DSFA-Detailseite

Die DSFA-Detailseite ist der zentrale Arbeitsbereich für eine einzelne Datenschutz-Folgenabschätzung (DSFA, im englischen DPIA). Sie führt alles zusammen, was zu einer DSFA gehört – die textliche Beschreibung der Verarbeitung, die verknüpften Verarbeitungstätigkeiten (VVT/ROPA), die Risikobewertung, den Behandlungsplan, die Konsultationen mit Stakeholdern, die Freigaben und die Workflows. So entsteht pro Bewertung genau ein prüffähiger Datensatz. Datenschutzbeauftragte, Datenschutz-Spezialisten, Risk Manager und Projektverantwortliche verbringen typischerweise hier die meiste Zeit, sobald eine Verarbeitung als „voraussichtlich mit hohem Risiko verbunden" eingestuft wurde – wie es Art. 35 DSGVO oder vergleichbare Regelungen in anderen Jurisdiktionen verlangen.

Stellen Sie sich diesen Bildschirm als die Heimat einer einzelnen DSFA vor. Von hier aus lesen und bearbeiten Sie jedes Attribut, arbeiten die Risikoanalyse Schritt für Schritt durch, hängen Nachweise an, lösen Review-Workflows aus und bringen die DSFA schliesslich in einen Zustand, in dem sie der Aufsichtsbehörde vorgelegt werden kann.

Wie Sie die Seite öffnen

• Öffnen Sie in der linken Seitenleiste den Menüpunkt Datenschutz-Folgenabschätzung (DSFA) – damit gelangen Sie in die DSFA-Übersichtsliste.
• Klicken Sie in der Tabelle auf eine beliebige Zeile, um die Detailseite der entsprechenden DSFA zu öffnen.

Sie landen ausserdem automatisch hier, wenn Sie eine neue DSFA gerade gespeichert haben, oder wenn Sie aus einer ROPA-Detailseite oder aus dem Posteingang für Workflows / erforderliche Aktionen auf eine verknüpfte DSFA klicken.

Um diese Seite einzusehen, benötigen Sie eine DSFA-Leseberechtigung. Anwender mit der Berechtigung Lesen nur auf zugewiesenen Elementen sehen die Seite im reinen Lesemodus (Bearbeitungsstifte, KI-Schaltfläche, Status-Pille und die meisten Aktionsbuttons sind deaktiviert; ein Tooltip erklärt jeweils, warum). Ohne jegliche DSFA-Berechtigung wird der Menüpunkt in der Seitenleiste komplett ausgeblendet.

Was Sie sehen

Die Seite besteht aus drei Bereichen. Ganz oben befindet sich der Breadcrumb-Streifen, der zeigt, wo Sie sich gerade befinden: ein Pfeil zurück zur DSFA-Liste, der Modulname, der Name der aktuellen DSFA und schliesslich der aktive Reiter. Direkt neben dem DSFA-Namen blättern Sie mit zwei kleinen Pfeilen (‹ ›) zur vorherigen oder nächsten DSFA aus Ihrer aktuellen Liste – praktisch, wenn Sie mehrere DSFAs hintereinander prüfen.

Darunter teilt sich der Bildschirm in zwei Spalten. Die linke Spalte ist ein vertikales Menü mit den Reitern Allgemein, Konsultation, Interessenabwägung, Aufgaben, Bewertungen, Assets, Risikobewertung und Manuelle Workflows. Die letzten beiden lassen sich aufklappen und zeigen Unterreiter für Schwellwert, Szenarien, Behandlungsplan usw. Ein kleiner Statuspunkt vor jedem Reiter zeigt auf einen Blick, ob bereits Inhalte hinterlegt sind.

Die rechte Spalte ist der eigentliche Arbeitsbereich. Ganz oben sitzt eine fixierte Aktionsleiste, die beim Scrollen mitwandert: Sie zeigt den DSFA-Namen in grosser Schrift, eine farbige Status-Pille, eine Auswahl Verantwortliche Personen mit den Avataren der Zugewiesenen, die Zeitstempel Aktualisiert, Letzte Prüfung und Prüfer, eine kleine KI-Schaltfläche und ein Drei-Punkte-Menü für alle weiteren Aktionen (Freigabe, Änderungsantrag, Kopieren, Exportieren, Löschen). Darunter erscheint der Inhalt des gewählten Reiters in einer Karte. Auf dem Reiter Allgemein ist das ein klares Layout aus Beschriftungen und Werten; auf den Reitern mit verknüpften Elementen ist es eine Tabelle mit Hinzufügen-Button, Suche und Spaltenfiltern.

Wenn Sie in einen der Unterreiter unter Risikobewertung wechseln, erscheint zusätzlich eine Kontextleiste, die den aktuell gewählten Risikostandard anzeigt (z. B. ISO 27005 oder GDPR 2018). So bleibt jede Risikozahl immer am richtigen Rahmen verankert.

Arbeiten mit dieser Seite

Eine DSFA vor der Aktivierung prüfen

Das ist das häufigste Szenario für Datenschutzbeauftragte.

• Öffnen Sie die DSFA aus der Übersicht. Standardmässig ist der Reiter Allgemein aktiv.
• Lesen Sie die Schlüsselattribute: Name, Organisationseinheit, Verknüpfte VVT, Notwendigkeit einer DSFA und Beschreibung der Verarbeitung. Klicken Sie auf einen verknüpften VVT-Namen, um die Verarbeitungstätigkeit aufzurufen und sicherzustellen, dass die Beschreibung mit der Realität übereinstimmt. Mit dem kleinen Stiftsymbol neben einem Feld können Sie eine schnelle Korrektur direkt vornehmen, ohne das vollständige Bearbeitungsformular zu öffnen. Jeder Stift speichert sofort.
• Wechseln Sie zu Interessenabwägung, um die dokumentierte Begründung der berechtigten Interessen zu lesen.
• Öffnen Sie Risikobewertung im linken Menü. Prüfen Sie unter Standard, dass das richtige Framework gewählt ist, danach Schwellwert und schliesslich Aktuelles Risiko, um sicherzustellen, dass jedes Szenario unter dem Schwellwert liegt.
• Sind Sie zufrieden, klicken Sie auf die farbige Status-Pille in der Aktionsleiste und ändern Sie den Status von Entwurf auf Aktiv. Die Änderung wird sofort wirksam.

Achtung: Das Ändern der Status-Pille ist eine Ad-hoc-Aktion. Wenn Ihre Governance vor der Aktivierung eine formale Prüfung verlangt, lösen Sie unter Manuelle Workflows einen Review-Workflow aus, statt einfach die Pille umzuschalten.

Verknüpfte Elemente verwalten (Aufgaben, Bewertungen, Assets, Konsultationen)

Alle vier Reiter mit verknüpften Elementen (Aufgaben, Bewertungen, Assets, Konsultation) funktionieren nach demselben Muster.

• Klicken Sie im linken Menü auf den entsprechenden Reiter. Sie sehen eine Tabelle der bereits verknüpften Elemente.
• Klicken Sie oben rechts in der Karte auf Hinzufügen. Es öffnet sich ein Dialog, in dem Sie entweder bestehende Elemente auswählen oder ein neues anlegen können (z. B. eine neue Aufgabe mit Frist und Verantwortlichem, oder einen neuen Konsultationsprozess, um Stakeholder-Feedback festzuhalten). Beim Speichern wird das Element automatisch mit dieser DSFA verknüpft und erscheint in der Tabelle.
• Klicken Sie auf eine Zeile, um die Detailseite des verknüpften Elements im eigenen Kontext zu öffnen – wenn Sie zurückkehren, bleibt diese DSFA Ihr „übergeordneter" Datensatz.
• Um Elemente in grösserer Zahl zu entkoppeln oder zu löschen, setzen Sie die Häkchen am Anfang jeder Zeile und nutzen die Aktionsschaltflächen, die dann oberhalb der Tabelle erscheinen.

Beachten Sie: Der Reiter Konsultation ist auf dieser Detailseite bewusst schreibgeschützt – um eine Konsultation zu bearbeiten, klicken Sie sich in das Element hinein und nutzen sein eigenes Bearbeitungsformular.

Risikobewertung und Behandlungsplan aufbauen

Risk Manager und IT-Security-Leads arbeiten überwiegend in den Unterreitern unter Risikobewertung. Klicken Sie auf Risikobewertung im linken Menü, um sie aufzuklappen.

• Öffnen Sie Standard und wählen Sie den oder die anwendbaren Risiko-Frameworks – beispielsweise GDPR 2018 für Datenschutz, ISO 27005 für Informationssicherheit. Standards bilden die Grundlage jeder folgenden Risikoberechnung.
• Öffnen Sie Schwellwert und legen Sie fest, welches maximale Risiko Ihre Organisation ohne weitere Massnahmen akzeptiert. Verwenden Sie die Bearbeiten-Schaltfläche, um Werte anzupassen.
• Öffnen Sie Szenarien und verknüpfen Sie über Hinzufügen die relevanten Risikoszenarien aus Ihrer Szenariobibliothek.
• Öffnen Sie Implementierte TOMs (Technische und Organisatorische Massnahmen), um die bereits umgesetzten Schutzmassnahmen zu erfassen. Eine Schaltfläche markiert in einem Klick alle relevanten TOMs als implementiert – das spart bei Standardbewertungen viel Zeit.
• Öffnen Sie Aktuelles Risiko. Pro Szenario sehen Sie das Ergebnis aus Eintrittswahrscheinlichkeit × Schadenshöhe und das daraus abgeleitete Risikolevel. Mit Aktuelles Risiko setzen können Sie pro Szenario manuell anpassen.
• Für jedes Szenario, das den Schwellwert übersteigt, öffnen Sie Behandlungsoptionen und entscheiden, ob Sie das Risiko akzeptieren, mindern, übertragen oder vermeiden.
• Öffnen Sie Behandlungsplan, klicken Sie auf Behandlungsplan bearbeiten, fügen Sie die vorgeschlagenen TOMs hinzu und vergeben Sie Fristen. Ist der Plan vollständig, veröffentlichen Sie ihn – damit wird eine finalisierte, unveränderliche Version eingefroren, die Sie unter Behandlungsplan ansehen einsehen können.
• Während die Massnahmen umgesetzt werden, verfolgen Sie unter Behandlungsstatus jeden Eintrag (offen, in Bearbeitung, erledigt, blockiert).

Tipp: Die Risiko-Unterreiter werden erst sinnvoll, nachdem Sie mindestens einen Standard ausgewählt haben. Falls Schwellwert, Szenarien und Aktuelles Risiko leer wirken, beginnen Sie unter Standard.

Einen Review- oder Freigabe-Workflow auslösen

Für formale Freigaben nutzen Sie den Reiter Manuelle Workflows.

• Klicken Sie im linken Menü auf Manuelle Workflows. Es erscheinen zwei Unterreiter: Erforderliche Aktion (was Sie persönlich gerade tun müssen) und Übersicht (alle Workflows, die gelaufen sind, gerade laufen oder geplant sind).
• Wählen Sie über das Untermenü eine Workflow-Vorlage – etwa Jährliche DSFA-Prüfung – und starten Sie sie. Die Prüfer erhalten ihre Aufgaben; der Workflow erscheint mit Status In Bearbeitung unter Übersicht.
• Sobald der Workflow abgeschlossen ist, aktualisieren sich die Felder Letzte Prüfung und Prüfer in der Aktionsleiste automatisch. Damit entsteht der prüfsichere Nachweis, den Aufsichtsbehörden erwarten.

Verantwortliche zuweisen und Status ändern

Auch der Lebenszyklus wird über die Aktionsleiste rechts gesteuert.

• Mit Klick auf die Status-Pille wechseln Sie zwischen Entwurf, Aktiv, Inaktiv, Prüfung oder den unternehmensspezifischen Statuswerten. Die Änderung wird sofort gespeichert.
• Mit dem Aufklappmenü Verantwortliche Personen fügen Sie Personen hinzu oder entfernen sie. Mehrfachzuweisung ist möglich – nützlich bei Übergaben oder Mit-Verantwortlichkeit.

Beide Aktionen erfordern Bearbeitungsrechte. Ohne diese sind die Steuerelemente sichtbar, aber deaktiviert; ein Tooltip erklärt warum.

Den KI-Helfer nutzen

Die kleine KI-Schaltfläche neben der Status-Pille kann die langen Textfelder (Notwendigkeit einer DSFA, Beschreibung der Verarbeitung) generieren oder verbessern, indem sie auf Inhalte aus der verknüpften VVT zurückgreift. Besonders nützlich, um den ersten Entwurf einer neuen DSFA schnell zu erzeugen.

Die Schaltfläche ist ausgeblendet oder deaktiviert, wenn KI im Mandanten nicht konfiguriert ist oder bereits ein anderer KI-Job auf dieser DSFA läuft.

Freigeben, Änderung anfordern, exportieren

Alle weiteren Aktionen finden Sie im Drei-Punkte-Menü ganz rechts in der Aktionsleiste:

• Bearbeiten öffnet das vollständige Bearbeitungsformular, in dem alle Attribute auf einer Seite editierbar sind.
• Freigabe (nur sichtbar mit Veröffentlichungs-Berechtigung) ermöglicht, diese DSFA mit anderen Organisationen einer Gruppenstruktur zu teilen.
• Änderung anfordern öffnet den Änderungsantragsprozess – nützlich, wenn Sie eine DSFA anpassen müssen, die Ihnen nicht gehört.
• Kopieren, Exportieren und Löschen führen die jeweiligen Lebenszyklus-Aktionen aus.

Feldreferenz

Der Reiter Allgemein enthält die strukturierten Attribute, die Auditoren erwarten:

• Name – Anzeigename der DSFA. Mehrsprachig; angezeigt wird die Sprache Ihrer Oberfläche.
• Organisationseinheit – die zuständige Einheit. Steuert Benachrichtigungen und Reporting.
• Verknüpfte VVT – die Verarbeitungstätigkeiten, die diese DSFA bewertet. Eine DSFA ohne verknüpfte VVT ist in der Regel ein Entwurf; produktiv sollte jede DSFA mindestens auf einen Datensatz verweisen.
• Notwendigkeit einer DSFA – die textliche Begründung, warum die DSFA überhaupt nötig ist. Pflichtinhalt nach Art. 35 DSGVO. Rich Text.
• Beschreibung der Verarbeitung – die ausführliche Beschreibung mit Datenkategorien, Betroffenengruppen, Empfängern und Aufbewahrungsfristen. Rich Text. Genau dieses Feld liest die Aufsichtsbehörde zuerst.
• Interessenabwägung (eigener Reiter) – die dokumentierte Argumentation, dass die berechtigten Interessen des Verantwortlichen nicht durch die Rechte und Freiheiten der Betroffenen überwogen werden (Art. 6 Abs. 1 lit. f DSGVO).

Verbindung zum Rest von DPMS

Die DSFA-Detailseite ist einer der am stärksten vernetzten Bildschirme in DPMS. Von hier aus erreichen Sie nahezu jedes andere Modul:

• Die DSFA-Übersicht (/dpia) listet alle DSFAs und führt jeweils auf diese Seite.
• Die VVT-Detailseite verweist auf jede DSFA, die zu einer Verarbeitung gehört, und umgekehrt.
• Aufgaben, Bewertungen, Assets, Konsultationsprozesse und Risikoszenarien öffnen ihre eigenen Detailseiten, merken sich diese DSFA aber als übergeordneten Datensatz für die Rücknavigation.
• Der Unterreiter Behandlungsplan ansehen führt zur unveränderlichen, finalisierten Plan-Version, die in einer eigenen Leseansicht aufgerufen werden kann.
• Das Dashboard Erforderliche Aktionen und der Workflow-Posteingang verweisen Prüfer und Genehmiger direkt auf den passenden Reiter hier.

Mehrere übergreifende Funktionen hängen davon ab, was Sie hier konfigurieren:

• Status und Verantwortliche speisen die globalen Benachrichtigungen (Erinnerungen für Fristen und Reviews).
• Die Risikowerte fliessen in die unternehmensweiten Datenschutz- und IT-Sicherheitsdashboards.
• Behandlungsplan-Einträge erscheinen in den globalen Aufgaben- und Behandlungsstatus-Berichten.
• Verknüpfte Bewertungen und Szenarien werden zu nachvollziehbaren Audit-Nachweisen.

Typische nächste Schritte nach Abschluss der Arbeit hier sind: einen Review-Workflow unter Manuelle Workflows auslösen; die verknüpften VVT öffnen, damit sie die Schlussfolgerungen der DSFA reflektieren; oder im globalen Aufgaben-Dashboard verfolgen, wie die Behandlungsplan-Einträge umgesetzt werden.

Tipps & häufige Stolperfallen

Tipp: Die Vor- und Zurück-Pfeile neben dem DSFA-Namen folgen dem aktuellen Filter der Übersicht – nicht der gesamten Datenbank. Hatten Sie auf der Index-Seite einen Suchfilter gesetzt, navigiert die Detailseite nur innerhalb dieser Trefferliste.

Achtung: Der Reiter Konsultation ist auf dieser Detailseite schreibgeschützt. Um eine Konsultation zu bearbeiten, öffnen Sie sie über die Zeile und nutzen ihr eigenes Bearbeitungsformular. Erstanwender suchen hier oft vergeblich nach einem Bearbeitungsstift.

• Die Risiko-Unterreiter werden erst sinnvoll, sobald ein aktueller Standard konfiguriert ist. Wirken Schwellwert, Szenarien und Aktuelles Risiko leer, beginnen Sie unter Risikobewertung → Standard.
• DSFAs, die Kindobjekte sind (also aus einer übergeordneten Organisation heruntergespiegelt), haben mehrere gesperrte Reiter. Die Beschriftungen sind ausgegraut; Bearbeitungen müssen am Datensatz der Mutterorganisation erfolgen.
• Der Statuswechsel über die Pille ist sofort wirksam und durchläuft keinen Workflow. Verlangt Ihre Governance eine formale Prüfung, nutzen Sie stattdessen Manuelle Workflows, um die passende Vorlage zu starten.
• Inline-Stifte erfordern Bearbeitungsrechte. Wer nur Lesen-auf-zugewiesenen-Elementen darf, sieht statt der Stifte reinen Text – das ist beabsichtigt.
• Der KI-Helfer nutzt die KI-Zugangsdaten und -Kontingente, die zentral in DPMS hinterlegt sind. Ist die KI-Schaltfläche deaktiviert oder ausgeblendet, prüfen Sie die KI-Einstellungen Ihres Mandanten oder Ihre persönliche KI-Berechtigung.