Checkliste: DSFA für KI-Systeme durchführen

Das Wichtigste in Kuerze:

• Eine Datenschutz-Folgenabschaetzung (DSFA) nach Art. 35 DSGVO ist fuer die meisten KI-Systeme verpflichtend -- insbesondere bei Profiling, automatisierter Entscheidungsfindung und der Verarbeitung grosser Datenmengen.
• Diese Checkliste fuehrt Sie in acht konkreten Schritten durch die gesamte DSFA -- von der Schwellwertanalyse bis zur Dokumentation und laufenden Ueberpruefung.
• Seit dem AI Act (VO (EU) 2024/1689) muessen Betreiber von Hochrisiko-KI zusaetzlich eine Grundrechte-Folgenabschaetzung nach Art. 27 durchfuehren -- die DSFA bildet dafuer die ideale Grundlage.
• Verstoesse gegen die DSFA-Pflicht koennen Bussgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 Abs. 4 DSGVO).
• Nutzen Sie unsere strukturierte Vorlage, um keinen Pflichtinhalt zu vergessen und gegenueber Aufsichtsbehoerden nachweisfaehig zu dokumentieren.

Die Datenschutz-Folgenabschaetzung ist eines der wichtigsten Compliance-Instrumente fuer Unternehmen, die KI einsetzen. Doch in der Praxis scheitern viele Organisationen an der konkreten Umsetzung: Welche Schritte sind erforderlich? Was muss die DSFA mindestens enthalten? Und wie verhaelt sich die DSFA zur neuen Grundrechte-Folgenabschaetzung des AI Act?

Dieser Artikel liefert Ihnen eine vollstaendige, praxiserprobte Checkliste, die Sie Punkt fuer Punkt abarbeiten koennen. Jeder Schritt ist mit den relevanten Rechtsgrundlagen verknuepft, sodass Sie jederzeit nachvollziehen koennen, warum er erforderlich ist.

Wenn Sie die grundlegenden Konzepte der DSFA noch nicht kennen, empfehlen wir Ihnen zunaechst unseren Leitfaden zur DSFA fuer KI-Systeme, der die rechtlichen Grundlagen ausfuehrlich erlaeutert.

---

Inhaltsverzeichnis

1. Warum eine DSFA-Checkliste fuer KI?
2. Schritt 1: Schwellwertanalyse -- ist eine DSFA erforderlich?
3. Schritt 2: Verarbeitungsbeschreibung erstellen
4. Schritt 3: Notwendigkeit und Verhaeltnismaessigkeit pruefen
5. Schritt 4: Risiken identifizieren und bewerten
6. Schritt 5: Abhilfemassnahmen festlegen
7. Schritt 6: Stellungnahme des DSB einholen
8. Schritt 7: Dokumentation und Freigabe
9. Schritt 8: Laufende Ueberpruefung und Aktualisierung
10. DSFA und AI Act: Die Grundrechte-Folgenabschaetzung nach Art. 27
11. Vorlage: DSFA-Pflichtinhalte auf einen Blick
12. Haeufige Fehler bei der DSFA fuer KI
13. Haeufig gestellte Fragen (FAQ)
14. Naechste Schritte

---

Warum eine DSFA-Checkliste fuer KI? {#warum-eine-dsfa-checkliste-fuer-ki}

Art. 35 DSGVO schreibt die DSFA vor, laesst Unternehmen aber bewusst Spielraum bei der Methodik. Das ist einerseits flexibel, fuehrt andererseits zu Unsicherheit. Gerade bei KI-Systemen stellen sich spezifische Fragen, die bei klassischen Datenverarbeitungen nicht auftreten:

• Wie beschreibt man eine Verarbeitung, deren genaues Verhalten vom Modell abhaengt und sich mit jedem Update aendern kann?
• Wie bewertet man Risiken, die erst durch das Zusammenspiel von Trainingsdaten, Modellarchitektur und Einsatzkontext entstehen?
• Wie dokumentiert man Abhilfemassnahmen fuer ein System, das staendig dazulernt?

Eine strukturierte Checkliste stellt sicher, dass Sie keinen Pflichtinhalt vergessen, systematisch vorgehen und die Dokumentation den Anforderungen der Aufsichtsbehoerden entspricht. Gleichzeitig dient sie als Nachweis Ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Fuer wen ist diese Checkliste gedacht?

Diese Checkliste richtet sich an Datenschutzbeauftragte, Compliance-Manager, IT-Verantwortliche und Projektleiter, die KI-Systeme einfuehren oder bereits betreiben. Sie ist branchenuebergreifend einsetzbar und deckt sowohl eingekaufte KI-Loesungen (z. B. ChatGPT, Microsoft Copilot) als auch selbst entwickelte Modelle ab.

Rechtlicher Rahmen im Ueberblick

Die DSFA-Pflicht ergibt sich primaer aus Art. 35 DSGVO. Der Europaeische Datenschutzausschuss (EDSA) hat in seinen Leitlinien zur Datenschutz-Folgenabschaetzung (WP 248 rev.01) neun Kriterien entwickelt, anhand derer sich die Erforderlichkeit einer DSFA pruefen laesst. Werden zwei oder mehr dieser Kriterien erfuellt, ist eine DSFA in aller Regel Pflicht. KI-Systeme erfuellen haeufig drei oder mehr Kriterien gleichzeitig.

Darueber hinaus hat die Datenschutzkonferenz (DSK) -- das Gremium der deutschen Aufsichtsbehoerden -- eine Positivliste (auch „Muss-Liste" genannt) veroeffentlicht, die Verarbeitungsvorgaenge benennt, fuer die eine DSFA zwingend erforderlich ist. Der Einsatz kuenstlicher Intelligenz zur Bewertung persoenlicher Aspekte steht ausdruecklich auf dieser Liste.

Mit dem Inkrafttreten des AI Act (VO (EU) 2024/1689) kommt eine weitere Dimension hinzu: Art. 26 Abs. 9 verpflichtet Betreiber von Hochrisiko-KI-Systemen, die DSFA nach Art. 35 DSGVO durchzufuehren, sofern diese nicht bereits vorliegt. Art. 27 verlangt darueber hinaus eine Grundrechte-Folgenabschaetzung, die ueber den reinen Datenschutz hinausgeht. Diese Verschraenkung von DSGVO und AI Act macht die DSFA zum zentralen Compliance-Dokument fuer den KI-Einsatz.

---

Schritt 1: Schwellwertanalyse -- ist eine DSFA erforderlich? {#schritt-1-schwellwertanalyse}

Bevor Sie die eigentliche DSFA starten, muessen Sie pruefen, ob ueberhaupt eine DSFA-Pflicht besteht. Die Schwellwertanalyse (auch Vorpruefung genannt) ist der erste und entscheidende Schritt.

Checkliste Schwellwertanalyse

• Regelbeispiele pruefen: Faellt die Verarbeitung unter Art. 35 Abs. 3 lit. a--c DSGVO? (Profiling mit Rechtswirkung, besondere Datenkategorien, systematische Ueberwachung)
• DSK-Positivliste pruefen: Steht die Verarbeitungsart auf der Positivliste der deutschen Aufsichtsbehoerden?
• EDSA-Kriterien anwenden: Treffen mindestens zwei der neun Kriterien der Leitlinien des Europaeischen Datenschutzausschusses zu? (Bewertung/Scoring, automatisierte Entscheidung, systematische Ueberwachung, sensible Daten, grosse Datenmenge, Datenzusammenfuehrung, schutzbeduertige Personen, innovative Technologie, Hinderung an Rechtsausuebung)
• Neue Technologien: Handelt es sich um den Einsatz einer neuen oder innovativen Technologie (KI erfuellt dieses Kriterium regelmaessig)?
• Ergebnis dokumentieren: Das Ergebnis der Schwellwertanalyse schriftlich festhalten -- auch wenn keine DSFA erforderlich ist.

Praxis-Tipp: Bei KI-Systemen, die personenbezogene Daten verarbeiten, ist in der Regel mindestens das Kriterium „innovative Technologie" erfuellt. In Kombination mit einem weiteren Kriterium -- was bei KI fast immer der Fall ist -- ist die DSFA Pflicht. Im Zweifel fuehren Sie die DSFA durch: Art. 35 Abs. 1 DSGVO stellt klar, dass die DSFA auch freiwillig erfolgen kann und als Best Practice gilt.

Eine detaillierte Einordnung, wann eine DSFA fuer KI-Systeme Pflicht ist, finden Sie in unserem Artikel DSFA fuer KI-Systeme: Leitfaden.

---

Schritt 2: Verarbeitungsbeschreibung erstellen {#schritt-2-verarbeitungsbeschreibung}

Art. 35 Abs. 7 lit. a DSGVO verlangt eine „systematische Beschreibung der geplanten Verarbeitungsvorgaenge und der Zwecke der Verarbeitung". Bei KI-Systemen ist diese Beschreibung besonders anspruchsvoll.

Checkliste Verarbeitungsbeschreibung

• Zweck der Verarbeitung: Welches konkrete Ziel verfolgt der KI-Einsatz? (z. B. Bewerbervorauswahl, Kundensegmentierung, Betrugserkennung)
• Art der personenbezogenen Daten: Welche Datenkategorien werden verarbeitet? Fallen besondere Kategorien nach Art. 9 DSGVO an?
• Kreis der Betroffenen: Wessen Daten werden verarbeitet? (Beschaeftigte, Kunden, Bewerber, Oeffentlichkeit)
• Rechtsgrundlage: Auf welche Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO stuetzt sich die Verarbeitung?
• Datenquellen: Woher stammen die Daten? (direkt erhoben, von Dritten, oeffentlich verfuegbar)
• Datenempfaenger: An wen werden Daten uebermittelt? Gibt es Auftragsverarbeiter? Findet ein Drittlandtransfer statt?
• Speicherdauer: Wie lange werden die Daten gespeichert? Gibt es Loeschkonzepte?
• Technische Architektur: Wie ist das KI-System aufgebaut? (Cloud/On-Premise, API-Anbindungen, Modelltyp)
• Trainingsdaten: Wurden personenbezogene Daten fuer das Training verwendet? Wenn ja, welche?
• Funktionsweise des Modells: Wie trifft das Modell Entscheidungen? Wie transparent ist die Entscheidungsfindung?

KI-spezifische Besonderheiten

Bei KI-Systemen muessen Sie die Verarbeitungsbeschreibung um Aspekte erweitern, die bei klassischer Software nicht relevant sind:

Stellen Sie sicher, dass die Verarbeitungsbeschreibung mit dem Verarbeitungsverzeichnis nach Art. 30 DSGVO konsistent ist.

Beispiel: Verarbeitungsbeschreibung fuer einen KI-Chatbot

Um die Anforderungen greifbar zu machen, hier ein stark verkuerztes Beispiel fuer einen internen KI-Chatbot (z. B. auf Basis von GPT-4):

• Zweck: Beantwortung von HR-Anfragen der Beschaeftigten (Urlaubsregelungen, Gehaltsabrechnung, Elternzeit).
• Datenkategorien: Name, Personalnummer, Freitextanfragen (koennen Gesundheitsdaten enthalten).
• Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), bei Gesundheitsdaten ausdrueckliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).
• Datenempfaenger: API-Aufruf an OpenAI (Auftragsverarbeitung, Drittlandtransfer USA, Standardvertragsklauseln).
• Modelltyp: Large Language Model (GPT-4), Cloud-basiert, keine Feinabstimmung mit Unternehmensdaten.
• Erklaerbarkeit: Eingeschraenkt (Black-Box-Modell), Ausgaben basieren auf statistischen Wahrscheinlichkeiten.

Dieses Beispiel zeigt, wie schnell bei einem vermeintlich harmlosen Chatbot komplexe Datenschutzfragen entstehen -- von besonderen Datenkategorien ueber Drittlandtransfers bis zur eingeschraenkten Erklaerbarkeit. Jeder dieser Aspekte muss in der DSFA adressiert werden.

---

Schritt 3: Notwendigkeit und Verhaeltnismaessigkeit pruefen {#schritt-3-notwendigkeit-und-verhaeltnismaessigkeit}

Art. 35 Abs. 7 lit. b DSGVO verlangt eine Bewertung der Notwendigkeit und Verhaeltnismaessigkeit der Verarbeitung. Dieser Schritt wird bei KI-Projekten haeufig uebersprungen -- ein Fehler, den Aufsichtsbehoerden regelmaessig beanstanden.

Checkliste Notwendigkeit und Verhaeltnismaessigkeit

• Erforderlichkeit: Ist der KI-Einsatz erforderlich, um den angegebenen Zweck zu erreichen? Gibt es datenschutzfreundlichere Alternativen?
• Datenminimierung: Werden nur die Daten verarbeitet, die fuer den Zweck tatsaechlich notwendig sind (Art. 5 Abs. 1 lit. c DSGVO)?
• Zweckbindung: Werden die Daten ausschliesslich fuer den angegebenen Zweck verwendet (Art. 5 Abs. 1 lit. b DSGVO)?
• Speicherbegrenzung: Ist die Speicherdauer auf das notwendige Minimum beschraenkt (Art. 5 Abs. 1 lit. e DSGVO)?
• Qualitaet der Daten: Sind die Trainingsdaten und Eingabedaten korrekt, aktuell und fuer den Zweck geeignet (Art. 5 Abs. 1 lit. d DSGVO)?
• Privacy by Design: Wurden datenschutzfoerdernde Massnahmen bereits in die Systementwicklung integriert (Art. 25 DSGVO)?
• Betroffenenrechte: Koennen die Rechte der Betroffenen (Auskunft, Berichtigung, Loeschung, Widerspruch) auch beim KI-System vollumfaenglich gewaehrleistet werden?

Art. 22 DSGVO beachten: Wenn das KI-System Entscheidungen trifft, die gegenueber Betroffenen Rechtswirkung entfalten oder sie in aehnlich erheblicher Weise beeintraechtigen, greifen die strengen Anforderungen des Art. 22 DSGVO an automatisierte Einzelentscheidungen. In diesem Fall muessen Sie insbesondere das Recht auf menschliche Ueberprüfung, Anfechtung und Darlegung des eigenen Standpunkts sicherstellen.

Wie Sie Privacy by Design bei KI-Systemen konkret umsetzen, erfahren Sie in unserem Umsetzungsleitfaden Privacy by Design.

---

Schritt 4: Risiken identifizieren und bewerten {#schritt-4-risiken-identifizieren}

Das Herzstück der DSFA ist die Risikoanalyse. Sie muessen die Risiken für die Rechte und Freiheiten der betroffenen Personen systematisch identifizieren, ihre Eintrittswahrscheinlichkeit und Schwere bewerten und dokumentieren.

Checkliste Risikoidentifikation

• Risikokatalog erstellen: Alle potenziellen Risiken fuer Betroffene auflisten
• KI-spezifische Risiken beruecksichtigen: Bias/Diskriminierung, intransparente Entscheidungen, Halluzinationen, Datenlecks durch das Modell, Zweckentfremdung
• Risikoquellen benennen: Woher stammt das Risiko? (Trainingsdaten, Modell, Einsatzkontext, menschliche Fehlnutzung)
• Eintrittswahrscheinlichkeit bewerten: Wie wahrscheinlich ist es, dass das Risiko eintritt? (gering, mittel, hoch)
• Schwere des Schadens bewerten: Wie gravierend waere der Schaden fuer Betroffene? (gering, mittel, hoch)
• Risikomatrix erstellen: Eintrittswahrscheinlichkeit und Schwere in einer Matrix verknuepfen
• Bestehende Massnahmen beruecksichtigen: Bereits implementierte Schutzmassnahmen bei der Bewertung einbeziehen

Typische Risiken bei KI-Systemen

Risikomatrix: Vorlage

Eine bewaehrte Methodik ist die Risikomatrix mit zwei Achsen -- Eintrittswahrscheinlichkeit und Schwere des Schadens -- jeweils in den Stufen gering, mittel und hoch:

Risiken, die in der Matrix als „hoch" oder „sehr hoch" eingestuft werden, erfordern zwingend Abhilfemassnahmen. Verbleibt ein Risiko auch nach Umsetzung aller Massnahmen im roten Bereich, ist die vorherige Konsultation der Aufsichtsbehoerde nach Art. 36 DSGVO erforderlich.

Dokumentieren Sie fuer jedes identifizierte Risiko die Bewertung vor und nach Umsetzung der Abhilfemassnahmen. Diese Vorher-Nachher-Bewertung zeigt der Aufsichtsbehoerde, dass Sie die Risiken ernst genommen und wirksame Gegenmassnahmen ergriffen haben.

Fuer eine vertiefte Methodik zur Risikobewertung empfehlen wir unseren Artikel KI-Risikobewertung: So klassifizieren Sie Ihre KI-Anwendungen.

---

Schritt 5: Abhilfemassnahmen festlegen {#schritt-5-abhilfemassnahmen}

Art. 35 Abs. 7 lit. d DSGVO verlangt die Festlegung von Abhilfemassnahmen, Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt wird.

Checkliste Abhilfemassnahmen

• Massnahmen pro Risiko zuordnen: Fuer jedes identifizierte Risiko mindestens eine konkrete Gegenmassnahme definieren
• Technische Massnahmen: Verschluesselung, Pseudonymisierung, Anonymisierung, Zugangskontrollen, Logging, Differential Privacy
• Organisatorische Massnahmen: Schulungen, Vier-Augen-Prinzip, Zustaendigkeiten, Meldeprozesse
• KI-spezifische Massnahmen: Bias-Audits, Modell-Monitoring, Erklaerbarkeitsverfahren (XAI), menschliche Uebersteuerung (Human-in-the-Loop)
• Restrisiko bewerten: Nach Umsetzung der Massnahmen: Ist das verbleibende Risiko akzeptabel?
• Massnahmen-Verantwortliche benennen: Wer ist fuer die Umsetzung und laufende Kontrolle verantwortlich?
• Umsetzungsfrist festlegen: Bis wann muessen die Massnahmen implementiert sein?
• Wirksamkeit pruefen: Wie wird die Wirksamkeit der Massnahmen nachgewiesen?

Massnahmen-Zuordnung: Beispieltabelle

---

Schritt 6: Stellungnahme des DSB einholen {#schritt-6-stellungnahme-dsb}

Art. 35 Abs. 2 DSGVO schreibt vor, dass der Verantwortliche bei der Durchführung der DSFA den Rat des Datenschutzbeauftragten einholt. Dieser Schritt ist nicht optional -- er ist eine gesetzliche Pflicht.

Checkliste DSB-Beteiligung

• DSB fruehzeitig einbinden: Den Datenschutzbeauftragten nicht erst am Ende, sondern von Beginn an in den DSFA-Prozess einbeziehen
• Entwurf vorlegen: Die fertige DSFA dem DSB zur formalen Stellungnahme uebermitteln
• Stellungnahme dokumentieren: Die Stellungnahme des DSB schriftlich festhalten und der DSFA beilegen
• Empfehlungen umsetzen: Empfehlungen des DSB beruecksichtigen oder begruenden, warum davon abgewichen wird
• Betroffene befragen: Pruefen, ob die Standpunkte der Betroffenen oder ihrer Vertreter eingeholt werden muessen (Art. 35 Abs. 9 DSGVO)

Wichtig: Die Pflicht zur Einholung der DSB-Stellungnahme ist in der Praxis ein haeufiger Mangel, den Aufsichtsbehoerden bei Pruefungen beanstanden. Dokumentieren Sie den Zeitpunkt der Beteiligung, den Inhalt der Stellungnahme und den Umgang mit den Empfehlungen.

---

Schritt 7: Dokumentation und Freigabe {#schritt-7-dokumentation}

Die DSFA muss vollstaendig dokumentiert werden. Art. 35 Abs. 7 DSGVO definiert die Mindestinhalte. Die Dokumentation dient als Nachweis gegenueber der Aufsichtsbehoerde und ist Teil Ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Checkliste Dokumentation

• Alle Pflichtinhalte enthalten: Verarbeitungsbeschreibung, Notwendigkeits- und Verhaeltnismaessigkeitspruefung, Risikobewertung, Abhilfemassnahmen (Art. 35 Abs. 7 lit. a--d)
• Ergebnis der Schwellwertanalyse beigefuegt: Warum ist die DSFA erforderlich?
• Stellungnahme des DSB beigefuegt: Einschliesslich Datum und Inhalt
• Massnahmenplan beigefuegt: Mit Verantwortlichkeiten, Fristen und Status
• Freigabe durch Verantwortlichen: Die Geschaeftsleitung oder der benannte Verantwortliche gibt die DSFA formal frei
• Versionierung: Die DSFA mit Versionsnummer und Aenderungshistorie versehen
• Zugaenglichkeit: Die DSFA muss auf Anfrage der Aufsichtsbehoerde vorgelegt werden koennen (Art. 35 Abs. 7, Art. 58 Abs. 1 lit. a DSGVO)

Wann ist eine vorherige Konsultation nach Art. 36 DSGVO erforderlich?

Ergibt die DSFA, dass die Verarbeitung trotz aller Abhilfemassnahmen weiterhin ein hohes Risiko fuer die Betroffenen darstellt, muessen Sie die zustaendige Aufsichtsbehoerde vor Beginn der Verarbeitung konsultieren (Art. 36 Abs. 1 DSGVO).

Die Konsultation ist zwingend, wenn:

• Das Restrisiko nach Umsetzung aller Massnahmen weiterhin als hoch einzustufen ist.
• Sie keine ausreichenden Massnahmen zur Risikominderung identifizieren koennen.
• Die Aufsichtsbehoerde die Verarbeitung auf ihre Positivliste gesetzt hat und besondere Bedingungen vorgesehen sind.

Frist beachten: Die Aufsichtsbehoerde hat gemaess Art. 36 Abs. 2 DSGVO acht Wochen Zeit fuer ihre Antwort (verlaengerbar um sechs Wochen). Planen Sie diese Wartezeit in Ihren Projektplan ein.

---

Schritt 8: Laufende Ueberpruefung und Aktualisierung {#schritt-8-ueberpruefung}

Art. 35 Abs. 11 DSGVO stellt klar: Die DSFA ist kein einmaliges Dokument. Der Verantwortliche muss die Verarbeitung regelmaessig ueberpruefen und die DSFA aktualisieren, wenn sich das mit der Verarbeitung verbundene Risiko aendert.

Checkliste laufende Ueberpruefung

• Review-Intervall festlegen: Mindestens jaehrlich, bei Hochrisiko-KI haeufiger (z. B. quartalsweise)
• Aenderungstrigger definieren: Wann muss die DSFA ausserplanmaessig aktualisiert werden? (neues Modell, neue Datenquelle, geaenderter Einsatzkontext, Sicherheitsvorfall)
• Monitoring einrichten: Laufende Ueberwachung der KI-Ergebnisse auf Bias, Fehlentscheidungen und Anomalien
• Vorfall-Prozess definieren: Wie wird mit Datenschutzvorfaellen umgegangen, die im Zusammenhang mit dem KI-System auftreten?
• Massnahmen-Wirksamkeit pruefen: Sind die festgelegten Massnahmen tatsaechlich wirksam?
• Aenderungshistorie fuehren: Jede Aenderung an der DSFA dokumentieren (Datum, Anlass, Inhalt, Verantwortlicher)

Bei KI-Systemen ist die laufende Ueberpruefung besonders wichtig, da sich Modelle durch Updates, Re-Training oder veraenderte Eingabedaten in ihrem Verhalten aendern koennen. Ein KI-System, das bei der Erstbewertung unbedenklich war, kann nach einem Update neue Risiken aufweisen.

Praxis-Beispiel: Wann ein Update die DSFA ausloest

Stellen Sie sich vor, Sie setzen ein KI-System zur Bewerbervorauswahl ein. Die urspruengliche DSFA hat das System als vertretbar eingestuft, weil es nur Lebenslaeufe analysiert und keine Entscheidung automatisch trifft (Human-in-the-Loop). Nun erhaelt das System ein Update: Der Anbieter integriert eine Videoanalyse-Funktion, die Mimik und Stimme der Bewerber auswertet. Dieses Update veraendert die Risikolage fundamental -- es werden nun biometrische Daten nach Art. 9 DSGVO verarbeitet. Die DSFA muss zwingend aktualisiert werden.

Definieren Sie daher klare Prozesse, die sicherstellen, dass Modellupdates, neue Datenquellen oder veraenderte Einsatzkontexte automatisch eine Ueberpruefung der DSFA ausloesen. Binden Sie diese Prozesse in Ihr Change-Management ein und legen Sie fest, wer die Aenderung bewertet und ob eine vollstaendige Neuauflage oder eine Ergaenzung der bestehenden DSFA erforderlich ist.

---

DSFA und AI Act: Die Grundrechte-Folgenabschaetzung nach Art. 27 {#dsfa-und-ai-act}

Mit dem AI Act (VO (EU) 2024/1689) kommt fuer Betreiber von Hochrisiko-KI-Systemen eine weitere Folgenabschaetzung hinzu: die Grundrechte-Folgenabschaetzung (Fundamental Rights Impact Assessment, FRIA) nach Art. 27 VO (EU) 2024/1689.

Verhaeltnis von DSFA und FRIA

Die beiden Instrumente ergaenzen einander, ueberschneiden sich aber teilweise:

Art. 27 Abs. 4 VO (EU) 2024/1689 stellt ausdruecklich klar, dass die FRIA die DSFA nach Art. 35 DSGVO ergaenzt, aber nicht ersetzt. Umgekehrt erfuellt eine DSFA allein nicht die Anforderungen des Art. 27 AI Act, da sie sich auf den Datenschutz beschraenkt und nicht das gesamte Grundrechtespektrum abdeckt.

Synergien nutzen

Art. 26 Abs. 9 VO (EU) 2024/1689 erlaubt es Betreibern ausdruecklich, die DSFA nach Art. 35 DSGVO als Grundlage fuer die Grundrechte-Folgenabschaetzung zu verwenden. In der Praxis empfiehlt sich daher ein integrierter Ansatz:

1. Fuehren Sie zunaechst die DSFA nach Art. 35 DSGVO durch (diese Checkliste).
2. Erweitern Sie die Risikoanalyse um nicht-datenschutzrechtliche Grundrechte (Gleichbehandlung, Meinungsfreiheit, Berufsfreiheit, Menschenwuerde).
3. Dokumentieren Sie beide Bewertungen in einem zusammenhaengenden Dokument.
4. Nutzen Sie identische Risikobewertungsmethoden fuer beide Instrumente.

Dieser Ansatz spart Aufwand, vermeidet Widersprueche und schafft eine konsistente Compliance-Dokumentation.

---

Vorlage: DSFA-Pflichtinhalte auf einen Blick {#vorlage-pflichtinhalte}

Die folgende Tabelle fasst alle Pflichtinhalte einer DSFA nach Art. 35 Abs. 7 DSGVO zusammen -- erweitert um KI-spezifische Aspekte und die Anforderungen des AI Act:

---

Haeufige Fehler bei der DSFA fuer KI {#haeufige-fehler}

Aus der Beratungspraxis und veroeffentlichten Aufsichtsbehoerden-Entscheidungen lassen sich typische Fehler ableiten, die Unternehmen bei der DSFA fuer KI-Systeme machen:

1. DSFA wird gar nicht durchgefuehrt. Viele Unternehmen fuehren KI-Tools ein, ohne ueberhaupt zu pruefen, ob eine DSFA erforderlich ist. Gerade bei eingekauften SaaS-Loesungen wie ChatGPT wird faelschlicherweise angenommen, dass der Anbieter die DSFA bereits erledigt hat.

2. Schwellwertanalyse fehlt. Selbst wenn keine DSFA durchgefuehrt wird, muss die Entscheidung gegen eine DSFA dokumentiert und begruendet werden. Eine fehlende Schwellwertanalyse ist ein eigenstaendiger Verstoss.

3. Verarbeitungsbeschreibung zu ungenau. Formulierungen wie „KI-gestützte Datenanalyse" reichen nicht aus. Die Aufsichtsbehoerde erwartet eine nachvollziehbare Beschreibung der konkreten Verarbeitungsschritte, Datenstroeme und Entscheidungslogik.

4. Risikobewertung zu oberflaechlich. Risiken werden nur benannt, aber nicht hinsichtlich Eintrittswahrscheinlichkeit und Schwere bewertet. Eine Risikomatrix fehlt.

5. DSB wird nicht einbezogen. Die Stellungnahme des Datenschutzbeauftragten fehlt oder wurde erst nachtraeglich eingeholt.

6. Keine laufende Ueberpruefung. Die DSFA wird einmal erstellt und dann nicht mehr angefasst -- obwohl sich das KI-System durch Updates veraendert hat.

7. DSFA und Verarbeitungsverzeichnis widersprechen sich. Die Angaben in der DSFA stimmen nicht mit dem Eintrag im Verarbeitungsverzeichnis ueberein.

8. Kein integrierter Ansatz mit dem AI Act. Unternehmen, die Hochrisiko-KI betreiben, erstellen DSFA und Grundrechte-Folgenabschaetzung getrennt voneinander -- mit unterschiedlichen Methoden, Bewertungsmassstäben und Dokumentationsformaten. Das fuehrt zu Widerspruechen und Mehraufwand. Besser ist ein integrierter Ansatz, der beide Bewertungen in einem konsistenten Rahmen zusammenfuehrt.

9. Fehlende Einbeziehung der Betroffenen. Art. 35 Abs. 9 DSGVO sieht vor, dass der Verantwortliche gegebenenfalls die Standpunkte der betroffenen Personen oder ihrer Vertreter einholt. Bei KI-Systemen, die Beschaeftigte betreffen, bedeutet das in der Regel die Einbeziehung des Betriebsrats. Wird dieser uebergangen, kann dies nicht nur datenschutzrechtlich, sondern auch betriebsverfassungsrechtlich problematisch sein.

---

Haeufig gestellte Fragen (FAQ) {#faq}

Muss ich fuer jedes KI-Tool eine eigene DSFA erstellen?

Nicht zwingend. Wenn mehrere KI-Systeme denselben Zweck verfolgen, aehnliche Daten verarbeiten und vergleichbare Risiken aufweisen, koennen Sie eine gemeinsame DSFA erstellen (ErwG 92 DSGVO). In der Praxis sollten Sie jedoch fuer jedes KI-System pruefen, ob die Risikoprofile tatsaechlich vergleichbar sind. Ein Chatbot fuer den Kundenservice und ein Scoring-System fuer die Kreditvergabe erfordern trotz des gemeinsamen KI-Labels eigene DSFAs.

Wer fuehrt die DSFA durch -- der DSB oder die Fachabteilung?

Die DSFA ist Aufgabe des Verantwortlichen (Art. 4 Nr. 7 DSGVO), also der Geschaeftsleitung oder der von ihr beauftragten Stelle. In der Praxis erstellt haeufig die Fachabteilung oder das Compliance-Team die DSFA. Der Datenschutzbeauftragte wird beratend einbezogen (Art. 35 Abs. 2 DSGVO), fuehrt die DSFA aber nicht selbst durch. Er gibt eine Stellungnahme ab und ueberwacht den Prozess.

Kann die DSFA dazu fuehren, dass ein KI-System nicht eingesetzt werden darf?

Ja. Wenn die DSFA ergibt, dass die Verarbeitung trotz aller Abhilfemassnahmen ein hohes Restrisiko birgt, muss der Verantwortliche die Aufsichtsbehoerde nach Art. 36 DSGVO konsultieren. Die Aufsichtsbehoerde kann gemaess Art. 36 Abs. 2 DSGVO Empfehlungen aussprechen oder -- im Extremfall -- die Verarbeitung untersagen (Art. 58 Abs. 2 lit. f DSGVO). In der Praxis fuehrt die DSFA haeufiger dazu, dass ein KI-System nur mit Einschraenkungen (z. B. Human-in-the-Loop, beschraenkter Datenumfang) eingesetzt wird.

Muss ich die DSFA der Aufsichtsbehoerde proaktiv vorlegen?

Nein. Sie muessen die DSFA nicht unaufgefordert an die Aufsichtsbehoerde senden. Sie muessen sie jedoch auf Anfrage vorlegen koennen (Art. 58 Abs. 1 lit. a DSGVO). Die proaktive Konsultation nach Art. 36 DSGVO ist nur erforderlich, wenn das Restrisiko nach der DSFA weiterhin hoch ist.

Wie verhaelt sich die DSFA zur KI-Risikobewertung nach dem AI Act?

Die DSFA nach Art. 35 DSGVO und die KI-Risikobewertung nach dem AI Act sind unterschiedliche Instrumente mit unterschiedlichen Zielen. Die DSFA bewertet Risiken fuer den Datenschutz der Betroffenen. Die KI-Risikobewertung ordnet ein KI-System in eine der vier Risikoklassen des AI Act ein (verboten, hoch, begrenzt, minimal). Beide Bewertungen koennen und sollten aufeinander aufbauen, da sie sich methodisch aehneln. Mehr dazu erfahren Sie in unserem Artikel zur KI-Risikobewertung.

---

Naechste Schritte {#naechste-schritte}

Sie haben nun eine vollstaendige Checkliste, um die DSFA fuer Ihre KI-Systeme systematisch durchzufuehren. Hier sind die empfohlenen naechsten Schritte:

1. Bestandsaufnahme: Erstellen Sie eine Liste aller KI-Systeme in Ihrem Unternehmen, die personenbezogene Daten verarbeiten. Falls Sie das noch nicht getan haben, hilft Ihnen unser Leitfaden zum Verarbeitungsverzeichnis fuer KI.

2. Priorisierung: Beginnen Sie die DSFA mit dem KI-System, das das hoechste Risikopotenzial hat. Nutzen Sie unsere Anleitung zur KI-Risikobewertung fuer die Einordnung.

3. Checkliste abarbeiten: Gehen Sie die acht Schritte dieser Checkliste systematisch durch. Dokumentieren Sie jeden Schritt sofort -- nachtraegliche Dokumentation kostet unverhaeltnismaessig viel Zeit.

4. Synergien nutzen: Wenn Sie Hochrisiko-KI-Systeme betreiben, fuehren Sie die DSFA und die Grundrechte-Folgenabschaetzung nach Art. 27 AI Act in einem integrierten Prozess durch.

5. Review-Prozess etablieren: Legen Sie feste Termine fuer die Ueberpruefung Ihrer DSFAs fest und definieren Sie klare Trigger fuer ausserplanmaessige Updates.

Die DSFA ist kein buerokratisches Hindernis, sondern ein wertvolles Instrument, das Ihnen hilft, KI-Risiken fruehzeitig zu erkennen und zu steuern. Unternehmen, die DSFAs ernst nehmen, profitieren von besserer Risikotransparenz, staerkerem Vertrauen bei Kunden und Geschaeftspartnern und einer belastbaren Compliance-Dokumentation fuer den Fall einer Aufsichtsbehoerdenpruefung.