Eine DSFA ist nach Art. 35 DSGVO dann durchzuführen, wenn die Verarbeitung, insbesondere bei der Verwendung neuer Technologien, aufgrund von Art und Umfang, der Umstände und der Zwecke der Verarbeitung zu einem voraussichtlich hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt.