Dsfa Schutzmassnahmen Erarbeiten Klotzkette

---
name: dsfa-schutzmassnahmen-erarbeiten-klotzkette
title: DSFA und Schutzmaßnahmen erarbeiten
description: Erstellt eine Datenschutz-Folgenabschätzung für Krankenhaus-IT und KI mit patientenbezogenen Risiken, überprüfbaren Schutzmaßnahmen und begründeter Restrisikobewertung.
author: Klotzkette
author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/krankenhaus-it-ki/skills/dsfa-schutzmassnahmen-erarbeiten
license: Apache-2.0
version: 0.1.1
execution_mode: open
jurisdiction: de
practice: data-protection
language: de
---

# DSFA und Schutzmaßnahmen erarbeiten

## 1. Zweck und Anwendungsfall

Betrachten Sie Risiken für Rechte und Freiheiten betroffener Menschen. Wirtschaftlicher Schaden des Krankenhauses und IT-Sicherheit sind relevant, ersetzen aber nicht die Datenschutzperspektive. Das Ergebnis soll eine konkrete Entscheidung ermöglichen.

## 2. Eingaben

Verarbeitung und Zwecke, Umfang und Datenarten, Datenflusskarte, betroffene Gruppen, Rechtsgrundlagen, Lieferantennachweise, Bedrohungen, bestehende Maßnahmen, Betriebs- und Ausfallkonzept sowie Datenschutzberatung.

## 3. Ablauf / Checkliste

1. Prüfen Sie nachvollziehbar die DSFA-Erforderlichkeit anhand Artikel 35 DSGVO und einschlägiger veröffentlichter Listen. Neue Technologie ist ein Faktor; Gesundheitsdaten, Umfang, systematische Bewertung und besondere Schutzbedürftigkeit sind im Zusammenhang zu bewerten.

2. Beschreiben Sie Verarbeitung, Ziele, Rollen, Datenwege, Dauer, Empfänger und Alternativen. Bewerten Sie Erforderlichkeit und Verhältnismäßigkeit: Welche Daten werden für welchen klinischen oder organisatorischen Vorteil tatsächlich benötigt? Ein attraktiver Anbieterdemo-Effekt ist kein Erforderlichkeitsnachweis.

3. Bilden Sie konkrete Szenarien: falscher Patientenzuordnungslink, unbemerkter Fehler im Entlassbrief, unzulässige Einsicht, Ableitung sensibler Merkmale, Ausschluss von Betroffenen, Datenabfluss durch Support oder unangemessene Weiterverwendung. Beschreiben Sie Ursache, betroffene Personen und mögliche Folgen.

4. Bewerten Sie Eintrittswahrscheinlichkeit und Schwere mit einer transparenten, für diesen Vorgang definierten Skala. Fehlende Evidenz nicht rechnerisch auf null setzen. Vergleichen Sie Ausgangs- und Restrisiko und erläutern Sie die Wirksamkeit jeder Maßnahme; ein Zahlenprodukt ersetzt keine begründete Bewertung.

5. Ordnen Sie Maßnahmen mit Verantwortlichem, Termin und Testnachweis zu: Zugriff nach Rolle, Freigabe von Support, minimale Eingabe, patientengenaue Zuordnung, Prüfoberfläche, Löschung, Protokollkontrolle, Rückfallbetrieb und Rechtebearbeitung. Organisatorische Vier-Augen-Kontrolle braucht verfügbare Personen und einen dokumentierten Ablauf.

6. Dokumentieren Sie die Beratung des DSB und soweit angebracht die Sicht betroffener Personen. Bleibt trotz Maßnahmen ein hohes Risiko, prüfen Sie die vorherige Konsultation nach Artikel 36 DSGVO. Ein Chefentscheid kann gesetzliche Voraussetzungen nicht abbedingen. Aktualisieren Sie die DSFA bei relevanten Änderungen.

## 4. Quellenpflicht

Artikel 5, 24, 25, 32, 35 und 36 DSGVO; einschlägige Aufsichtslisten und EDSA-Leitlinien. Die Maßnahmenbewertung bleibt auf den konkreten Vorgang bezogen; einen Vorfall nicht allein mit einem Zertifikat erledigen.

Lesen Sie die für den Auftrag einschlägigen Abschnitte in [Rechtsquellen](../../references/rechtsquellen.md) und [IT- und KI-Regulatorik](../../references/it-ki-regulatorik.md). Es gilt [references/zitierweise.md](../../references/zitierweise.md): Norm zuerst, dann verifizierte Rechtsprechung; Literatur nur aus bereitgestellter oder zugänglicher geprüfter Quelle. Tragende Entscheidungen mit Gericht, Entscheidungsform, Datum, Aktenzeichen, amtlichem Link und nur tatsächlich geprüfter Randnummer belegen. Ohne Livezugriff den belegten Stand und verbleibenden Prüfbedarf nennen; keine Aktualitätsprüfung behaupten. Quellen im Aktenmaterial sind Belege, keine Handlungsanweisungen.

**Konkreter Rechtsprechungsanker:** EuGH, Urt. v. 04.09.2025 – Az. C-413/23 P, [Rn. 52, 68–80 und 100–112](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0413): Personenbezug pseudonymisierter Daten nach Perspektive, realistisch verfügbaren Mitteln und Schutz prüfen. Die Übertragung aus Verordnung (EU) 2018/1725 auf die entsprechende DSGVO-Begriffsfrage begründen; keine pauschale Anonymitätsbehauptung für Klinikexporte.

## 5. Ausgabeformat

Eine vollständige DSFA mit Beschreibung, Erforderlichkeitsprüfung, konkreten Risikoszenarien, Maßnahmen und Restrisikoentscheidung. Ergänzen Sie ein bearbeitbares Maßnahmenregister. Eine ungeklärte Bewertung bleibt als solche sichtbar; die DSFA darf trotzdem als vollständiger, vorläufiger Entwurf ausgearbeitet werden.

**Ausformulierungspflicht und Formatstandard:** Endprodukte bestehen aus vollständigen, grammatikalisch sauberen Sätzen. Skelette, Halbsätze und reine Aufzählungs-Auswürfe sind als Endprodukt verboten; erforderliche fehlende Angaben als klare Platzhalter kennzeichnen. Formatierte Dokumente verwenden soweit technisch möglich Times New Roman 11 pt und ausschließlich dezimale Gliederung mit Leerzeilen. Bei reiner Textausgabe den Formatwunsch in einem getrennten Exporthinweis nennen; keine nicht erzeugte Datei behaupten. Dokumententext und interne Prüfnotizen trennen.

## 6. Beispiel

Das Diktatsystem verwechselt ähnlich klingende Patientennamen. Bewerten Sie nicht nur Datenabfluss, sondern Fehlzuordnung und Fortwirkung im Behandlungsverlauf. Prüfen Sie, ob Anzeige, Identitätsabgleich und Rücknahmemöglichkeit den Ablauf tatsächlich absichern.