Stand: Mai 2026. „Wir setzen KI ein — brauchen wir jetzt zwingend eine Datenschutz-Folgenabschätzung?” Diese Frage höre ich fast wöchentlich. Die ehrliche Antwort ist unbequem für alle, die ein simples Ja oder Nein wollen: Es kommt auf Ihren konkreten Anwendungsfall an — und genau diese Einschätzung müssen Sie dokumentieren. Wer pauschal behauptet, bei KI sei eine DSFA immer Pflicht, vereinfacht juristisch zu stark. Wer sie reflexhaft weglässt, riskiert einen handfesten Compliance-Verstoß. Dieser Leitfaden zeigt Ihnen, wie Sie sauber zwischen beiden Fehlern hindurchsteuern.
Das Wichtigste in Kürze
- Eine DSFA ist nach Art. 35 DSGVO Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
- Bei KI ist sie nicht automatisch Pflicht. „Neue Technologien” sind nur ein Indiz — entscheidend ist die dokumentierte Schwellwertanalyse am Einzelfall.
- Klare Pflicht-Indikatoren: Profiling/automatisierte Entscheidungen, besondere Datenkategorien in großem Umfang, systematische Überwachung, Einträge der DSFA-Muss-Liste der Aufsichtsbehörden.
- Der Ablauf lässt sich in 6 Schritten strukturieren; bleibt das Restrisiko hoch, folgt die vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).
- DSFA ≠ FRIA: Bei Hochrisiko-KI können nach dem EU AI Act beide Prüfungen nötig sein — die eine ersetzt die andere nicht.
Was ist eine Datenschutz-Folgenabschätzung (DSFA)?
Eine Datenschutz-Folgenabschätzung (DSFA, englisch DPIA) ist eine vorab durchzuführende Risikoprüfung nach Art. 35 DSGVO. Der Verantwortliche schätzt darin systematisch ab, welche Folgen eine geplante Datenverarbeitung für die Rechte und Freiheiten betroffener Personen hat, bewertet diese Risiken und legt Abhilfemaßnahmen fest. Sie ist verpflichtend, wenn die Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat.
Der entscheidende Punkt: Die DSFA ist kein Formular zum Abhaken, sondern ein Steuerungsinstrument vor dem Start. Sie soll Risiken erkennen, bevor die Verarbeitung läuft — nicht im Nachhinein dokumentieren, was ohnehin schon passiert.
Ist eine DSFA bei KI immer Pflicht?
Nein, pauschal nicht. Art. 35 Abs. 1 DSGVO nennt die „Verwendung neuer Technologien” ausdrücklich nur als ein Beispiel („insbesondere”), das auf ein hohes Risiko hindeuten kann. Es ist kein Automatismus. Maßgeblich bleibt, ob die konkrete Verarbeitung — nach Art, Umfang, Umständen und Zwecken — voraussichtlich ein hohes Risiko verursacht.
Das bedeutet praktisch: Setzen Sie KI ein, müssen Sie eine Schwellwertanalyse durchführen. Ergibt diese kein voraussichtlich hohes Risiko, ist keine DSFA Pflicht. Aber Achtung — diese Verneinung müssen Sie schriftlich begründen und dokumentieren. Die Schwellwertanalyse selbst ist also nie verzichtbar; nur die ausführliche DSFA kann je nach Ergebnis entfallen.
Diese Präzision ist kein juristisches Klein-Klein. Sie schützt Sie vor zwei teuren Fehlern: unnötigem Aufwand für DSFAs, die gar nicht erforderlich sind, und unbemerkten Lücken, wo eine DSFA zwingend gewesen wäre.
Wann ist eine DSFA für KI-Systeme verpflichtend?
Drei Quellen geben den Ausschlag: die Regelbeispiele des Gesetzes, die Muss-Listen der Aufsichtsbehörden und die neun Kriterien der europäischen Datenschützer.
Die drei Regelbeispiele des Art. 35 Abs. 3 DSGVO
Eine DSFA ist insbesondere erforderlich bei:
- Systematischer und umfassender Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung — einschließlich Profiling —, die als Grundlage für Entscheidungen mit Rechtswirkung dient (z. B. KI-gestütztes Bewerber-Scoring, Kredit- oder Bonitäts-Scoring).
- Umfangreicher Verarbeitung besonderer Datenkategorien nach Art. 9 (Gesundheit, biometrische Daten, Weltanschauung etc.) — etwa eine KI-Diagnoseunterstützung im Gesundheitswesen.
- Systematischer weiträumiger Überwachung öffentlich zugänglicher Bereiche — etwa KI-gestützte Videoanalyse oder Gesichtserkennung.
Trifft eines dieser Regelbeispiele auf Ihr KI-System zu, ist die DSFA-Pflicht praktisch indiziert.
Die DSFA-Muss-Liste der Aufsichtsbehörden (Art. 35 Abs. 4)
Nach Art. 35 Abs. 4 DSGVO veröffentlichen die Aufsichtsbehörden Listen von Verarbeitungsvorgängen, für die zwingend eine DSFA durchzuführen ist. Mehrere dieser Muss-Listen treffen typische KI-Szenarien unmittelbar — etwa den Einsatz von KI zur Bewertung oder Vorhersage von Verhalten, automatisierte Entscheidungen mit erheblichen Auswirkungen oder die Verarbeitung großer Datenmengen aus unterschiedlichen Quellen. Prüfen Sie die Liste Ihrer zuständigen Aufsichtsbehörde, denn die Listen unterscheiden sich zwischen den Bundesländern.
Die neun Kriterien (WP248 / EDSA): Ab zwei Kriterien wird es ernst
Die frühere Art.-29-Datenschutzgruppe (heute Europäischer Datenschutzausschuss, EDSA) hat im Leitfaden WP248 neun Kriterien definiert, an denen sich ein hohes Risiko festmacht — darunter Scoring/Profiling, automatisierte Entscheidungen mit Rechtswirkung, systematische Überwachung, sensible Daten, große Datenmengen, Datenabgleich, Daten schutzbedürftiger Personen, innovative Technologien sowie Verarbeitungen, die Betroffene an der Ausübung von Rechten hindern.
Faustregel der Aufsichtsbehörden: Erfüllt Ihre Verarbeitung mindestens zwei dieser neun Kriterien, ist in der Regel eine DSFA erforderlich. KI-Projekte erreichen diese Schwelle schnell — etwa wenn ein System zugleich Profiling betreibt und eine innovative Technologie einsetzt.
Typische KI-Szenarien im Überblick
| KI-Anwendung | DSFA-Auslöser | Pflicht? |
|---|---|---|
| KI-Bewerber-/Personal-Scoring | Profiling + Entscheidung mit Rechtswirkung | Ja |
| KI-Kredit-/Bonitäts-Scoring | Automatisierte Einzelentscheidung (Art. 22) | Ja |
| KI-Diagnoseunterstützung (Gesundheit) | Besondere Datenkategorien, großer Umfang | Ja |
| Gesichtserkennung / Videoanalyse | Systematische Überwachung, Biometrie | Ja |
| Interner Chatbot ohne Personenbezug | Kein personenbezogenes hohes Risiko | Eher nein (prüfen) |
| KI-Texthilfe mit Kundendaten an Drittland-Anbieter | Datenabfluss, ggf. innovative Technologie | Prüfen (Schwellwertanalyse) |
Die Tabelle ersetzt keine Einzelfallprüfung — sie ordnet ein. Die verbindliche Bewertung liefert Ihre dokumentierte Schwellwertanalyse.
Schwellwertanalyse: So prüfen Sie die DSFA-Pflicht für Ihr KI-System
Die Schwellwertanalyse ist der vorgelagerte Filter. Sie beantwortet die Frage: Muss ich überhaupt eine vollständige DSFA durchführen? Praktisch gehen Sie so vor: Sie beschreiben die geplante Verarbeitung grob, gleichen sie mit den Regelbeispielen (Art. 35 Abs. 3), der Muss-Liste Ihrer Aufsichtsbehörde und den neun WP248-Kriterien ab und kommen zu einem begründeten Ergebnis.
Der häufigste Fehler: Unternehmen führen die Schwellwertanalyse im Kopf durch und halten nichts fest. Das ist ein Problem. Denn auch ein „Nein, keine DSFA nötig” muss als bewusste, nachvollziehbare Entscheidung dokumentiert sein — sonst können Sie gegenüber der Aufsichtsbehörde im Zweifel nichts vorweisen. Praktisch genügt eine kurze, datierte Notiz: geprüfte Verarbeitung, herangezogene Kriterien (Regelbeispiele, Muss-Liste, WP248), Ergebnis und Begründung, Freigabe. Diese Notiz ist Ihr Nachweis im Sinne der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) — und im Streitfall oft der Unterschied zwischen „sauber dokumentiert” und „nicht belegbar”.
Die Schwellwertanalyse ist der vorgelagerte Filter: Sie gleicht die geplante KI-Verarbeitung gegen Regelbeispiele, Muss-Liste und WP248-Kriterien ab — und mündet immer in eine dokumentierte Entscheidung, auch wenn das Ergebnis „keine DSFA nötig” lautet.
DSFA durchführen — in 6 Schritten
Ist die DSFA erforderlich, strukturieren Sie sie entlang dieser sechs Schritte:
- Systematische Beschreibung der Verarbeitung — Zweck, Datenarten, eingesetztes KI-Modell, Datenflüsse und beteiligte Auftragsverarbeiter bzw. Modellanbieter erfassen.
- Erforderlichkeit und Verhältnismäßigkeit prüfen — Ist die KI-gestützte Verarbeitung wirklich nötig, oder ginge es datensparsamer?
- Risiken für Rechte und Freiheiten identifizieren — etwa Diskriminierung durch Bias, Intransparenz der KI-Entscheidung, Re-Identifikation, ungewollter Datenabfluss an Modellanbieter.
- Risiko bewerten — Eintrittswahrscheinlichkeit × Schadenschwere in einer Risikomatrix, gestuft von gering bis hoch.
- Abhilfemaßnahmen festlegen — technisch und organisatorisch: Privacy by Design (Art. 25), Anonymisierung/Pseudonymisierung, AV-Vertrag, EU-Datenresidenz, Human-in-the-Loop bei automatisierten Entscheidungen.
- Ergebnis dokumentieren und überwachen — den Datenschutzbeauftragten einbinden (Art. 35 Abs. 2), die DSFA regelmäßig überprüfen und bei verbleibendem hohem Restrisiko die Aufsichtsbehörde konsultieren (Art. 36).
Wer ist beteiligt?
Verantwortlich für die DSFA ist der Verantwortliche im Sinne der DSGVO, also Ihr Unternehmen. Den Rat des Datenschutzbeauftragten müssen Sie einholen (Art. 35 Abs. 2). In der Praxis wirken außerdem der Fachbereich, der die KI nutzt, und häufig die Entwickler oder der Modellanbieter mit — denn nur sie kennen die Datenflüsse im Detail. Genau an dieser Schnittstelle zwischen Recht und Technik entstehen die meisten Lücken.
DSFA und EU AI Act: Was ist der Unterschied zur FRIA?
Mit dem EU AI Act kommt ein zweites Prüfinstrument ins Spiel: die Grundrechte-Folgenabschätzung (FRIA, Fundamental Rights Impact Assessment) nach Art. 27 KI-VO. Der AI Act gilt seit dem 1. August 2024; die Verbote inakzeptabler Praktiken greifen seit dem 2. Februar 2025, die Pflichten für Allzweck-KI-Modelle (GPAI) seit dem 2. August 2025. Viele verwechseln beide oder hoffen, eine ersetze die andere. Das tut sie nicht.
Art. 27 Abs. 4 KI-VO stellt klar: Eine vorhandene DSFA macht die FRIA nicht überflüssig — die FRIA ergänzt die DSFA. Die DSFA nach Art. 35 DSGVO schützt personenbezogene Daten; die FRIA zielt auf ein breiteres Spektrum von Grundrechten — etwa Nichtdiskriminierung, Meinungsfreiheit, Menschenwürde und den Zugang zum Recht. Synergien sind ausdrücklich erwünscht: Informationen aus einer bereits erstellten DSFA dürfen in die FRIA einfließen.
| Merkmal | DSFA (Art. 35 DSGVO) | FRIA (Art. 27 KI-VO) |
|---|---|---|
| Rechtsgrundlage | DSGVO | EU AI Act / KI-VO |
| Schutzgut | Personenbezogene Daten | Grundrechte im weiteren Sinne |
| Auslöser | Voraussichtlich hohes Risiko der Verarbeitung | Bestimmte Hochrisiko-KI (u. a. Annex III) bei bestimmten Akteuren |
| Verhältnis | ersetzt die FRIA nicht | ergänzt die DSFA (Art. 27 Abs. 4) |
Konsequenz für die Praxis: Betreiben Sie eine Hochrisiko-KI, die zugleich personenbezogene Daten verarbeitet, können beide Prüfungen erforderlich sein. Wer nur an die DSGVO denkt, übersieht die zweite Hälfte der Pflicht.
Hinweis (Stand Mai 2026): Die Anwendung einzelner Pflichten des EU AI Act wird gestaffelt wirksam und ist Gegenstand laufender Anpassungen. Am 7. Mai 2026 erzielten Parlament und Rat eine vorläufige Einigung über das „Digital Omnibus”-Paket (Kommissionsvorschlag vom 19. November 2025), die zentrale Fristen für Hochrisiko-KI verschiebt — etwa für eigenständige Hochrisiko-Systeme nach Annex III auf den 2. Dezember 2027. Die FRIA-Pflicht selbst bleibt davon unberührt. Prüfen Sie den aktuellen Stand und die konkrete Betroffenheit vor der Umsetzung.
Praxisbeispiel: DSFA für einen KI-Agenten / ein RAG-System
Ein mittelständischer Dienstleister möchte einen KI-Assistenten einführen, der Kundenanfragen beantwortet und dafür per Retrieval-Augmented Generation (RAG) auf interne Dokumente mit Kundendaten zugreift. Das Sprachmodell läuft bei einem US-Anbieter.
Die Schwellwertanalyse zeigt: Es werden personenbezogene Kundendaten verarbeitet, an einen Drittland-Anbieter übermittelt und mit einer innovativen Technologie kombiniert — mindestens zwei WP248-Kriterien sind erfüllt, dazu kommt ein Drittlandtransfer. Eine DSFA ist angezeigt.
In der DSFA identifiziert das Unternehmen als Hauptrisiken den Datenabfluss an den Modellanbieter, mögliche Re-Identifikation aus Kontextdaten und falsche Auskünfte des Systems mit Auswirkung auf Betroffene. Die Abhilfemaßnahmen: ein AV-Vertrag mit dem Anbieter, ein Enterprise-Tarif, der kein Training mit den Eingaben zulässt, EU-Datenresidenz bzw. Hosting in Europa, Pseudonymisierung der Kontextdaten vor der Übergabe und ein Human-in-the-Loop bei sensiblen Auskünften. Das verbleibende Restrisiko sinkt damit unter die Schwelle einer vorherigen Konsultation — dokumentiert, überprüfbar, auditfest.
Häufige Fehler bei der DSFA für KI
- Zu spät gestartet: Die DSFA gehört vor den Produktivbetrieb, nicht danach.
- Schwellwertanalyse nicht dokumentiert: Auch ein begründetes „keine DSFA nötig” muss schriftlich vorliegen.
- Datenfluss an den Modellanbieter übersehen: Gerade bei Cloud-KI ist das das größte und am häufigsten unterschätzte Risiko.
- DSFA als Einmal-Übung behandelt: Ändert sich das KI-System, die Datenbasis oder der Zweck, ist die DSFA fortzuschreiben.
- FRIA vergessen: Bei Hochrisiko-KI an die Grundrechte-Folgenabschätzung denken — die DSFA allein genügt dann nicht.
Häufige Fragen (FAQ)
Ist eine DSFA bei KI immer Pflicht?
Nein. „Neue Technologien” sind in Art. 35 Abs. 1 DSGVO nur ein Indiz, kein Automatismus. Ob eine DSFA Pflicht ist, entscheidet die dokumentierte Schwellwertanalyse am Einzelfall. Ergibt sie kein voraussichtlich hohes Risiko, entfällt die DSFA — die Entscheidung ist aber schriftlich zu begründen.
Brauche ich für ChatGPT, Copilot oder einen KI-Agenten eine DSFA?
Das hängt davon ab, was Sie damit verarbeiten. Ein KI-Tool ohne Personenbezug löst in der Regel keine DSFA-Pflicht aus. Sobald Sie aber personenbezogene Daten eingeben, an einen Drittland-Anbieter übermitteln oder Profiling betreiben, kann die Schwelle schnell erreicht sein. Führen Sie eine Schwellwertanalyse durch und dokumentieren Sie das Ergebnis.
Wie lange dauert eine DSFA und kann ich sie selbst machen?
Eine fokussierte DSFA für ein klar umrissenes KI-Vorhaben ist in wenigen Tagen machbar; komplexe Systeme brauchen länger. Sie können sie grundsätzlich selbst durchführen — der Rat des Datenschutzbeauftragten ist nach Art. 35 Abs. 2 DSGVO aber einzuholen. Sinnvoll ist Unterstützung dort, wo Recht und Technik zusammentreffen, etwa bei der Bewertung von Datenflüssen und Abhilfemaßnahmen.
Was passiert, wenn das Risiko trotz Maßnahmen hoch bleibt?
Dann greift die vorherige Konsultation nach Art. 36 DSGVO: Sie müssen die Aufsichtsbehörde vor Beginn der Verarbeitung einbeziehen. Diese gibt innerhalb von bis zu acht Wochen (verlängerbar) eine schriftliche Empfehlung ab. Erst danach dürfen Sie die Verarbeitung — gegebenenfalls angepasst — starten.
Muss ich die DSFA der Aufsichtsbehörde vorlegen?
Im Regelfall nicht. Die DSFA verbleibt als Nachweisdokument bei Ihnen (Rechenschaftspflicht). Vorzulegen ist sie nur im Rahmen der vorherigen Konsultation nach Art. 36 DSGVO oder auf Verlangen der Aufsichtsbehörde.
Fazit und nächster Schritt
Eine DSFA für KI ist kein Bürokratiemonster und kein Pflichtreflex — sondern eine begründete Risikoentscheidung, die Sie nachweisbar treffen müssen. Der Schlüssel liegt in der sauberen Reihenfolge: erst die Schwellwertanalyse, dann — falls nötig — die strukturierte DSFA in sechs Schritten, und bei Hochrisiko-KI der Blick auf die FRIA.
Genau an der Naht zwischen DSGVO-Pflicht und technischer Umsetzung entstehen die teuren Lücken. Wenn Sie Ihr KI-Vorhaben rechtssicher und technisch sauber aufsetzen wollen — von der Schwellwertanalyse bis zur konkret umgesetzten Abhilfemaßnahme —, sprechen wir in einem unverbindlichen Erstgespräch darüber. Als Wirtschaftsjurist, der die Lösung auch baut, bekommen Sie beides aus einer Hand.
Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung im Einzelfall. Für eine verbindliche Bewertung Ihres konkreten KI-Vorhabens ist eine individuelle Prüfung erforderlich.
Autor: Leon Lotz, Wirtschaftsjurist — KI-Beratung und individuelle Softwareentwicklung, MusketierSoftware.
Quellen — Stand 22.05.2026
- Art. 35 DSGVO — Datenschutz-Folgenabschätzung (dsgvo-gesetz.de)
- Art. 36 DSGVO — Vorherige Konsultation (dsgvo-gesetz.de)
- WP248 rev.01 — Leitlinien zur Datenschutz-Folgenabschätzung (Datenschutzkonferenz)
- HmbBfDI — DSFA-Muss-Liste nicht-öffentlicher Bereich (Art. 35 Abs. 4)
- ULD — Kurzpapier Nr. 5: DSFA nach Art. 35 DS-GVO
- keyed.de — Schwellwertanalyse und Risikobewertung
- dr-datenschutz.de — Grundrechte-Folgenabschätzung: Art. 27 KI-VO
- activeMind.legal — Grundrechte-Folgenabschätzung nach KI-Verordnung (FRIA)
- dr-datenschutz.de — Datenschutz-Folgenabschätzung
- Europäische Kommission — Regelungsrahmen für KI / AI Act-Zeitplan
- Rat der EU — KI: Rat und Parlament einigen sich auf Vereinfachung der Regeln (07.05.2026)
Weiterführend
Leon Lotz
Leon Lotz ist Wirtschaftsjurist und Gründer von MusketierSoftware. Er verbindet juristische Tiefe mit echtem Software-Handwerk.
