Gemäß Art. 35 Abs. 1 DSGVO besteht die Pflicht zur Durchführung einer DSFA, wenn die geplante
„(…) Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge“
hat. Kurzum bei:
Verfahren mit hohem Risiko für die Rechte und Freiheiten natürlicher Personen
Dem Einsatz neuer Technologien, die voraussichtlich ein hohes Risiko für den Betroffenen zur Folge haben
Die DSFA ist kein Instrument zur nachträglichen Bewertung von Risiken. Sie ist vor Beginn der geplanten Verarbeitungstätigkeit durchzuführen.