Sie muss immer dann erfolgen, wenn ein hohes Risiko für die Rechte und Freiheiten der betroffenen Person im Raum steht. Dies ist anhand einer objektiven Risikoanalyse zu ermitteln. Dies ist nach Art. 35 DSGVO insbesondere dann der Fall, wenn große Mengen personenbezogener Daten verarbeitet werden und wenn systematische und umfassende Bewertung persönlicher Aspekte stattfindet. Darüber hinaus führen die Aufsichtsbehörden sog. Blacklists für Datenverarbeitungen, die auf jeden Fall eine DSFA benötigen.