Glossarbegriff
DSFA
Auch: Datenschutz-Folgenabschätzung, DPIA, Data Protection Impact Assessment
Pflichtbewertung nach Art. 35 DSGVO bei voraussichtlich hohem Risiko für Rechte und Freiheiten betroffener Personen. Pflicht u.a. bei systematischer Beurteilung, umfangreicher Verarbeitung besonderer Kategorien und systematischer Überwachung öffentlicher Bereiche.
Inhalt nach Art. 35 Abs. 7: Beschreibung der Verarbeitung, Bewertung der Notwendigkeit und Verhältnismaessigkeit, Bewertung der Risiken, Maßnahmen zur Risiko-Bewältigung.
Praxisablauf: Standardprüfung der Schwelle (Trigger-Liste), wenn ja, DSFA mit Beteiligung des Datenschutzbeauftragten, ggf. Konsultation der Aufsichtsbehörde bei hohem Restrisiko, fortlaufende Überprüfung bei Änderungen.
In der Praxis
Verbindung zu KI: nach EU AI Act Art. 27 ist eine Grundrechte-Folgenabschätzung (FRIA) bei Hochrisiko-KI-Systemen durch öffentliche Stellen und Anbieter wesentlicher Dienste erforderlich. FRIA und DSFA überschneiden sich, sind aber nicht identisch.
Verwandte Begriffe
Schrems II
EuGH-Urteil vom 16. Juli 2020, das den EU-US Privacy Shield für ungueltig erklärte und Standardvertragsklauseln (SCC) nur unter Zusatzgarantien zuliess. Folge: Datenübermittlungen in die USA brauchen Transfer Impact Assessment (TIA) plus zusätzliche Schutzmaßnahmen.
TIA
Bewertung des Schutzniveaus im Empfängerland bei Datenübermittlungen in Drittländer nach Schrems II. Pflicht bei SCC, BCR und Art-49-Ausnahmen. Output: Entscheidung, ob Transfer ohne, mit oder gar nicht durchgeführt werden darf.
Decision Memo (Deutsch)
Strukturiertes Dokument, das eine einzelne Entscheidung mit Trigger, Optionen, Kriterien, Stakeholder-Positionen, Evidenz, Risiken und finaler Begründung erfasst. Audit-fähig, versioniert und als Artefakt-of-Record geführt.
Defense in Depth
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Daten, Anwendung, physisch) so kombiniert werden, dass das Versagen einer einzelnen Schicht den Schutz nicht auflöst. Steht in NIS2 Art. 21 implizit im Hintergrund.
DLP
Software-Kategorie zur Erkennung und Verhinderung unbefugter Datenabflüsse. Wirkt auf Endpoints, Netzwerk und Cloud. Klassifiziert Inhalte (Regex, Fingerprinting, ML) und setzt Policies durch.
DMARC / DKIM / SPF
Drei Standards, die zusammen E-Mail-Absender authentifizieren und Spoofing erschweren. SPF authentifiziert sendende IP, DKIM signiert Inhalt, DMARC verbindet beide über den From-Header und definiert die Policy.
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
DSGVO Art. 32 TOM
Technische und organisatorische Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus bei der Verarbeitung personenbezogener Daten. Pflicht aus Art. 32 DSGVO, einschlägig für jeden Verantwortlichen und Auftragsverarbeiter in der EU.