Wann ist eine DSFA erforderlich? Der vollständige Prüfschritt

Die Frage „wann ist eine DSFA erforderlich“ gehört an den Anfang eines Vorhabens. Eine Datenschutz-Folgenabschätzung wird gebraucht, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht ¹. Art, Umfang, Umstände und Zwecke bilden dafür den Ausgangspunkt.

Neue Technik allein löst die Pflicht nicht aus. Das Team prüft zuerst die drei ausdrücklich genannten Fälle des Artikels 35 ¹, anschließend die WP248-Kriterien ² und die einschlägigen Listen, bevor es ein belegtes Ergebnis festhält.

Der Screen sollte mit der fachlichen Beschreibung beginnen, bevor Integration und Datenfluss festgeschrieben sind; Dann kann das Team Zweck, Umfang und Schutzmaßnahmen noch verändern; Eine erst nach dem Start geschriebene Bewertung dokumentiert dagegen ein bereits eingegangenes Risiko.

Das Ergebnis gehört immer zu einer bestimmten Projektversion und nicht zur abstrakten Bezeichnung einer Technik.

Kurzantwort: Wer klären will, wann eine DSFA erforderlich ist, prüft vor der Verarbeitung das voraussichtlich hohe Risiko. Die drei Fälle aus Artikel 35, neun WP248-Kriterien und einschlägige Behördenlisten gehören in einen gemeinsamen Screen. Das begründete Ja oder Nein benötigt Tatsachen, Belege, eine verantwortliche Person und einen klaren Auslöser für die erneute Prüfung.

Zuletzt aktualisiert: 26. August 2026

Das voraussichtlich hohe Risiko steht am Anfang

Die zentrale Frage richtet sich auf diese Verarbeitung: Kann sie wegen ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein hohes Risiko auslösen ¹? Eine Produktbezeichnung oder die allgemeine Risikoklasse eines Lieferanten ersetzt diesen Test nicht. Beschreiben Sie Daten, Personen, Größenordnung, Dauer, Zweck, Empfänger und tatsächliche Folgen so präzise, dass eine außenstehende Person den Prozess verstehen kann.

Das Risiko betrifft Menschen. Denkbar sind etwa Diskriminierung, Kontrollverlust, finanzielle Nachteile, Vertraulichkeitsverletzungen oder der Ausschluss von einer Leistung. Artikel 35 verlangt die Bewertung vor der betreffenden Verarbeitung ¹. Ein technisch fertiges System darf deshalb nicht mit einem rechtlich und organisatorisch entscheidungsreifen Prozess verwechselt werden.

Auch eine innovative Lösung kann harmlos oder hochriskant eingesetzt werden. Ein Modell für unkritische Aggregationen hat eine andere Wirkung als dasselbe Modell bei der Entscheidung über Zugang, Beschäftigung oder Kredit. Halten Sie die Verbindung zwischen Funktion, Daten, betroffener Gruppe und Folge fest ¹. Fehlen noch wesentliche Tatsachen, werden diese ermittelt und nicht durch eine beruhigende Annahme ersetzt.

Trennen Sie dabei Organisationsschäden von Folgen für Menschen; Kosten, Ausfall und Unternehmensreputation können relevant sein, ersetzen aber nicht die Prüfung von Kontrollverlust, Diskriminierung, finanzieller Schädigung, Offenlegung oder versperrtem Zugang; Diese personenbezogene Wirkung trägt den eigentlichen Risikotest.

Eine gute Vorprüfung trennt inhärentes Risiko von bereits geplanten Kontrollen; Zunächst wird verstanden, was ohne zusätzliche Maßnahmen geschehen könnte; Danach lässt sich beurteilen, welche Maßnahmen das Risiko tatsächlich verändern; Wer beides vermischt, kann weder die Notwendigkeit einer DSFA noch ein späteres Restrisiko sauber erklären.

Prüfen Sie die drei ausdrücklichen Pflichtfälle

Artikel 35 nennt drei Konstellationen, in denen eine DSFA bei Vorliegen aller Merkmale durchzuführen ist ¹. Jede Zeile muss vollständig gelesen werden. Schlagwörter wie „Profiling“ oder „sensible Daten“ reichen nicht, wenn dabei Größenordnung, Systematik oder erhebliche Wirkung verloren gehen.

Der Ablauf grenzt zuerst die Verarbeitung ab und prüft danach Pflichtfälle, neun Kriterien und die veröffentlichten Listen der zuständigen Behörde ^2,3. Ein Pflichtfall oder ein verbindlicher Listentreffer führt zur DSFA; ohne Treffer bleibt der vollständige Test des voraussichtlich hohen Risikos offen ¹. Ein begründetes Nein wird dokumentiert, während ein Ja vor Verarbeitungsbeginn in die Bewertung führt. Nicht reduzierbares hohes Restrisiko kann die vorherige Konsultation öffnen, und beide Entscheidungswege enden bei einer Prüfung nach wesentlichen Änderungen.

Bei automatisierter Bewertung wird die gesamte Kette vom Ergebnis bis zur erheblichen Entscheidung beschrieben; Bei besonderen oder strafrechtlichen Daten müssen Datenart und große Größenordnung zusammen vorliegen; Für öffentlich zugängliche Bereiche sind Systematik, Umfang und Zugänglichkeit getrennte Tatsachen, die nicht durch das Schlagwort „Kamera“ ersetzt werden.

Erfüllt eine Zeile alle Bestandteile, wartet das Team nicht auf weitere Kriterien; Passt keine Zeile vollständig, läuft der Screen weiter; Das Fehlen eines ausdrücklich genannten Pflichtfalls beweist noch nicht, dass die geplante Verarbeitung kein voraussichtlich hohes Risiko erzeugt.

Der Screen benötigt Belege aus dem geplanten Betrieb; Herstellerunterlagen können eine Funktion beschreiben, sagen aber nicht automatisch, wie sie im eigenen Prozess, mit eigenen Daten und gegenüber eigenen Betroffenengruppen eingesetzt wird; Für jedes entscheidende Merkmal sollte eine Quelle und eine verantwortliche Person benannt sein.

Neun Kriterien helfen, ohne einen Punkttest zu bilden

WP248 benennt neun Kriterien, mit denen sich Verarbeitungen mit voraussichtlich hohem Risiko erkennen lassen ². Das EDPB hat die Leitlinien gebilligt und damit ihren praktischen Stellenwert für die Anwendung bestätigt ³.

Zwei Kriterien sprechen üblicherweise für eine DSFA, weitere erhöhen die Wahrscheinlichkeit ². Diese Orientierung ist kein gesetzlicher Schwellenwert und kein umgekehrter Freibrief. Ein einziges Kriterium kann bei hoher Intensität genügen. Umgekehrt ersetzt das Abhaken mehrerer Zeilen nicht die Auseinandersetzung mit ihrer Bedeutung und ihrem Zusammenwirken ³.

Notieren Sie für jedes Kriterium den tragenden Sachverhalt, nicht nur ein Ja oder Nein. Mehrere Faktoren können sich gegenseitig verstärken: sensible Daten, abhängige Personen und eine Entscheidung über Zugang haben zusammen eine andere Wirkung als isolierte Merkmale. Die Begründung muss diese Wechselwirkung sichtbar machen.

Offene Tatsachen bleiben ausdrücklich offen. Unbekannte Größenordnung, ungeklärte Datenquellen oder eine nur behauptete menschliche Kontrolle zählen nicht als negative Antwort. Die verantwortliche Person schließt diese Lücken, bevor sie einen endgültigen Ausgang freigibt.

Beschreiben Sie nicht nur „vorhanden“ oder „nicht vorhanden“. Größenordnung, Häufigkeit, Unausweichlichkeit und Wirkung bestimmen, wie viel Gewicht ein Kriterium trägt. Die Notiz soll erkennen lassen, warum die Tatsachen gerade bei dieser Personengruppe und diesem Prozess ein bestimmtes Risikobild ergeben.

Die einschlägigen Behördenlisten sind ein eigener Schritt

Nach Artikel 35 und dem Kriterien-Screen werden die aktuellen Listen der zuständigen Aufsichtsbehörde geprüft ¹. Dazu gehören Listen von Verarbeitungsvorgängen, für die eine DSFA erforderlich ist, und gegebenenfalls Listen, für die keine DSFA verlangt wird. Diese Prüfung ist nicht durch eine allgemeine Zusammenfassung ersetzbar.

Die Akte nennt geprüfte Quelle, Version, Datum und Ergebnis, ohne eine nationale Liste nachzuerzählen. So kann ein späterer Prüfer das Ergebnis bei der zuständigen Stelle wiederholen. Eine Negativliste bleibt auf ihren beschriebenen Anwendungsbereich begrenzt und beseitigt einen anderweitig erkennbaren Hochrisikofall nicht.

Ein unionsweiter Artikel kann keine nationale Liste, Behörde oder Sonderregel erfinden. Zuständigkeit und veröffentlichte Fassungen hängen von den konkreten Umständen ab. Der Entscheidungsvermerk nennt deshalb Quelle, Datum, Fassung und Suchergebnis. Bei einem grenzüberschreitenden Vorhaben wird geklärt, welche Listen tatsächlich einschlägig sind.

Auch eine Negativliste ist kein universeller Schutzraum. Weicht die geplante Verarbeitung von der beschriebenen Konstellation ab oder bleibt aufgrund anderer Tatsachen ein hohes Risiko wahrscheinlich, muss die Analyse weitergehen. Der Vermerk erklärt die genaue Reichweite des Listeneintrags.

Die Listenprüfung sollte reproduzierbar sein. Ein Link ohne Datum kann später auf eine geänderte Fassung führen. Speichern Sie daher nicht nur die Schlussfolgerung, sondern auch die Information, auf deren Grundlage sie getroffen wurde.

Ein echtes und begründetes Nein bleibt möglich

Ein Nein ist ein zulässiges Ergebnis, wenn der vollständige Screen kein voraussichtlich hohes Risiko ergibt ¹. Nicht jede Verarbeitung personenbezogener Daten ist automatisch hochriskant. Ebenso wenig besteht eine pauschale Ausnahme für kleine Unternehmen; maßgeblich bleibt die konkrete Tätigkeit.

Eine begrenzte gewöhnliche Versandliste kann ohne Profiling, sensible Daten, große Größenordnung oder weitere Risikofaktoren zu einem Nein führen ². Gleiches kann für beschränkte Werbung für eigene Angebote gelten. Beide Beispiele sind von Tatsachen abhängig und keine sicheren Häfen. Externe Profile, Standortdaten, intensive Segmentierung oder erhebliche Folgen können die Beurteilung sofort verändern.

Die Nein-Akte verdient dieselbe Sorgfalt wie eine Ja-Akte. „Geringes Risiko“ ohne Beschreibung reicht nicht. Die prüfende Person muss sehen können, welche Fakten vorlagen, welche Kriterien und Listen geprüft wurden und warum das verbleibende Risiko nicht voraussichtlich hoch ist ².

Bei der begrenzten Versand- oder Eigenwerbung werden deshalb Quellen, Umfang, Segmentierungsregeln, Datenarten und Wirkung festgehalten. Erst diese Grenzen machen den Fall nachvollziehbar. Kommen externe Profile, Standortdaten, neue Empfänger oder eine automatische Auswahl hinzu, ist das frühere Nein nicht übertragbar.

Ein kleines Unternehmen besitzt keine pauschale Ausnahme, und ein großes Unternehmen hat nicht automatisch für jeden einfachen Vorgang eine DSFA-Pflicht. Der Test folgt der Verarbeitung. Größe ist nur dort relevant, wo sie den tatsächlichen Umfang und das mögliche Ausmaß für Menschen verändert.

Formulieren Sie für jedes Nein einen Änderungsauslöser. Neue Zwecke, zusätzliche Datensätze, erheblich größere Reichweite oder eine Verschiebung von Unterstützung zu Entscheidung öffnen den Screen erneut. So bleibt das Nein ein belastbarer, aber klar begrenzter Ausgang.

Ein Nein erhält außerdem einen Überprüfungsauslöser. Andernfalls wird eine richtige Entscheidung aus der Planungsphase später als Begründung für einen veränderten Prozess verwendet. Gerade schrittweise Erweiterungen machen diesen Fehler wahrscheinlich.

Der Entscheidungsvermerk muss eine Wiederholung erlauben

Der Vermerk benennt Verarbeitung, wesentliche Tatsachen, den Artikel-35-Test und die Anwendung der WP248-Kriterien ². Er führt die geprüften Kriterien einzeln auf, ohne daraus eine automatische Punktzahl zu erzeugen. Daneben stehen die geprüften Positiv- und Negativlisten.

Das Ergebnis lautet eindeutig „DSFA erforderlich“ oder „DSFA nicht erforderlich“ und enthält Begründung sowie Nachweise ¹. Dokumentiert werden die Stellungnahme der oder des Datenschutzbeauftragten, soweit einschlägig, die entscheidende Person, Datum, Freigabe und Überprüfungsauslöser. Das macht Verantwortung sichtbar.

Unbekannte Tatsachen werden als offen markiert. Ist die Größenordnung noch nicht beschlossen, kann sie nicht zugleich als Beleg für ein niedriges Risiko dienen ². Der Projektverantwortliche schließt solche Punkte, bevor die Entscheidung endgültig wird.

Eine praktische Entscheidungsakte verbindet jede wesentliche Aussage mit Quelle, Datum und verantwortlicher Person. Sie hält auch abweichende Einschätzungen fest. Wird eine Empfehlung der Datenschutzbeauftragten oder des Datenschutzbeauftragten nicht übernommen, bleibt die begründete Entscheidung samt Eigentümer sichtbar.

Der Umfang des Dokuments ist weniger wichtig als seine Wiederholbarkeit. Eine fachfremde prüfende Person sollte Prozessgrenze, Kriterien, Listenprüfung, offene Punkte und Review-Auslöser allein aus der Akte nachvollziehen können. Fehlt diese Spur, ist die Entscheidung noch nicht ausreichend belastbar.

Eine kompakte Zusammenfassung steht am Anfang, die Arbeitsunterlagen bleiben dahinter erhalten. Dadurch kann die Leitung die Entscheidung erfassen, während eine spätere Prüfung weiterhin die Quellen, Annahmen und verworfenen Alternativen nachvollzieht.

Nach dem Ja folgt die vollständige Folgenabschätzung

Das Ja ist nur der Start der eigentlichen Bewertung. Artikel 35 verlangt vier miteinander verbundene Bestandteile ¹:

• eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und Zwecke, gegebenenfalls einschließlich des berechtigten Interesses;
• eine Bewertung der Erforderlichkeit und Verhältnismäßigkeit im Verhältnis zu diesen Zwecken ²;
• eine Bewertung der Risiken für Rechte und Freiheiten betroffener Personen ¹;
• Maßnahmen zur Risikobewältigung einschließlich Garantien, Sicherheitsvorkehrungen und Mechanismen zur Sicherung und zum Nachweis der Compliance.

Die Beschreibung setzt die Grenze. Erforderlichkeit und Verhältnismäßigkeit prüfen, ob die Verarbeitung in dieser Form gerechtfertigt ist. Die Risikoanalyse benennt mögliche Schäden, und die Maßnahmen antworten auf deren konkrete Ursachen. Eine allgemeine Kontrollliste ohne Verbindung zum Risiko ist keine vollständige DSFA ¹.

Soweit angebracht, werden die Sicht betroffener Personen oder ihrer Vertretungen eingeholt ². Die Datenschutzbeauftragte oder der Datenschutzbeauftragte erhält die nötigen Informationen für eine fachliche Stellungnahme. Auch verworfene Maßnahmen und ihre Gründe sollten dokumentiert werden, damit die nächste Prüfung nicht dieselben Wege erneut durchläuft ¹.

Nach den Maßnahmen wird das Restrisiko beurteilt. Bleibt es hoch und kann die verantwortliche Stelle es nicht mindern, kann eine vorherige Konsultation erforderlich werden. Das ist keine automatische Folge jeder DSFA. Entscheidend ist das nicht ausreichend reduzierte hohe Risiko, und der Projektplan muss diese Möglichkeit vor Beginn der Verarbeitung berücksichtigen.

Jede Maßnahme benötigt Eigentümer, Termin und Wirksamkeitsprüfung. Allgemeine Einträge wie „Verschlüsselung“ oder „menschliche Kontrolle“ reichen nicht, wenn unklar bleibt, welches Risiko sie mindern und wie ihre Wirkung geprüft wird. Eine direkte Zuordnung von Ursache, Maßnahme und Restrisiko macht die Bewertung umsetzbar.

Die Erforderlichkeitsprüfung kann den Entwurf selbst verändern: weniger Daten, kürzere Speicherung, begrenzter Zweck oder weniger Empfänger. Bewahren Sie verworfene Varianten mit dem Grund auf. Damit zeigt die DSFA nicht nur Kontrollen, sondern tatsächliche datenschutzfreundliche Entscheidungen.

Die Maßnahmen erhalten Eigentümer, Frist und Prüfnachweis. „Verschlüsselung vorgesehen“ ist erst dann ein belastbarer Eintrag, wenn Umfang, Schlüsselverwaltung, Zuständigkeit und Wirksamkeitskontrolle feststehen. So wird aus der Bewertung ein umsetzbarer Plan.

Die EDSA-Vorlage ist freiwillig

Der EDSA nahm am 14. April 2026 eine DSFA-Vorlage an und ließ Verantwortlichen ausdrücklich die Wahl ihrer Methode ⁴; weil die Vorlage weder verbindlich ist noch einen neuen Auslöser nach Artikel 35 schafft, bietet sie ohne eigenes Verfahren eine kostenlose Bewertungsstruktur und dient bei einer bestehenden Methode als Abgleich. Obwohl die Konsultation am 9. Juni 2026 endete, erklärt die offizielle Seite weiterhin, die Vorlage werde nach der Konsultation fertiggestellt ⁵.

Änderungen an Verarbeitung oder Risiko lösen die Prüfung aus

Eine DSFA ist ein fortlaufender Prozess. Artikel 35 verlangt eine Überprüfung jedenfalls dann, wenn sich das mit der Verarbeitung verbundene Risiko ändert ¹. Neue Zwecke, Daten, Empfänger, Modelle, Anbieter, Größenordnungen oder Entscheidungsfolgen können dafür genügen.

Legen Sie Auslöser, verantwortliche Person und Verbindung zum Änderungsmanagement vor dem Start fest ². Die Überprüfung kann die bisherige Bewertung bestätigen, neue Maßnahmen verlangen oder zu einem anderen Ergebnis führen. Datum und Grundlage der neuen Entscheidung bleiben sichtbar.

Auch ein früheres Nein kann später in ein Ja wechseln ². Deshalb endet der Nein-Pfad ebenfalls bei der Überprüfung. Eine alte Begründung darf nicht stillschweigend auf eine wesentlich erweiterte Verarbeitung übertragen werden.

Regelmäßige Termine können zusätzlich sinnvoll sein, ersetzen aber keine ereignisbezogene Prüfung. Eine erhebliche Änderung wartet nicht bis zum nächsten Kalendertermin, wenn sie vorher umgesetzt werden soll.

Vier Arbeitssituationen machen den Test greifbar

Ein Werkzeug sortiert Kundenanfragen, entscheidet aber nicht über den Zugang zu einer Leistung. Das Team dokumentiert Daten, Volumen, Aufbewahrung und menschliche Kontrolle ¹. Ohne sensible Daten, intensive Überwachung oder erhebliche Wirkung kann der vollständige Screen in einem begründeten Nein enden.

Ein anderes System bewertet Beschäftigte anhand mehrerer Quellen und beeinflusst Beförderungen. Abhängigkeit, systematisches Scoring und erhebliche Wirkung sprechen für ein hohes Risiko ². Auch bei einer kleinen Gruppe können Intensität und eingeschränkte Wahl eine DSFA tragen.

Ein dritter Fall überwacht öffentlich zugängliche Bereiche systematisch und in großem Umfang ¹. Sind die Merkmale des Pflichtfalls erfüllt, geht der Prozess direkt in die DSFA. Weitere Kriterien können die Analyse vertiefen, müssen aber nicht erst einen künstlichen Punktestand erreichen.

Eine begrenzte Bestandskundenkampagne ohne Datensatzverknüpfung und Verhaltensprognose kann ein Nein ergeben ¹. Dieses Ergebnis gilt nur unter den dokumentierten Tatsachen. Externe Profile, Standortdaten oder automatische Preisunterschiede öffnen den Screen erneut.

Die Fälle werden stets in derselben Reihenfolge geprüft: Grenze, Pflichtfälle, neun Kriterien, Listen und Gesamtwirkung. Das verhindert, dass ein Team nur den bequemsten Vergleich auswählt. Beim Beschäftigtenfall sind Abhängigkeit und echte menschliche Kontrolle besonders wichtig; beim Sortierwerkzeug ist zu beobachten, ob aus Unterstützung später Priorität, Preis oder Ablehnung wird.

Jeder Übungsfall endet mit einem kurzen begründeten Vermerk. Eine zweite Person sollte aus den Akten erkennen können, welche Tatsachen den Ausgang tragen und welche Änderung ihn entkräftet. Gelingt das nicht, braucht der Screen weitere Fakten und keine stärkere Formulierung.

Besonders wichtig ist der Übergang von Unterstützung zu Entscheidung. Wird ein zunächst sortierendes Werkzeug später für Priorität, Preis oder Zugang verwendet, verändert sich seine Wirkung auf Menschen. Dieser Funktionswechsel muss den Screen erneut öffnen, bevor die erweiterte Nutzung startet.

Die Beispiele zeigen, warum Produktnamen wenig helfen. Dasselbe Werkzeug kann in verschiedenen Abläufen vollkommen andere Folgen haben. Entscheidend sind die tatsächliche Nutzung, die möglichen Auswirkungen auf Menschen und die vollständige Anwendung des Tests.

Häufige Fragen zur DSFA

Wann genau ist die DSFA Pflicht?

Sie ist vor der Verarbeitung erforderlich, wenn Art, Umfang, Umstände und Zwecke ein voraussichtlich hohes Risiko erzeugen ¹. Zuerst werden die drei Fälle des Artikels 35 geprüft, danach Kriterien und Listen. Die Entscheidung betrifft eine konkrete Verarbeitung.

Sind zwei Kriterien eine feste Grenze?

Nein. Zwei Kriterien sprechen nach WP248 üblicherweise für eine DSFA ², und das EDPB hat die Leitlinien gebilligt. Ein Kriterium kann genügen; mechanisches Zählen ersetzt weder Intensität noch Zusammenwirken der Risiken.

Darf die Positivliste übersprungen werden?

Nein. Eine einschlägige Liste kann Verarbeitungen bestimmen, für die eine DSFA erforderlich ist ¹. Auch die Negativliste und ihre Reichweite werden geprüft ². Ein unionsweiter Text ersetzt keine aktuelle Prüfung bei der zuständigen Behörde ³.

Kann das Ergebnis rechtmäßig Nein lauten?

Ja. Artikel 35 erfasst nicht jede Verarbeitung automatisch ¹. Ergibt der vollständige Screen kein voraussichtlich hohes Risiko, wird das Nein begründet dokumentiert ². Tatsachen, Kriterien, Listen, Verantwortung und Überprüfungsauslöser bleiben erhalten.

Was folgt auf das Ja?

Das Team beschreibt Verarbeitung und Zwecke, prüft Erforderlichkeit und Verhältnismäßigkeit, bewertet Risiken und ordnet Maßnahmen zu ². Bleibt danach ein hohes Restrisiko, kann vorherige Konsultation nötig sein ¹. Die DSFA endet mit einem umsetzbaren Maßnahmenplan.

Ist die DSFA-Vorlage des EDSA verbindlich?

Nein, die am 14. April 2026 angenommene EDSA-Vorlage ist nicht verbindlich, schafft keinen neuen DSFA-Auslöser und lässt Verantwortlichen die Wahl ihrer Methode ⁴; sie bietet ohne eigenes Verfahren eine kostenlose Struktur und dient bei einer bestehenden Methode als Abgleich. Obwohl die Konsultation am 9. Juni 2026 endete, erklärt die offizielle Seite weiterhin, die Vorlage werde danach fertiggestellt ⁵.

Wie lange gilt die DSFA?

Es gibt keine allgemeine feste Laufzeit. Die Bewertung wird bei Änderungen an Verarbeitung oder Risiko geprüft. Ein Auslöser, eine verantwortliche Person und ein nächster Kontrollpunkt werden dokumentiert ¹. Das gilt auch für eine frühere Nein-Entscheidung ².

Eine Überprüfung muss nicht jedes Mal den vollständigen Text ersetzen. Sie vergleicht neue Tatsachen mit der bisherigen Grenze, dokumentiert Änderungen und bewahrt die Version. Ändern sich Risiken, Maßnahmen oder Ergebnis, folgt eine neue verantwortete Freigabe vor der veränderten Verarbeitung.

Auch eine frühere Nein-Entscheidung erhält deshalb einen Eigentümer und konkrete Auslöser. Neue Datenarten, Verknüpfungen, Empfänger, Zwecke oder erhebliche Wirkungen führen zurück zum vollständigen Screen, statt stillschweigend unter der alten Begründung weiterzulaufen.