Die sogenannte Datenschutz-Folgenabschätzung (DSFA) ist neu in der Datenschutz-Grundverordnung (DS-GVO) geregelt. Maßgeblich ist das Kapitel IV „Verantwortlicher und Auftragsverarbeiter“. Art. 35 DS-GVO klärt, wann die Datenschutz-Folgenabschätzung durchzuführen ist und welchen Inhalt sie haben muss. Art. 36 DS-GVO behandelt besondere Fallkonstellationen. Die grundlegende Regelung findet sich in Art. 35 Abs. 4.