So funktioniert dieser Skill
- Angaben eintragenVerarbeitung, Datenarten, Betroffenenkreis, Zweck, Automatisierungsgrad, Systeme und Dienstleister oben ausfüllen
- Verarbeitung dokumentierenArt, Umfang, Kontext, Datenarten, Empfänger und Rechtsgrundlage systematisch erfassen
- DSFA-Pflicht belegenAn den Kriterien des Art. 35 zeigen, warum die Abschätzung überhaupt nötig ist
- Verhältnismäßigkeit wägenMildere Mittel prüfen und abklopfen, ob eine automatisierte Entscheidung nach Art. 22 vorliegt
- Risiken sammelnGefahren für Rechte und Freiheiten der Betroffenen benennen, nicht die des Unternehmens
- Risiken einstufenJedes Risiko nach Eintrittswahrscheinlichkeit und Schwere in eine Matrix setzen
- Bestehende TOM prüfenWas schon da ist, den Risiken zuordnen und die verbleibende Lücke benennen
- Maßnahmen empfehlenVorrangige und begleitende Schutzmaßnahmen, jeweils mit der Angabe, worauf sie wirken
- Restrisiko und EmpfehlungRisiko nach Maßnahmen neu bewerten, Freigabe, Anpassung oder Konsultation aussprechen
- DSFA-EntwurfAcht Abschnitte von der Verarbeitungsbeschreibung bis zur Empfehlung, mit offenen Punkten
- Vom DSB prüfen lassenEntwurf freigeben lassen und die Maßnahmen mit Frist und Zuständigkeit hinterlegen
Prompt zum Kopieren
Trag deine Angaben ein oder klick auf einen Namen im Text. Alles bleibt in deinem Browser — wir sehen und speichern es nicht.
Was der Skill genau macht
Eine Datenschutz-Folgenabschätzung ist keine Kür: Sobald eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen bedeutet, verlangt Art. 35 DSGVO sie — bei Profiling, Scoring, Videoüberwachung und beim Einsatz von KI ist das der Regelfall. Wer ohne DSFA startet, hat kein Formularproblem, sondern ein Vorhaben, das im Zweifel wieder abgeschaltet werden muss.
Der Skill nimmt acht Angaben — Verarbeitungstätigkeit, Datenarten, Betroffenenkreis, Zweck, Systeme, Dienstleister, bestehende Schutzmaßnahmen und Rechtsgrundlage — und schreibt daraus den vollständigen Entwurf: von der systematischen Verarbeitungsbeschreibung über die Prüfung der Verhältnismäßigkeit zu einer Risikoliste, in der jedes Risiko nach Eintrittswahrscheinlichkeit und Schwere eingestuft ist. Dazu die technischen und organisatorischen Maßnahmen, das verbleibende Restrisiko und eine Empfehlung: freigeben, nachbessern oder die Aufsichtsbehörde konsultieren.
Gedacht für alle, die eine DSFA vorbereiten, aber nicht verantworten: Projektleitungen, IT, Personal, Fachbereiche. Der Entwurf ist eine Arbeitsgrundlage und keine Rechtsberatung. Bewerten muss ihn der Datenschutzbeauftragte, und die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO bleibt beim Verantwortlichen — der Skill spart die Vorarbeit, nicht die Prüfung.
So arbeitest du damit
- Angaben oben ausfüllen und Prompt kopieren —deine Angaben setzen sich beim Kopieren mit ein. Den Prompt selbst kannst du dabei frei ändern — kürzen, ergänzen, umschreiben.
- In dein Tool der Wahl einsetzen.
- Kopiere den Skill-Text oben über den Kopieren-Button.
- Klicke auf dein Profilbild und wähle „Skills“.
- Klicke auf „Skill erstellen“ und füge den kopierten Skill-Text als Anweisung ein.
- Passe bei Bedarf Eingaben, Ausgaben und das gewünschte Format an.
- Speichere den Skill — er ist sofort in allen Chats verfügbar.
- Den Entwurf gegen eure Wirklichkeit lesen: Datenarten, Systeme und Fristen stehen so darin, wie du sie eingetragen hast — Risiken und Maßnahmen sind Vorschlag. Was bei euch anders läuft, korrigierst du besser jetzt als in der Prüfung.
- Verantwortlichen und Beteiligte eintragen: Firmierung, Anschrift, Datenschutzbeauftragte und die Fachbereiche, die zugearbeitet haben, kennt der Skill nicht und erfindet sie auch nicht. Ohne sie ist die DSFA niemandem zuzuordnen.
- Den Rat des Datenschutzbeauftragten einholen: Art. 35 Abs. 2 DSGVO verlangt das ausdrücklich, und die Einholung selbst gehört dokumentiert. Der Entwurf bereitet diese Prüfung vor, er ersetzt sie nicht.
- Betroffene oder ihre Vertretung anhören: Wo es angemessen ist, sieht Art. 35 Abs. 9 DSGVO die Sicht der Betroffenen vor — im Beschäftigtenkontext meist über den Betriebsrat. Wer darauf verzichtet, begründet es schriftlich.
- Jede Maßnahme mit Frist und Namen hinterlegen: Eine empfohlene Maßnahme ohne Termin und ohne Zuständige wird nicht umgesetzt, und genau danach fragt eine Aufsicht zuerst.
- Bei hohem Restrisiko die Aufsichtsbehörde konsultieren: Bleibt das Risiko trotz aller Maßnahmen hoch, ist die Konsultation nach Art. 36 DSGVO Pflicht und kein Ermessen. Der Start verschiebt sich dann um die Antwortfrist der Behörde.
- Die DSFA auf Wiedervorlage legen: Ein neues Modell, ein neuer Dienstleister, eine zusätzliche Datenart — jede dieser Änderungen verlangt einen neuen Durchlauf. Einmal im Jahr auch ohne Anlass.
- Wenn es hakt: Risiken bleiben allgemein (Datenarten und Systeme genauer eintragen, „Bewerberdaten“ allein sagt wenig), empfohlene Maßnahmen wiederholen nur die vorhandenen (die bestehenden Schutzmaßnahmen vollständig angeben), Restrisiko wirkt zu hoch angesetzt (Betroffenenkreis und Löschfristen prüfen — beide bewegen die Bewertung am stärksten).
- Ausbauen: Ein Eintrag fürs Verarbeitungsverzeichnis aus derselben Beschreibung, eine Kurzfassung für die Geschäftsführung, der Maßnahmenteil als Aufgabenliste für die Umsetzung.