Die Datenschutz-Folgenabschätzung muss nicht per 1. September 2023 durchgeführt werden, sondern erst wenn ein zu beurteilende Risiko entsteht. Dieses ergibt sich, insbesondere bei Verwendung neuer Technologien, im Zusammenhang mit umfangreichen Bearbeitungen besonders schützenswerter Personendaten, mit einer wesentlichen Änderung der Bearbeitung von Personendaten, einer Änderung des Bearbeitungszwecks oder der Beschaffung neuer Daten (Art. 22 Abs. 2 revDSG), beispielsweise bei der Auslagerung der technischen Verwaltung an einen Dritten, der Einführung eines Versichertenportals oder der Nutzung einer Cloudlösung.