Brauchen wir eine Datenschutz-Folgenabschätzung (DSFA), bevor wir KI nutzen?
Kurze Antwort
Eine Datenschutz-Folgenabschätzung (DSFA) ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Personen mit sich bringt. Bei KI ist das typischerweise der Fall, wenn die KI Personen systematisch bewertet oder profiliert (etwa Bewerber oder Mitarbeitende), sensible Daten in großem Umfang verarbeitet, Mitarbeitende überwacht oder neue Technik so einsetzt, dass Menschen betroffen sind. Die DSFA beschreibt die Verarbeitung, ihre Notwendigkeit, die Risiken und die Maßnahmen. Bei Hochrisiko-KI müssen Sie die Informationen des Anbieters in Ihrer DSFA verwenden (Art. 26 Abs. 9 KI-VO).
Typische KI-Nutzungen, die eine DSFA erfordern
| KI-Nutzung | DSFA? |
|---|---|
| Vorauswahl von Bewerbern | In der Regel ja |
| Bewertung oder Überwachung von Mitarbeitenden | In der Regel ja |
| KI mit Gesundheitsdaten in einer Praxis | In der Regel ja |
| Kreditwürdigkeitsprüfung von Kunden | In der Regel ja |
| Zusammenfassung von Kundenanfragen mit Pseudonymen | Normalerweise nein |
| Newsletter-Entwürfe ohne personenbezogene Daten | Nein |
Vorlage in GoalCube
GoalCube hat einen DSFA-Entwurf, der mit der Nutzung aus Ihrem KI-Inventar befüllt wird: Zweck, Daten, Risiko, menschliche Entscheidung und Pseudonymisierung. Sie ergänzen Ihre eigenen Bewertungen und speichern die DSFA zusammen mit dem Inventar.
So gehen Sie vor
- Beschreiben Sie die Nutzung.Zweck, Daten, KI-Tool, wer betroffen ist und wer was sieht.
- Prüfen Sie Notwendigkeit und Verhältnismäßigkeit.Ist die KI nötig? Kommen Sie mit weniger Daten aus?
- Ermitteln Sie die Risiken für die Betroffenen.Fehler, Diskriminierung, Datenlecks, Übermittlung aus der EU, fehlende Transparenz.
- Beschreiben Sie die Maßnahmen.Pseudonymisierung, menschliche Entscheidung, Zugriffssteuerung, Protokoll, Löschung.
- Sprechen Sie mit Ihrem Datenschutzbeauftragten, falls Sie einen haben.Und konsultieren Sie die Aufsichtsbehörde, wenn das Risiko weiterhin hoch ist.
Das sagt das Gesetz
- Art. 35 DSGVO – Datenschutz-Folgenabschätzung
- Pflicht bei voraussichtlich hohem Risiko; Abs. 7 beschreibt den Inhalt.
- Art. 36 DSGVO – vorherige Konsultation
- Bleibt das Risiko hoch, muss die Aufsichtsbehörde konsultiert werden.
- Art. 26 Abs. 9 KI-VO
- Verwenden Sie die Informationen des Anbieters zur Hochrisiko-KI in Ihrer DSFA.
Fragen und Antworten
Brauchen wir eine DSFA, wenn wir ChatGPT für E-Mails nutzen?
Normalerweise nicht, wenn keine nennenswerten personenbezogenen Daten im Spiel sind und niemand bewertet wird.
Brauchen wir eine DSFA für KI im Recruiting?
In der Regel ja. Die systematische Bewertung von Bewerbern mit neuer Technik ist ein klassisches Beispiel.
Gibt es eine Liste der Aufsichtsbehörden?
Ja. Nach Art. 35 Abs. 4 DSGVO veröffentlichen die Aufsichtsbehörden Listen von Verarbeitungen, für die immer eine DSFA nötig ist – in Deutschland etwa die Liste der Datenschutzkonferenz (DSK), in Österreich die DSFA-Verordnung der Datenschutzbehörde. Prüfen Sie Ihre Nutzung anhand dieser Liste.
Quellen
- Art. 35 DSGVO (Datenschutz-Folgenabschätzung) auf gdpr-text.com
- Verordnung (EU) 2016/679 (DSGVO) auf EUR-Lex
Geschrieben von GoalCube-Redaktion. Zuletzt aktualisiert 11. Oktober 2026. GoalCube hilft Ihnen, die KI-Verordnung und die DSGVO einzuhalten. Es ist keine Rechtsberatung.
Seien Sie unter den Ersten.
Wir planen den Start im November 2026. Merken Sie sich vor, dann hören Sie von uns, sobald Sie loslegen können.