DSFA bearbeiten

Ändern Sie Geltungsbereich, Abwägungen, verknüpfte VVT und Risikobehandlung einer bestehenden DSFA.

Die Maske „DSFA bearbeiten" ist Ihr Arbeitsbereich, in dem aus einer angelegten Datenschutz-Folgenabschätzung ein vollständiger, prüfungsfester Datensatz wird. Hier füllen die Eigentümer der DSFA – typischerweise Datenschutzbeauftragte, Compliance-Manager oder von ihnen beauftragte Koordinatoren – die Beschreibung der Verarbeitung aus, verknüpfen die relevanten Verarbeitungstätigkeiten (ROPAs) und Belege, führen die Interessenabwägung durch, bewerten das Risiko gegen einen oder mehrere Standards und erstellen schließlich einen Behandlungsplan mit Verantwortlichkeiten und Fristen. Eine DSFA in DPMS bündelt viele andere Teile des Systems (ROPAs, Assets, Aufgaben, Assessments, Meetings, Dokumente, Risikoszenarien, TOMs und Workflows) – auf dieser Maske werden alle diese Teile für eine konkrete DSFA miteinander verbunden. Ohne diese Arbeit bleibt eine DSFA nur ein Platzhalter im Index und kann nie mit einer sauberen Audit-Spur abgeschlossen werden.

So öffnen Sie die Maske

Es gibt im Wesentlichen zwei Wege:

Öffnen Sie Datenschutz-Folgenabschätzung in der linken Hauptnavigation. Im DSFA-Index sehen Sie alle vorhandenen DSFAs.
Klicken Sie auf die Zeile der DSFA, an der Sie arbeiten möchten – die schreibgeschützte Detailansicht öffnet sich.
Klicken Sie in der Detailansicht auf das Stiftsymbol Bearbeiten in einem beliebigen Tab oder wählen Sie Bearbeiten aus dem Drei-Punkte-Menü oben rechts. Sie landen auf der Maske „DSFA bearbeiten" mit dem passenden Tab.

Sie können die Maske auch direkt aus den Risikoszenarien, dem Konsultationsprozess-Editor oder einem Assessment-Review-Portal aufrufen – DPMS merkt sich die Herkunft und bringt Sie beim Speichern dorthin zurück.

Diese Maske steht Benutzern zur Verfügung, die DSFAs anlegen oder bearbeiten dürfen. Wenn Ihre Rolle nur „eigene zugewiesene bearbeiten" zulässt, können Sie eine DSFA nur dann bearbeiten, wenn Sie als verantwortliche Person eingetragen sind. Benutzer ohne DSFA-Berechtigung sehen stattdessen eine „Kein Zugriff"-Seite.

Screenshot

Was Sie sehen

Die Maske verwendet das Standard-Bearbeitungs-Layout von DPMS. Oben sehen Sie eine Brotkrumennavigation mit dem DSFA-Modul, dem Namen der bearbeiteten DSFA und dem aktiven Tab in Blau. Wenn aktuell ein Workflow zu dieser DSFA läuft – etwa ein Genehmigungs-Workflow für die Rechtsabteilung – erscheint neben dem Titel ein Workflow-Indikator, damit Sie immer wissen, dass an diesem Datensatz parallel gearbeitet wird.

Auf der linken Seite finden Sie die vertikale Tab-Leiste – das Herzstück der Maske. Die Tabs sind grob in drei Gruppen aufgeteilt. Die erste Gruppe deckt die qualitativen Inhalte ab: Allgemein, Interessenabwägung, Aufgaben, Assessments, Assets. Die zweite Gruppe ist die Risikobewertungspipeline, die erst sinnvoll wird, wenn ein Standard ausgewählt ist: Standards, Schwellenwert, Risikoszenario, Implementierte TOMs, Aktuelles Risiko bestimmen, Vorgeschlagene TOMs, Element kopieren, Behandlungsplan, Behandlungsplan ansehen, Frist ansehen und Szenario unterhalb des Schwellenwerts hinzufügen. Die dritte Gruppe deckt die Governance ab: Zugriff verwalten, Trigger-Workflow-Übersicht und der Workflow-Unter-Tab Übersicht.

Im Hauptbereich rechts wird der Inhalt des aktiven Tabs angezeigt – ein Stapelformular für Allgemein, eine durchsuchbare Tabelle für Aufgaben/Assessments/Assets oder ein spezialisiertes Formular für die Risiko-Tabs. Unten rechts sitzt die fixierte Schaltfläche Speichern. In den meisten Tabs übernimmt Speichern Ihre Änderungen und bringt Sie zurück in die DSFA-Detailansicht; im schreibgeschützten Tab Behandlungsplan ansehen ist die Schaltfläche ausgeblendet und im Workflow-Tab Übersicht wird sie bei laufendem Workflow durch Workflow abbrechen ergänzt.

So arbeiten Sie mit der Maske

Eine neue DSFA von Grund auf ausfüllen

Üblicherweise kommen Sie hierher, direkt nachdem Sie aus dem DSFA-Index eine leere DSFA angelegt haben. Der Tab Allgemein ist Ihr Startpunkt.

Verwenden Sie oben im Formular den Auswahlbereich verantwortliche Personen, um eine oder mehrere Eigentümer einzutragen. Ab diesem Zeitpunkt darf jede hier gelistete Person die DSFA bearbeiten – auch wenn ihre Rolle nur das Bearbeiten zugewiesener Datensätze erlaubt.
Stellen Sie das Dropdown Status auf den passenden Lebenszyklus-Status, z. B. „Entwurf" während des Aufbaus. Die Status-Optionen kommen aus Ihrer DSFA-Statuskonfiguration und passen damit zum Rest von DPMS.
Tragen Sie das Feld Name ein. Namen sind mehrsprachig: Über das kleine Übersetzungssymbol neben dem Feld können Sie Übersetzungen einsehen oder bearbeiten, und DPMS kann automatisch in alle aktiven Sprachen übersetzen.
Wählen Sie die zuständige Organisationseinheit, z. B. „EMEA Marketing". Sie können bestehende Einheiten suchen oder im laufenden Betrieb eine neue anlegen. Diese Auswahl steuert Filterung, Reporting und Zugriffsregeln in DPMS.
Vergeben Sie Klassifizierungs-Tags wie „Art. 35 Auslöser" oder „Daten von Kindern". Die Tags werden im DSFA-Index zu Filtern und unterstützen das Reporting.
Verknüpfen Sie über das Feld Verknüpfte ROPA die Verarbeitungstätigkeiten, die diese DSFA abdeckt. Eine einzige DSFA „Marketing-Automatisierung" kann z. B. die ROPAs Newsletter, Retargeting und Lead-Scoring zusammenfassen. Dies ist die Brücke zwischen DSFA-Register und Verarbeitungsregister.
Beschreiben Sie im Rich-Text-Editor Notwendigkeit einer DSFA prüfen, warum die DSFA erforderlich ist – Auslöser nach Art. 35 Abs. 3, umfangreiche Verarbeitung, besondere Kategorien usw. Der Editor unterstützt Formatierung, Listen, Links und einen integrierten KI-Assistenten, sofern KI konfiguriert ist.
Halten Sie im Rich-Text-Editor Beschreibung der Verarbeitung fest, was die Verarbeitung tatsächlich tut – Umfang, Beteiligte, Aufbewahrung, Datenflüsse.
Klicken Sie auf Speichern. DPMS speichert das Formular und führt Sie zurück in die Detailansicht.

Von hier aus arbeiten Sie typischerweise weiter über Aufgaben, Assessments und Assets, um Belege anzuhängen, und steigen anschließend in die Risiko-Pipeline über Standards ein.

Aufgaben, Assessments und Assets verknüpfen

Die Tabs Aufgaben, Assessments und Assets folgen demselben Muster: Sie verknüpfen vorhandene Elemente mit dieser DSFA, damit sie in Workload-Planung, Belegketten und Risikobewertung gemeinsam erscheinen. Die zugrunde liegenden Elemente werden hier nicht angelegt oder bearbeitet – um eine Aufgabe selbst zu ändern, klicken Sie sich aus der Tabelle in sie hinein.

Öffnen Sie den entsprechenden Tab.
Filtern Sie über das Suchfeld, klicken Sie auf + Hinzufügen, wählen Sie Elemente per Häkchen aus und bestätigen Sie.
Die neuen Verknüpfungen erscheinen in der Tabelle, die Sie nach Name, Status, Frist, Priorität usw. sortieren können. Über das Entfernen-Symbol in der Zeile wird die Verknüpfung gelöst, ohne das Element selbst zu löschen.
Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

Im Tab Assessments gibt es eine Besonderheit. Beim Speichern verknüpfter Assessments kann DPMS erkennen, dass die Antworten in diesen Assessments das Risikobild der DSFA verändern könnten. In dem Fall erscheint ein Pop-up: „Risiko basierend auf den neuesten Assessment-Antworten aktualisieren?". Wenn Sie das bestätigen, leitet DPMS die aktiven Standards und Risikowerte der DSFA neu aus den Assessments ab – und falls danach genau ein Standard aktiv ist, wird dieser automatisch ausgewählt. Lehnen Sie das Pop-up ab, wenn das bestehende Risikomodell unverändert bleiben soll.

Die Interessenabwägung dokumentieren

Der Tab Interessenabwägung bietet Ihnen einen großen Rich-Text-Editor für die explizite Abwägung der berechtigten Interessen des Verantwortlichen gegenüber den Rechten der Betroffenen. Hier dokumentieren Sie typischerweise, ob die Verarbeitung erforderlich ist, ob weniger eingriffsintensive Alternativen existieren und auf welcher Grundlage der Verantwortliche fortfährt. Schreiben Sie Ihre Analyse und klicken Sie dann auf Speichern. Wie im Tab Allgemein ist auch dieses Feld mehrsprachig und automatisch übersetzbar.

Die Risikobewertung durchführen

Sobald die qualitativen Inhalte stehen, arbeiten Sie sich durch die Risiko-Pipeline. Der Kontextbalken oberhalb jedes Risiko-Tabs zeigt Ihnen, mit welchem Standard und welcher DSFA Sie gerade arbeiten – ist der Standardname leer, haben Sie noch keinen Standard ausgewählt und die Risikoformulare bleiben leer.

Öffnen Sie den Tab Standards und wählen Sie einen oder mehrere Standards aus Ihrer Bibliothek aus, z. B. ein „GDPR Privacy Risk Model" oder „ISO 27005". Speichern Sie. Mit der Aktivierung eines Standards wird die restliche Risiko-Pipeline für diesen Standard nutzbar.
Konfigurieren Sie im Tab Schwellenwert den Schwellenwert, oberhalb dessen ein Risikoszenario als wesentlich gilt. Welche Steuerelemente Sie sehen, hängt vom Risikomodell des Standards ab.
Im Tab Risikoszenario legen Sie entweder neue Szenarien direkt an (z. B. „Unbefugter Zugriff auf Marketing-Datenbank") oder verknüpfen vorhandene aus der zentralen Szenariobibliothek. Über die Zeile öffnen Sie das jeweilige Szenario zur weiteren Bearbeitung.
Im Tab Implementierte TOMs wählen Sie die bereits umgesetzten technischen und organisatorischen Maßnahmen pro Szenario – Verschlüsselung, Zugriffsmanagement, Schulungen usw. Diese reduzieren das Restrisiko.
Im Tab Aktuelles Risiko bestimmen setzen Sie Eintrittswahrscheinlichkeit und Schadensausmaß pro Szenario. Der Aktuelle-Risiko-Balken aktualisiert sich live und zeigt das Restrisiko im Verhältnis zum Schwellenwert für den aktiven Standard.
Wo das Restrisiko noch über dem Schwellenwert liegt, öffnen Sie Vorgeschlagene TOMs. DPMS schlägt zusätzliche Maßnahmen neben den bereits implementierten vor. Aktivieren Sie die Maßnahmen, die in den Behandlungsplan aufgenommen werden sollen.
Wenn es eine ähnliche DSFA mit demselben Standard gibt, können Sie über den Tab Element kopieren Standard und Risikobewertung übernehmen und so manuelle Eingaben sparen.
Der Tab Szenario unterhalb des Schwellenwerts hinzufügen ist ein spezielles Formular, um bewusst einen bekannten geringen Risikopfad festzuhalten – sinnvoll für Vollständigkeit und Audit.

Den Behandlungsplan aufbauen und veröffentlichen

Im Tab Behandlungsplan werden aus dem Restrisiko konkrete Maßnahmen.

Sehen Sie sich die Einträge an, die DPMS aus Ihren implementierten und vorgeschlagenen TOMs zusammengestellt hat. Jede Zeile verbindet eine TOM mit einem Risikoszenario.
Setzen Sie pro Zeile Verantwortliche, eine Frist und ggf. Kommentare.
Klicken Sie auf das vorläufige Speichern, um mit Ihrem Team weiter daran zu arbeiten – der Plan bleibt änderbar.
Wenn der Plan endgültig ist, klicken Sie auf das Speichern zum Finalisieren/Veröffentlichen. Ab diesem Moment ist der Plan gesperrt: Künftige Aufrufe landen im schreibgeschützten Tab Behandlungsplan ansehen, den auch Auditoren sehen werden. Über Frist ansehen aktualisieren Sie pro Eintrag Frist und Behandlungsstatus (Offen / In Bearbeitung / Erledigt) – auch nach Veröffentlichung.

Achtung: Das Veröffentlichen des Behandlungsplans ist ein Einbahnschritt. Spätere Änderungen erfordern in der Regel eine neue Revision oder einen Revalidierungs-Workflow, je nachdem, wie Ihre Organisation DSFA-Workflows konfiguriert hat.

Den Zugriff auf die DSFA steuern

Der Tab Zugriff verwalten steuert den gruppenbasierten Zugriff für genau diese DSFA.

Verwenden Sie die Zielgruppen-Auswahl, um Benutzergruppen aus Compliance-Einstellungen → Gruppenverwaltung hinzuzufügen. Jede Gruppe trägt ihren eigenen Lese- oder Schreibstatus.
Über die Einzelnutzer-Auswahl gewähren Sie zusätzlichen DPMS-Benutzern Lese- oder Schreibrechte.
Klicken Sie auf Speichern. Sie kehren in die DSFA-Detailansicht zurück.

Das funktioniert wie die Zielgruppenzuweisung an anderen Stellen in DPMS – die Gruppen selbst müssen bereits existieren, hier ordnen Sie sie nur zu.

Workflows starten und überwachen

Wenn Ihre Organisation Workflow-Vorlagen für DSFA-Review, Genehmigung oder Revalidierung verwendet, ordnen Sie sie im Tab Trigger-Workflow-Übersicht zu und lösen sie dort aus. Wählen Sie eine Workflow-Konfiguration aus dem Dropdown – diese stammen aus den Workflow-Vorlagen in den Compliance-Einstellungen – und klicken Sie auf Speichern. Sowohl die verfügbaren Vorlagen als auch das Auslöserrecht erfordern eine spezielle Berechtigung; daher steht dieser Tab nur Benutzern offen, die Workflows zuweisen dürfen.

Sobald ein Workflow läuft, zeigt der Unter-Tab Übersicht schreibgeschützt den aktuellen Stand und die Historie. Solange der Workflow läuft, erscheint neben Speichern die Schaltfläche Workflow abbrechen, mit der Sie ihn bei Bedarf stoppen können. Ist der Workflow abgeschlossen oder abgebrochen, verschwinden beide Schaltflächen und der Tab zeigt nur noch die Historie.

Feldreferenz

Im Tab Allgemein sind die folgenden Felder besonders erklärungsbedürftig:

Verantwortliche Personen – die laufenden Eigentümer der DSFA. Erforderlich für Benutzer mit Berechtigung „nur zugewiesene bearbeiten" – fehlt ihr Eintrag, können sie nicht bearbeiten.
Status – der Lebenszyklus-Status (Entwurf, In Prüfung, Aktiv usw.). Voreingestellt ist der erste System-Status. Steuert Dashboard-Kacheln und Filter im Index.
Name – die menschliche Bezeichnung, die überall erscheint, vom DSFA-Index über Brotkrumen bis zum veröffentlichten Behandlungsplan. Mehrsprachig; für ein sinnvolles Speichern erforderlich.
Organisationseinheit – welche Abteilung oder Geschäftseinheit für die bewertete Tätigkeit verantwortlich ist. Steuert Filter, Reporting und Zugriffsregeln. Sie können neue Einheiten direkt anlegen.
Klassifizierung – Mehrfachauswahl-Tags, gepflegt unter Compliance-Einstellungen → Tags, Typ „DSFA-Klassifizierungen". Werden im DSFA-Index zu Filtern.
Verknüpfte ROPA – eine oder mehrere Verarbeitungstätigkeiten, die diese DSFA abdeckt. Brücke zwischen DSFA- und ROPA-Register; ohne verknüpfte ROPAs ist eine DSFA selten vollständig.
Notwendigkeit einer DSFA prüfen – Rich-Text-Begründung, warum die DSFA erforderlich ist. Mehrsprachig mit Auto-Übersetzung und KI-Assistent.
Beschreibung der Verarbeitung – Rich-Text-Beschreibung der eigentlichen Verarbeitung. Mehrsprachig mit Auto-Übersetzung und KI-Assistent.
Interessenabwägung (im eigenen Tab) – die explizite Abwägung berechtigter Interessen gegenüber den Rechten der Betroffenen. Mehrsprachiger Rich-Text.

Wie die Maske mit dem Rest von DPMS zusammenhängt

„DSFA bearbeiten" ist die einzige Stelle, an der die operativen Risikobewertungs-Tabs einer DSFA tatsächlich bearbeitet werden können. Die Detailansicht zeigt, was bereits vorhanden ist; jedes Stiftsymbol in einem Detail-Tab führt Sie aber wieder hierher zum passenden Tab. Damit ist diese Maske die einzige Quelle der Wahrheit für Inhalt und Risikolage einer DSFA.

Einige übergreifende Verbindungen lohnen sich zu merken:

Die Statusfilter und Risikobadges im DSFA-Index lesen direkt das aus, was Sie in Allgemein und in den Risiko-Tabs eintragen.
Dashboard-Kacheln zur Datenschutz-Compliance zählen DSFAs nach Status, basierend auf dem Status im Tab Allgemein.
Die Gruppen in Zugriff verwalten folgen demselben Muster wie bei anderen DPMS-Elementen – die Gruppen selbst werden in Compliance-Einstellungen → Gruppenverwaltung gepflegt.
Workflow-Vorlagen im Tab Trigger-Workflow-Übersicht werden ebenfalls anderswo konfiguriert; hier ordnen und starten Sie sie nur für diese konkrete DSFA.
KI-Vorschläge in den Rich-Text-Feldern erscheinen nur, wenn KI-Zugangsdaten plattformweit konfiguriert sind; andernfalls sind die KI-Schaltflächen einfach deaktiviert.

Nach Abschluss Ihrer Arbeit hier folgt typischerweise der Konsultationsprozess – aufrufbar über den Tab „Konsultation" in der DSFA-Detailansicht – in dem Sie Meetings mit dem DSB protokollieren, relevante Dokumente verknüpfen und eine endgültige Entscheidung (Genehmigt, In Bearbeitung oder Nicht genehmigt) festhalten, die in die DSFA zurückfließt.

Tipps und typische Fallstricke

Tipp: Wählen Sie immer zuerst einen Standard, bevor Sie die Risiko-Tabs öffnen. Neue Anwender springen oft direkt in Risikoszenario oder Schwellenwert und finden leere Formulare vor. Der Kontextbalken oben in diesen Tabs zeigt den aktiven Standardnamen; ist er leer, gehen Sie zurück nach Standards und fügen Sie mindestens einen Standard hinzu.

Achtung: Wenn Sie nach dem Speichern verknüpfter Assessments das Pop-up „Risiko basierend auf den neuesten Assessment-Antworten aktualisieren?" bestätigen, lässt DPMS die aktiven Standards überschreiben und setzt die Risikobewertung zurück. Bestätigen Sie nur, wenn die Assessment-Antworten das Risikomodell tatsächlich steuern sollen.

Verknüpfungs-Tabs speichern Verknüpfungen, nicht die Elemente selbst. Beim Hinzufügen einer Aufgabe verknüpfen Sie eine bestehende Aufgabe mit dieser DSFA – die Aufgabe selbst wird dadurch nicht angelegt oder verändert. Klicken Sie sich für eine Änderung in die Aufgabe hinein.
Einige Felder aus Allgemein (z. B. Notwendigkeit prüfen, Beschreibung der Verarbeitung) lassen sich direkt in der Detailansicht inline bearbeiten und werden ohne explizites Speichern übernommen. Verwenden Sie „DSFA bearbeiten / Allgemein" für Name, Organisationseinheit, verknüpfte ROPAs oder Klassifizierung – diese Felder sind nicht inline editierbar.
Das Veröffentlichen des Behandlungsplans ist unwiderruflich: Nach dem Sperren ist nur noch der Tab Behandlungsplan ansehen verfügbar; weitere Änderungen erfordern eine neue Revision oder einen Revalidierungs-Workflow.
Wenn Sie aus dem Daten-Mapping-Flow oder einem Assessment-Review-Portal kommen, führt Speichern Sie nicht in die DSFA-Detailansicht, sondern zurück zur ursprünglichen Maske. Das ist beabsichtigt, kann aber überraschen, wenn man immer auf der Detailansicht erwartet.
Benutzer mit „nur zugewiesene bearbeiten" sehen dieselbe Maske, aber nur für DSFAs, in denen sie als verantwortliche Person eingetragen sind; andernfalls erhalten sie beim direkten Aufruf der Bearbeitungs-URL die „Kein Zugriff"-Seite.