DSFA-Dokumentation und Rechenschaftspflicht
Wann dieses Modul hilft
- Nach Abschluss einer DSFA, vor Archivierung
- Bei Aufsichtsanfrage zur Vorlage der DSFA
- Bei Audit durch DSB oder externen Prüfer
- Bei Wechsel des DSB oder des Verantwortlichen — Aktenuebergabe
- Bei wesentlicher Änderung (Versionierung)
Rechtlicher Rahmen
- Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht — der Verantwortliche muss die Einhaltung der Grundsaetze nachweisen können.
- Art. 24 DSGVO: Verantwortung des für die Verarbeitung Verantwortlichen.
- Art. 30 DSGVO: Verzeichnis von Verarbeitungstaetigkeiten — DSFA-Verweis.
- Art. 35 Abs. 11 DSGVO: Re-Prüfungspflicht.
- Art. 58 Abs. 1 lit. a DSGVO: Auskunftsbefugnis der Aufsicht.
- § 257 HGB, § 147 AO für Aufbewahrungsfristen kaufmaennischer und steuerlicher Unterlagen — DSFA ist nicht kaufmaennisches Dokument, aber an die Verarbeitungstaetigkeit gekoppelt.
Ablauf 6-Schritte-Methodik
- Verarbeitungsbeschreibung. Welcher Verarbeitungsvorgang? Eindeutige Akten-Identifikation (z. B. VV-Nummer, DSFA-Aktenzeichen).
- Verhältnismäßigkeitspruefung. Prüfung welche Dokumente in die DSFA-Akte gehoeren — Vollstaendigkeit ohne Ueberfrachtung.
- Risikoanalyse. Beweiswertrisiken prüfen — fehlende Unterschriften, fehlende Versionen, fehlende Datierungen, unklare Verantwortlichkeiten.
- Maßnahmen. Strukturierte Aktenfuehrung in standardisierter Form (digital signiert, mit Datum und Versionierung).
- Restrisiko. Beweiswertbeurteilung — wie sicher ist die DSFA bei Aufsichtsverfahren? Ergaenzungen oder Bekraeftigungen.
- Konsultation / Genehmigung. DSB bestaetigt Vollstaendigkeit; Aufbewahrung und Zugriffsrechte regeln.
Aktenstruktur DSFA
DSFA-AKTE Aktenzeichen: [VV-XX-DSFA-YYYY-NN]
Verarbeitung: [BEZEICHNUNG]
Verantwortlicher: [NAME]
DSB: [NAME]
01 Deckblatt mit Versionshistorie
02 Schwellwertanalyse / Triage-Vermerk (Skill dsfa-art-35-dsgvo-trigger-und-anwendungsbereich)
03 Listenabgleich (Skill dsfa-bfdi-und-laender-blacklist)
04 WP-248-Pruefung (Skill dsfa-edpb-leitlinien-9-19-anwendung)
05 Methodenwahl-Memo (Skill dsfa-methodik-cnil-pia-vs-bsfd-bsi)
06 Vollstaendige DSFA (Skill dsfa-template-deutsch-vollvorlage)
07 Risikomatrix (Skill dsfa-risikoanalyse-eintrittswahrscheinlichkeit-schaden)
08 TIA falls Drittlandtransfer (Skill dsfa-für-internationale-datentransfers)
09 KI-FRIA falls Hochrisiko-KI (Skill dsfa-für-ki-systeme-schnittstelle-art-26-kivo)
10 Stakeholder-Konsultation (Skill dsfa-stakeholder-konsultation-art-35-9)
11 DSB-Stellungnahme
12 Vorabkonsultation Art. 36 (falls erfolgt)
13 Freigabe Verantwortlicher
14 Verweis Verarbeitungsverzeichnis Art. 30
15 Revisionsplan (Skill dsfa-update-bei-aenderungen-und-revision)
16 Korrespondenz mit Aufsichtsbehoerde (falls)
17 Beweismittel: Datenflussdiagramm, AVV, SCC, TOM-Konzept
Versionsverzeichnis
| Version | Datum | Aenderung | Autor | Freigabe |
Zugriffskonzept
- Lesend: [Liste der berechtigten Personen]
- Schreibend: [Verantwortlicher, DSB, dokumentierender Mitarbeiter]
- Aufsichtsbehoerde: auf Anforderung Vollzugriff
Aufbewahrungsregeln
- DSFA muss waehrend der gesamten Dauer der Verarbeitungstaetigkeit aufbewahrt werden.
- Nach Ende der Verarbeitung mindestens für den Zeitraum etwaiger Anspruchsverjaehrungen (Art. 82 DSGVO; immaterieller Schaden) — Empfehlung: 5 Jahre nach Ende der Verarbeitung; bei öffentlichen Stellen oft 10 Jahre.
- Alte Versionen nicht loeschen, sondern archivieren.
- Bei Anbieterwechsel: Übergabe der Akte einschliesslich aller Versionen.
- Bei steuerlich relevanten Verarbeitungen ggf. § 147 AO 10 Jahre.
Beweiswertkriterien
- Datierung und Unterschrift jedes Dokuments
- Versionierung und Änderungshistorie
- Klare Autorenschaft (Wer hat dokumentiert, wer hat beschlossen?)
- DSB-Anhörung dokumentiert mit Datum
- Quellenverzeichnis (Aufsichtshinweise, Leitlinien, Rechtsprechung)
- Verweis auf Verarbeitungsverzeichnis und AVV
Typische Fehler
- DSFA wird im Mail-Anhang verteilt, aber nicht in einer strukturierten Akte gefuehrt.
- Versionen werden ueberschrieben — alte Versionen unwiederbringlich verloren.
- DSB-Stellungnahme nur muendlich — kein Nachweis.
- Aktenzeichen fehlt — DSFA nicht zuordenbar.
- Aufbewahrungsfrist nicht definiert — DSFA wird mit Mitarbeiter-Personalakte vernichtet.
- Zugriffsrechte ungeregelt — DSFA mit personenbezogenen Risikobeschreibungen offen einsehbar.
- Beweismittel (Datenflussdiagramm) nicht beigefuegt — DSFA bleibt abstrakt.
Quellen Stand 06/2026
- Art. 5 Abs. 2 DSGVO
- Art. 24, 30, 35, 58, 82 DSGVO
- § 147 AO; § 257 HGB (Bezugsfristen)
- EDSA-Leitlinien WP 248 rev.01
- BfDI / Landesbehoerden — Hinweise zur Rechenschaftspflicht
- Literatur: Kommentar- und Aufsatzfundstellen nur bei eigener Quelle
Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.
1---2name: dsfa-rechenschaftspflicht-art-5-ii3description: Für DSFA-Dokumentation und Rechenschaftspflicht: ordnet Norm, Beweislast und Gegenargument; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt.4---56# DSFA-Dokumentation und Rechenschaftspflicht78## Wann dieses Modul hilft910- Nach Abschluss einer DSFA, vor Archivierung11- Bei Aufsichtsanfrage zur Vorlage der DSFA12- Bei Audit durch DSB oder externen Prüfer13- Bei Wechsel des DSB oder des Verantwortlichen — Aktenuebergabe14- Bei wesentlicher Änderung (Versionierung)1516## Rechtlicher Rahmen1718- Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht — der Verantwortliche muss die Einhaltung der Grundsaetze nachweisen können.19- Art. 24 DSGVO: Verantwortung des für die Verarbeitung Verantwortlichen.20- Art. 30 DSGVO: Verzeichnis von Verarbeitungstaetigkeiten — DSFA-Verweis.21- Art. 35 Abs. 11 DSGVO: Re-Prüfungspflicht.22- Art. 58 Abs. 1 lit. a DSGVO: Auskunftsbefugnis der Aufsicht.23- § 257 HGB, § 147 AO für Aufbewahrungsfristen kaufmaennischer und steuerlicher Unterlagen — DSFA ist nicht kaufmaennisches Dokument, aber an die Verarbeitungstaetigkeit gekoppelt.2425## Ablauf 6-Schritte-Methodik26271. **Verarbeitungsbeschreibung.** Welcher Verarbeitungsvorgang? Eindeutige Akten-Identifikation (z. B. VV-Nummer, DSFA-Aktenzeichen).282. **Verhältnismäßigkeitspruefung.** Prüfung welche Dokumente in die DSFA-Akte gehoeren — Vollstaendigkeit ohne Ueberfrachtung.293. **Risikoanalyse.** Beweiswertrisiken prüfen — fehlende Unterschriften, fehlende Versionen, fehlende Datierungen, unklare Verantwortlichkeiten.304. **Maßnahmen.** Strukturierte Aktenfuehrung in standardisierter Form (digital signiert, mit Datum und Versionierung).315. **Restrisiko.** Beweiswertbeurteilung — wie sicher ist die DSFA bei Aufsichtsverfahren? Ergaenzungen oder Bekraeftigungen.326. **Konsultation / Genehmigung.** DSB bestaetigt Vollstaendigkeit; Aufbewahrung und Zugriffsrechte regeln.3334## Aktenstruktur DSFA3536```37DSFA-AKTE Aktenzeichen: [VV-XX-DSFA-YYYY-NN]38Verarbeitung: [BEZEICHNUNG]39Verantwortlicher: [NAME]40DSB: [NAME]414201 Deckblatt mit Versionshistorie4302 Schwellwertanalyse / Triage-Vermerk (Skill dsfa-art-35-dsgvo-trigger-und-anwendungsbereich)4403 Listenabgleich (Skill dsfa-bfdi-und-laender-blacklist)4504 WP-248-Pruefung (Skill dsfa-edpb-leitlinien-9-19-anwendung)4605 Methodenwahl-Memo (Skill dsfa-methodik-cnil-pia-vs-bsfd-bsi)4706 Vollstaendige DSFA (Skill dsfa-template-deutsch-vollvorlage)4807 Risikomatrix (Skill dsfa-risikoanalyse-eintrittswahrscheinlichkeit-schaden)4908 TIA falls Drittlandtransfer (Skill dsfa-für-internationale-datentransfers)5009 KI-FRIA falls Hochrisiko-KI (Skill dsfa-für-ki-systeme-schnittstelle-art-26-kivo)5110 Stakeholder-Konsultation (Skill dsfa-stakeholder-konsultation-art-35-9)5211 DSB-Stellungnahme5312 Vorabkonsultation Art. 36 (falls erfolgt)5413 Freigabe Verantwortlicher5514 Verweis Verarbeitungsverzeichnis Art. 305615 Revisionsplan (Skill dsfa-update-bei-aenderungen-und-revision)5716 Korrespondenz mit Aufsichtsbehoerde (falls)5817 Beweismittel: Datenflussdiagramm, AVV, SCC, TOM-Konzept5960Versionsverzeichnis61| Version | Datum | Aenderung | Autor | Freigabe |6263Zugriffskonzept64- Lesend: [Liste der berechtigten Personen]65- Schreibend: [Verantwortlicher, DSB, dokumentierender Mitarbeiter]66- Aufsichtsbehoerde: auf Anforderung Vollzugriff67```6869## Aufbewahrungsregeln7071- DSFA muss waehrend der gesamten Dauer der Verarbeitungstaetigkeit aufbewahrt werden.72- Nach Ende der Verarbeitung mindestens für den Zeitraum etwaiger Anspruchsverjaehrungen (Art. 82 DSGVO; immaterieller Schaden) — Empfehlung: 5 Jahre nach Ende der Verarbeitung; bei öffentlichen Stellen oft 10 Jahre.73- Alte Versionen nicht loeschen, sondern archivieren.74- Bei Anbieterwechsel: Übergabe der Akte einschliesslich aller Versionen.75- Bei steuerlich relevanten Verarbeitungen ggf. § 147 AO 10 Jahre.7677## Beweiswertkriterien7879- Datierung und Unterschrift jedes Dokuments80- Versionierung und Änderungshistorie81- Klare Autorenschaft (Wer hat dokumentiert, wer hat beschlossen?)82- DSB-Anhörung dokumentiert mit Datum83- Quellenverzeichnis (Aufsichtshinweise, Leitlinien, Rechtsprechung)84- Verweis auf Verarbeitungsverzeichnis und AVV8586## Typische Fehler8788- DSFA wird im Mail-Anhang verteilt, aber nicht in einer strukturierten Akte gefuehrt.89- Versionen werden ueberschrieben — alte Versionen unwiederbringlich verloren.90- DSB-Stellungnahme nur muendlich — kein Nachweis.91- Aktenzeichen fehlt — DSFA nicht zuordenbar.92- Aufbewahrungsfrist nicht definiert — DSFA wird mit Mitarbeiter-Personalakte vernichtet.93- Zugriffsrechte ungeregelt — DSFA mit personenbezogenen Risikobeschreibungen offen einsehbar.94- Beweismittel (Datenflussdiagramm) nicht beigefuegt — DSFA bleibt abstrakt.9596## Quellen Stand 06/20269798- Art. 5 Abs. 2 DSGVO99- Art. 24, 30, 35, 58, 82 DSGVO100- § 147 AO; § 257 HGB (Bezugsfristen)101- EDSA-Leitlinien WP 248 rev.01102- BfDI / Landesbehoerden — Hinweise zur Rechenschaftspflicht103- Literatur: Kommentar- und Aufsatzfundstellen nur bei eigener Quelle104105> Quellenregel: Entscheidungen nur nach Prüfung einer amtlichen oder frei zugänglichen Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage ausgeben.
Klotzkette