Trainingsmodul
Datenschutz-Folgenabschätzung (DSFA)
Datenschutzrisiken bewerten, Auswirkungen begründen und DSFA in einem an ISO/IEC 27701 ausgerichteten PIMS dokumentieren
Sind Ihre DSFA systematisch und belastbar?
Dieses Trainingsmodul zeigt, wie Sie einen wiederholbaren Prozess für Datenschutzrisiken und DSFA aufbauen, der Annahmen transparent macht und Entscheidungen zu Behandlung und Restrisiko aufeinander abstimmt.
Überblick
Worum es in diesem Modul geht
ISO/IEC 27701 legt klare Anforderungen an die Bewertung von Datenschutzrisiken und deren Behandlung innerhalb eines PIMS fest und ist nicht länger von einer ISO/IEC 27001-Zertifizierung abhängig. In der Praxis haben Organisationen weniger Mühe damit, eine DSFA durchzuführen, als die Bewertungslogik wiederholbar zu machen: konsistente Auslöser, belastbare Begründungen für Auswirkungen, dokumentierte Annahmen und klare Entscheidungsrechte für Restrisiken.
Dieses Modul fokussiert die DSFA-Logik als Fähigkeit des Managementsystems in einem PIMS: Bewertungen strukturieren, Auswirkungen auf betroffene Personen begründen, Ergebnisse mit Behandlungsentscheidungen verknüpfen und Bewertungen aktuell halten, wenn sich die Verarbeitung ändert. Vermittelt werden weder Grundlagen des Datenschutzes, Abgrenzung und Rollenbestimmung, operative Datenschutzmassnahmen noch die Ausübung von Betroffenenrechten; diese Themen sind in angrenzenden Spezialisierungsmodulen abgedeckt. Auch die allgemeine Risikomethodik (Skalen, Bewertungsmodelle, Auslegung der Risikobereitschaft) wird nicht erneut behandelt; sie ist in den Grundlagen des Risikomanagements verankert.
Zielgruppe
Für wen es gedacht ist
Wer ein Managementsystem einführt oder koordiniert
Führungskräfte und Bereichsleitungen, die für die Leistung des Managementsystems einstehen
Wer Prozesse, Politiken, Assets, Risiken und Steuerungsmassnahmen verantwortet
Auditoren, die Einblick in die Managementpraxis suchen und nicht in die Audittechnik
Beratende, die an Gestaltung, Governance oder Verbesserung von Managementsystemen arbeiten
EntscheidungshilfeIst dieses Modul für Sie das Richtige?
Es passt gut für Sie, wenn Sie…
eine wiederholbare DSFA-Logik statt ad hoc erstellter Bewertungen brauchen.
klare Auslöser, Rollen und Entscheidungszuständigkeiten für DSFA wünschen.
belastbare Begründungen für Auswirkungen bei Freigabe- und Akzeptanzentscheidungen brauchen.
DSFA bei Änderungen in Verarbeitung und Systemen aktuell halten wollen.
eine auditfähige, konsistente DSFA-Governance in einem PIMS unterstützen.
Es passt möglicherweise weniger gut für Sie, wenn Sie…
nach Grundlagen des Datenschutzes oder rechtlicher Theorie suchen.
eine allgemeine Risikomethodik oder ein Bewertungsmodell erwarten.
detaillierte Orientierung zu technischen Datenschutzmassnahmen erwarten.
bereits stabile, fest verankerte DSFA-Prozesse im grossen Massstab betreiben.
Was Sie mitbringen
Dieses Modul setzt bereits Folgendes voraus:
Arbeitswissen zu den grundlegenden Datenschutzkonzepten (personenbezogene Daten, Verarbeitungszwecke, Empfänger, Aufbewahrung, rechtmässige Bearbeitung)
Vertrautheit damit, wie die eigene Organisation Verarbeitungstätigkeiten und Änderungen dokumentiert (auch wenn noch nicht perfekt)
Grundlegendes Verständnis von Managementsystemen (Rollen, dokumentierte Information, Steuerungsroutinen)
Agenda
Der Lehrstoff
9 Teile01Wo die Bewertung von Datenschutzrisiken im PIMS verankert ist
Wie die Bewertung von Datenschutzrisiken im PIMS entscheidungsreife Eingaben für Behandlung und Begründung liefert, statt als separate Pflichtübung zu laufen
02Bewertungsgrenzen und Eingangsgrössen
Wie klare Bewertungsgrenzen auf Basis des gepflegten Verarbeitungskontexts, der Rollen und der Artefakte zum Geltungsbereich definiert werden und generische Checklisten oder meinungsbasierte Eingaben vermieden werden
03Auslöselogik: wann eine DSFA-ähnliche Bewertung nötig ist
Wie Änderungsanlässe erkannt werden, die eine vertiefte Bewertung auslösen, und wie zwischen leichter Überprüfung und voller DSFA-ähnlicher Bewertung mit belastbarer Begründung verhältnismässig triagiert wird
04Den Bewertungsgegenstand definieren
Wie Bewertungen rund um konkrete Verarbeitungstätigkeiten aufgebaut werden, damit Verantwortung und Ergebnisse klar bleiben
05Auswirkungen auf betroffene Personen begründen
Wie Auswirkungen auf Rechte und Freiheiten anhand von Schwere, Umfang, Rückgängigmachbarkeit und Verletzlichkeit beurteilt werden, während Annahmen explizit und nachweisbasiert bleiben
06Wahrscheinlichkeit in Datenschutzbegriffen beurteilen
Wie kausale Ketten von Designentscheiden zu Exposition und Schaden nachvollzogen werden, mit Indikatoren und transparenten Unsicherheiten statt falscher numerischer Präzision
07Behandlungslogik und Restrisikofreigaben
Wie Bewertungsergebnisse mit Behandlungsoptionen verknüpft, begründet und über klare Entscheidungsrechte, Eskalationswege und Konsultationsauslöser gesteuert werden
08DSFA-Aktenset und Nachvollziehbarkeit
Wie ein schlankes DSFA-Aktenset gepflegt wird, das die Nachvollziehbarkeit von der Bewertung über Entscheidungen bis zu Umsetzungsnachweisen unterstützt
09Technologie als Unterstützung
Wie Register, Workflows, Versionierung und KI-gestützte Zusammenfassungen genutzt werden, um Bewertungen aktuell zu halten und mit Änderungsanlässen zu verknüpfen, ohne menschliches Urteil zu ersetzen
Ergebnisse
Lernergebnisse
01
Verständnis der Erwartungen aus ISO/IEC 27701 an Bewertung von Datenschutzrisiken und Behandlung innerhalb eines PIMS
02
DSFA-Auslöselogik und Verhältnismässigkeitsregeln organisationsweit konsistent definieren
03
DSFA-ähnliche Bewertungen um reale Verarbeitungstätigkeiten mit gemeinsamen Diensten und Lieferanten strukturieren
Disziplinierter Umgang mit Begründungen zu Auswirkungen auf betroffene Personen und transparenten dokumentierten Annahmen
Übersetzung von Bewertungsergebnissen in klare Behandlungsentscheidungen und Kriterien zur Akzeptanz von Restrisiken
Ein wartbares DSFA-Aktenset mit Nachvollziehbarkeit und Überprüfungsanlässen erstellen, damit DSFA aktuell bleiben
Unterlagen
Die Inhalte und die Beurteilung
Schriftliches Modul
Der vollständige Inhalt in Schriftform, in sich abgeschlossen. Zu Teilen davon werden Videos aufgezeichnet, als zweiter Weg durch den Stoff; das schriftliche Modul trägt immer alles.
Übungen
Bewertete Arbeit an den Registern der Fallorganisation selbst: strukturierte Antworten werden gegen den kodierten Fall geprüft, Freitextantworten gegen ein daran zurückgebundenes Bewertungsraster, und bei jedem bewerteten Element hat der Trainer das letzte Wort.
Zum Abschluss
Die bewerteten Übungen müssen bestanden sein, bevor das Zertifikat ausgestellt wird.
Termine
Zurzeit ist keine öffentliche Durchführung von Datenschutz-Folgenabschätzung (DSFA) geplant. Sagen Sie uns Bescheid, und wir melden uns, sobald die nächste öffnet. Oder wir sprechen über eine interne Durchführung.
Eckdaten
- Modul-ID
- HAM-DP-S-02
- Fachbereich
- Datenschutz
- Kompetenzbereiche
- Entscheidungen · Risiko
- Teil von Lehrgängen
- Managementsystem-Manager
Fallorganisation
Alle Module spielen im selben Unternehmen
Jedes Modul steigt an einem bestimmten Punkt in die Geschichte des Unternehmens ein und findet es so vor, wie diese Geschichte es hinterlassen hat.
Die Northstar Integrated Services AG ist eine Gruppe mit Sitz in Zürich, die in sechs europäischen Ländern tätig ist und Ende 2025 rund 1350 Mitarbeitende beschäftigte. Die Gruppe bietet regulierten Organisationen im Gesundheitswesen, im öffentlichen Sektor und in industriellen Dienstleistungen Plattformen für den digitalen Betrieb und betriebliche Managed Services an. Gegründet wurde sie 2008 als Anbieter von Vor-Ort-Dienstleistungen für Geschäftskunden. Das Unternehmen hatte rund fünfundzwanzig Mitarbeitende, als sein erster regulierter Kunde, eine Spitalgruppe, dokumentierte Entscheidungen, benannte Verantwortlichkeiten und Nachweise auf Anfrage verlangte. 2016 wechselte es ins Plattformgeschäft, und 2024 übernahm es ein operatives Geschäft in Polen und Tschechien, dessen Gesellschaft innerhalb der Gruppe fortbesteht.
Verknüpfte Register
Organisation und Personen, Rollen, Risiken, Ziele, Politiken, Dokumente und Aufzeichnungen, Kommunikation, Feststellungen, Audits und Überprüfungen, Anspruchsgruppen, Prozesse
Aufzeichnungen statt Zusammenfassungen
Die Nachweise liegen in den Registern und Dokumenten, in denen eine echte Organisation sie führen würde.
Eine Geschichte
Das Unternehmen hat eine Zeitachse ab 2008, sodass sich eine Struktur vor und nach einer Veränderung untersuchen lässt.
Mehr als eine Gesellschaft
Eine Schweizer Muttergesellschaft und eine zugekaufte Tochtergesellschaft in Polen und Tschechien, mit Kunden in mehreren Rechtsordnungen
Warum das zählt
Urteilsvermögen entwickelt sich an Material, das unvollständig und teilweise widersprüchlich ist, wie in der Praxis. Northstar ist bewusst so angelegt. Weil die Module an verschiedenen Punkten seiner Geschichte ansetzen, lässt sich eine Governance-Struktur verfolgen, während sie aufgebaut wird, wenn sie zu klein wird und wenn sie neu gebaut wird.
Durchführung & Termine
Wie dieses Modul zu Ihnen kommt
Live online durchgeführt, mit konzeptioneller Einordnung, Diskussion, Fallarbeit und direktem Austausch mit dem Trainer. Interne und auf Ihre Organisation zugeschnittene Durchführungen sind auf Anfrage möglich.
Zurzeit ist keine öffentliche Durchführung geplant. Die meisten Module laufen auch auf Anfrage und nicht nur nach öffentlichem Kalender. Sagen Sie uns, welcher Zeitraum Ihnen passt.
Sollen wir dieses Modul ansetzen?
Wir melden uns, sobald die nächste Durchführung angesetzt ist. Oder wir führen dieses Modul intern mit Ihrem eigenen Fallmaterial durch.
Unsicher, ob es das richtige Modul ist?
Beschreiben Sie Ihren Kontext in einer kurzen Nachricht, und wir antworten ehrlich.