Am 25.5.2018 veröffentlichte die Datenschutzbehörde eine Verordnung über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV). Art. 35 der Datenschutz-Grundverordnung (DSGVO) schreibt die Durchführung einer Datenschutz-Folgenabschätzung für jene Verarbeitungsvorgänge vor, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben. Eine solche Datenschutz-Folgenabschätzung hat unter anderem eine Bewertung der Risiken für Rechte und Freiheiten der betroffenen Personen sowie die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen zu enthalten.
