DSFA bei KI-Einsatz – Wann brauchen Sie eine Datenschutz-Folgenabschätzung?

Der AI Act regelt KI. Die DSGVO regelt Daten. Und wenn Ihre KI personenbezogene Daten verarbeitet, brauchen Sie möglicherweise eine Datenschutz-Folgenabschätzung (DSFA) – unabhängig davon, ob und wann der AI Act für Ihr System greift.

Was ist eine DSFA?

Eine DSFA (Art. 35 DSGVO) ist eine strukturierte Risikoanalyse. Sie prüft:

Welche personenbezogenen Daten werden verarbeitet?
Warum ist die Verarbeitung notwendig?
Welche Risiken bestehen für die betroffenen Personen?
Welche Maßnahmen minimieren diese Risiken?

Wichtig: Eine DSFA ist kein einmaliges Dokument zum Abhaken. Sie muss aktuell gehalten werden, besonders wenn sich der KI-Einsatz ändert.

Wann ist eine DSFA Pflicht?

Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen eine DSFA immer erforderlich ist. Zwei davon treffen häufig auf KI zu:

1. Automatisierte Einzelentscheidungen mit rechtlicher Wirkung

Wenn eine KI Entscheidungen trifft, die Menschen erheblich betreffen – ohne menschliche Überprüfung:

KI-gestütztes Bewerber-Screening mit automatischer Absage
Automatische Bonitätsentscheidung
Algorithmische Leistungsbewertung von Mitarbeitern

2. Umfangreiche Verarbeitung besonderer Datenkategorien

Wenn KI mit sensiblen Daten arbeitet:

Gesundheitsdaten (Medizin-KI)
Biometrische Daten (Gesichtserkennung)
Politische Meinungen, religiöse Überzeugungen

3. Systematische Überwachung öffentlich zugänglicher Bereiche

KI-Videoüberwachung mit Gesichtserkennung
Verhaltensanalyse in öffentlichen Räumen

Zusätzlich: Die Blacklist der Aufsichtsbehörden

Jede nationale Datenschutzbehörde veröffentlicht eine Liste (Art. 35 Abs. 4) mit Verarbeitungen, die immer eine DSFA erfordern. In Deutschland hat die DSK (Datenschutzkonferenz) eine solche Muss-Liste mit 17 Verarbeitungsarten veröffentlicht. Zusätzlich gilt als Faustregel aus den Leitlinien der europäischen Datenschutzbehörden (WP 248): Treffen zwei oder mehr von neun Risikokriterien zu, ist in der Regel eine DSFA erforderlich.

Für KI relevant sind besonders:

Kriterium	KI-Beispiel
Profiling	KI analysiert Kundenverhalten für Segmentierung
Automatisierte Entscheidung	KI lehnt Kreditantrag ab
Innovative Technologie	Einsatz neuer KI-Modelle
Vulnerable Gruppen	KI-Systeme für Kinder, Patienten, Arbeitnehmer
Umfangreiche Datenmengen	KI trainiert auf großen Datensätzen
Zusammenführen von Daten	KI kombiniert Daten aus verschiedenen Quellen

DSFA und AI Act: Wo sie sich überschneiden

Der AI Act verlangt für Hochrisiko-KI ein Risikomanagementsystem (Art. 9). Die DSFA verlangt eine Risikobewertung für Datenschutz. Beides ist nicht dasselbe – aber sie ergänzen sich:

	DSFA (DSGVO)	Risikomanagement (AI Act)
Fokus	Rechte der betroffenen Personen	Sicherheit und Grundrechte allgemein
Auslöser	Personenbezogene Daten	Einsatz in Hochrisiko-Bereich
Pflicht ab	2018 (DSGVO)	2. Dezember 2027 für Annex III, 2. August 2028 für Annex I (AI Act nach Digital Omnibus)
Zuständig	Verantwortlicher, beraten durch den Datenschutzbeauftragten	Anbieter des Hochrisiko-Systems (intern oft ein KI-Verantwortlicher)

Praxis-Tipp: Wenn Sie für ein KI-System sowohl DSFA als auch AI-Act-Risikomanagement brauchen, führen Sie beides zusammen. Ein Dokument, das beide Perspektiven abdeckt, spart Aufwand und ist konsistenter.

Wann brauchen KMUs typischerweise KEINE DSFA?

Nicht jeder KI-Einsatz erfordert eine DSFA. Klar ausgenommen sind:

ChatGPT für interne E-Mails – keine personenbezogenen Daten Dritter, keine Entscheidung über Personen
DeepL für Übersetzungen – reine Textverarbeitung ohne Personenbezug
KI-gestützte Buchhaltungssoftware – verarbeitet Geschäftsdaten, nicht Profiling
Spam-Filter – keine erhebliche Auswirkung auf Betroffene
KI-Bildgenerierung (Midjourney, DALL-E) – keine personenbezogenen Daten (sofern keine realen Personen abgebildet werden)

Aber Achtung: Sobald Sie personenbezogene Daten in KI-Tools eingeben (z.B. Kundendaten in ChatGPT), ändert sich die Bewertung. Dann brauchen Sie zumindest eine Verarbeitungstätigkeit im Verzeichnis (Art. 30 DSGVO) und sollten die DSFA-Pflicht prüfen.

DSFA in 6 Schritten durchführen

Schritt 1: Verarbeitung beschreiben

Welches KI-System wird eingesetzt?
Welche Daten fließen ein?
Wer ist betroffen?
Was passiert mit den Ergebnissen?

Schritt 2: Notwendigkeit und Verhältnismäßigkeit prüfen

Ist der KI-Einsatz für den Zweck erforderlich?
Gibt es datenschutzfreundlichere Alternativen?
Welche Rechtsgrundlage (Art. 6 DSGVO) nutzen Sie?

Schritt 3: Risiken identifizieren

Welche Schäden könnten Betroffenen entstehen? (Diskriminierung, Fehlentscheidung, Datenverlust, Reputationsschaden)
Wie wahrscheinlich sind diese Risiken?
Wie schwer wären die Folgen?

Schritt 4: Maßnahmen definieren

Technische Maßnahmen: Verschlüsselung, Pseudonymisierung, Zugriffskontrollen
Organisatorische Maßnahmen: Schulung, Vier-Augen-Prinzip, regelmäßige Überprüfung
KI-spezifisch: Bias-Tests, menschliche Aufsicht, Erklärbarkeit der Ergebnisse

Schritt 5: Datenschutzbeauftragten einbinden

Art. 35 Abs. 2 DSGVO verlangt, dass der Rat des DSB eingeholt wird, sofern einer benannt ist. Haben Sie keinen DSB? Dann prüfen Sie, ob Sie einen bestellen müssen (Art. 37 DSGVO, in Deutschland zusätzlich § 38 BDSG – ab in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind).

Schritt 6: Dokumentieren und aktualisieren

DSFA schriftlich festhalten
Bei Änderungen am KI-System: aktualisieren
Empfehlung: jährliche Überprüfung

DSFA und AI-Act-Dokumentation greifen auf dieselben Angaben zu: Systembeschreibung, Datenquellen, Risiken, Maßnahmen. Wer sie gemeinsam führt, schreibt sie einmal statt zweimal, wofür die Software für die AI-Act-Dokumentation gebaut ist.

Die Konsultationspflicht (Art. 36 DSGVO)

Wenn Ihre DSFA ergibt, dass trotz aller Maßnahmen ein hohes Restrisiko bleibt, müssen Sie die Aufsichtsbehörde vorher konsultieren. In der Praxis kommt das selten vor – aber bei experimentellen KI-Anwendungen mit sensiblen Daten ist es möglich.

Bußgelder bei fehlender DSFA

Eine fehlende oder mangelhafte DSFA ist ein DSGVO-Verstoß:

Bis zu 10 Millionen Euro oder 2% des Jahresumsatzes (Art. 83 Abs. 4 DSGVO)
Plus mögliche Bußgelder nach AI Act, wenn das KI-System auch dort reguliert ist

Fazit

Die DSFA ist keine bürokratische Übung – sie ist Ihr Sicherheitsnetz beim KI-Einsatz mit personenbezogenen Daten. Für die meisten KMUs, die Standard-KI-Tools nutzen, ist keine DSFA nötig. Aber sobald automatisierte Entscheidungen über Menschen getroffen werden oder sensible Daten ins Spiel kommen, führt kein Weg daran vorbei.