaltungsformular ist, sondern ein zentrales Rechenschafts- und Steuerungsinstrument des Datenschutzrechts. Die nun durch den EDSA veröffentlichte Vorlage soll Organisationen Schritt für Schritt durch diesen Prozess begleiten.

Bemerkenswert ist dabei der regulatorische Zuschnitt des Vorhabens. Der EDSA gibt keine verpflichtende Methode für die Risikoanalyse und das Risikomanagement vor. Verantwortliche können ihre Prozesse weiterhin nach der von ihnen gewählten Methodik ausgestalten. Die Vorlage ist also nicht verbindlich. Ihr praktischer Mehrwert liegt vielmehr darin, dass sie mit vordefinierten Feldern arbeitet, die vollständige und strukturierte Antworten erleichtern sollen.

Es bleibt daher zu hoffen, dass sich mittels der Vorlage die notwendigen Informationen konsistent erfassen, Fehler reduzieren, Zeit einsparen und ein praktisch handhabbares Arbeitsmittel geschaffen wurde. Für die Praxis ist das bedeutsam, da gerade Datenschutz-Folgenabschätzungen häufig an unklaren Strukturen, uneinheitlichen Prüftiefen, lückenhafter Dokumentation und fehlendem Verständnis und Mitwirkung durch das Personal der Organisationen scheitern.

Hinzu kommt, dass die Vorlage durch ein erläuterndes Begleitdokument ergänzt wird. Dieses soll die wirksame Nutzung der Vorlage erleichtern, indem es zentrale Begriffe in knapper und verständlicher Form erläutert sowie mögliche Fragen und Wissenslücken bei Verantwortlichen adressiert. Gerade dieser Punkt ist aus juristisch-informationstechnischer Sicht interessant: Der EDSA reagiert nicht nur auf materiell-rechtliche Anforderungen, sondern auch auf ein Umsetzungsproblem. Datenschutzrechtliche Pflichten werden häufig nicht deshalb unzureichend umgesetzt, weil ihre Zielrichtung unklar wäre, sondern weil ihre Operationalisierung im Organisationsalltag schwierig ist. Das Begleitdokument könnte daher als Versuch zu lesen sein, die Schwelle zwischen Normtext und tatsächlicher Compliance zu senken.


Bis zum 9. Juni 2026 soll die Vorlage einer öffentlichen Konsultation unterzogen werden. Interessenträger erhalten dadurch Gelegenheit, Rückmeldungen und Anmerkungen einzubringen. Nach Abschluss dieser Konsultation sollen alle Datenschutzaufsichtsbehörden die erforderlichen Schritte einleiten, um die Vorlage entweder als alleinigen Standard oder als „Meta-Vorlage“ zu übernehmen, an der sich nationale Muster orientieren. Darin liegt die eigentliche Tragweite der Mitteilung: Der EDSA schafft kein unmittelbar verbindliches Recht, wohl aber ein Instrument, das die künftige Praxis der Datenschutz-Folgenabschätzung europaweit prägen kann. Es geht nicht nur um ein neues Formular, sondern um die Frage, wie Datenschutzaufsichten innerhalb der Europäischen Union zu einer stärker vereinheitlichten Verwaltungspraxis gelangen können, ohne den Mitgliedstaaten jede methodische Eigenständigkeit zu nehmen. Genau an dieser Stelle setzt die angekündigte weitere Vorgehensweise an.

Für Organisationen, Rechtsanwälte, Berater/-innen und Datenschutzbeauftragte dürfte dies ein klares Signal darstellen: Datenschutz-Folgenabschätzungen sollten künftig nicht nur materiell tragfähig sein, sondern auch formal besser vergleichbar, nachvollziehbarer und konsistenter werden.

Quellen: