Das Datenschutzrecht verfolgt generell einen risikobasierten Ansatz. Das heisst, dass der Verantwortliche und der Auftragsbearbeiter ihre Massnahmen zur Einhaltung des Datenschutzrechts an den Risiken für die Betroffenen ausrichten müssen - je höher diese Risiken, desto höher die Anforderungen an den Schutz der Betroffenen z.B. durch stärkere Sicherheitsmassnahmen.  Das verlangt ganz allgemein, dass Unternehmen die Risiken ihrer Datenbearbeitungen einschätzen, und sie müssen die Einhaltung des Datenschutzrechts proaktiv sicherstellen (das meint der Grundsatz von "privacy by design").  Wenn sie dabei feststellen, dass bestimmte Datenbearbeitungen voraussichtlich besonders riskant sind, müssen sie eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Das gilt nach dem revDSG wie auch nach der DSGVO.  Eine DSFA ist deshalb nichts weiter als dies - eine Risikobewertung. Zu bewerten sind die Risiken, wie sie sich ex ante präsentieren, die sog. Bruttorisiken. Zu berücksichtigen sind sodann risikosenkende Massnahmen, und am Ende das verbleibende Risiko, das Nettorisiko. Dies alles ist zu dokumentieren, und wenn ein DPO oder ein Datenschutzberater bestellt wurden, sind sie einzubeziehen.  Sollte sich ausnahmsweise zeigen, dass die Nettorisiken nach wie vor hoch sind, muss dies der zuständigen Datenschutzbehörde mitgeteilt werden. In der Schweiz ist das der EDÖB. Eine solche Mitteilungspflicht entfällt aber, wenn ein unabhängiger Datenschutzberater bestellt wurde und an der DSFA beteiligt war.