Clef · Live-Demo ausprobieren →
Heabsy
DSGVO · Artikel 35

Nicht jedes KI-Vorhaben braucht eine Folgenabschätzung

Die Pflicht knüpft an ein voraussichtlich hohes Risiko für die Betroffenen an, nicht an den Einsatz einer bestimmten Technik. Ein Assistent für interne Handbücher löst sie in aller Regel nicht aus; ein System, das Bewerbungen vorsortiert, fast immer. Die Frage lässt sich in einem Gespräch klären — und sie gehört an den Anfang, weil die DSFA vor der ersten echten Akte fertig sein muss.

4
Bestandteile nach Abs. 7
vor Beginn
nicht vor dem Rollout
Art. 27 KI-VO
ist ein anderes Instrument

Wann ist eine DSFA nötig?

Vier Anlässe, von denen drei in Artikel 35 Absatz 3 stehen und einer bei Ihrer Aufsichtsbehörde.

Systematische umfangreiche Bewertung persönlicher Aspekte

Profiling als Grundlage von Entscheidungen mit Rechtswirkung — die Konstellation aus Artikel 35 Absatz 3 Buchstabe a. Bewerberauswahl und Bonitätsbewertung fallen darunter, ein Dokumentenassistent nicht.

Umfangreiche Verarbeitung besonderer Kategorien

Gesundheitsdaten, biometrische Daten, Daten über Weltanschauung oder Gewerkschaftszugehörigkeit. In Kanzleien und im Gesundheitswesen praktisch häufig, weil der Aktenbestand solche Daten enthält, ohne dass das der Anlass des Vorhabens wäre.

Systematische umfangreiche Überwachung öffentlicher Bereiche

Für die meisten Unternehmen gegenstandslos — hier vollständigkeitshalber, weil die Aufzählung des Absatzes 3 sonst unvollständig wirkt.

Die Liste der Aufsichtsbehörde

Nach Artikel 35 Absatz 4 führen die Aufsichtsbehörden eigene Listen von Verarbeitungsvorgängen, für die eine DSFA vorgeschrieben ist. Diese Listen unterscheiden sich zwischen den Ländern und zwischen Deutschland und Österreich — ein Blick darauf gehört an den Anfang, nicht ans Ende.

Was hineingehört — und was nur Umfang erzeugt

Artikel 35 Absatz 7 nennt vier Bestandteile, und mehr braucht es nicht: eine systematische Beschreibung der geplanten Verarbeitung samt Zwecken, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Betroffenen, und die geplanten Abhilfemaßnahmen.

Der Teil, der bei KI-Vorhaben regelmäßig zu dünn ausfällt, ist der zweite. Die Verhältnismäßigkeitsprüfung verlangt eine Antwort auf die Frage, ob der Zweck auch mit weniger Daten erreichbar wäre — und bei Sprachmodellen lautet die Antwort überraschend oft ja. Ein Assistent, der auf freigegebene Dokumente statt auf den gesamten Dateibestand zugreift, erreicht denselben Nutzen mit einem Bruchteil des Risikos. Diese Überlegung gehört in die Abwägung, und sie verändert das Vorhaben.

Was nur Umfang erzeugt: Beschreibungen der Technologie im Allgemeinen, Wiedergaben des Gesetzestexts, Risikokataloge ohne Bezug zum konkreten Fall. Eine dreißigseitige DSFA ohne begründete Entscheidung ist schwächer als eine fünfseitige mit.

Was ein Dienstleister dazu liefern kann — und was nicht

Die DSFA nimmt der Verantwortliche vor; ein Auftragsverarbeiter kann sie nicht an seiner Stelle erstellen, weil er weder den Zweck noch die Abwägung kennt. Was er liefern kann und liefern muss, ist die technische Grundlage, auf der die Abwägung überhaupt möglich wird.

Konkret sind das fünf Angaben: welche Datenbestände das System liest und welche ausdrücklich nicht; wo die Verarbeitung stattfindet und wer dort Zugriff hat; was protokolliert wird und wie lange; ob Eingaben und Ausgaben dauerhaft gespeichert werden; und an welcher Stelle ein Mensch das Ergebnis prüft, bevor es Wirkung entfaltet. Diese fünf Punkte füllen den beschreibenden Teil der DSFA fast vollständig.

Was ein Dienstleister nicht liefern kann, ist die rechtliche Bewertung. Wir stellen fest, was das System tut; ob das im konkreten Fall verhältnismäßig ist, entscheidet Ihre Rechtsabteilung oder Ihr Datenschutzbeauftragter.

Verarbeitungsort nachprüfen Artikel 22 und die menschliche Prüfung Beide Regelwerke nebeneinander

Häufige Fragen

Brauchen wir für jedes KI-Vorhaben eine DSFA?+
Nein. Die Pflicht knüpft an ein voraussichtlich hohes Risiko für die Rechte und Freiheiten der Betroffenen, nicht an den Einsatz einer bestimmten Technik. Ein Assistent, der interne Handbücher durchsucht, löst sie in aller Regel nicht aus. Ein System, das Bewerbungen vorsortiert oder Bonität einschätzt, löst sie fast immer aus — dort ist die Frage nicht ob, sondern wann.
Was ist der Unterschied zur Folgenabschätzung nach der KI-Verordnung?+
Es sind verschiedene Instrumente. Die DSFA nach Artikel 35 DSGVO betrachtet Risiken für personenbezogene Daten und wird durch die Art der Verarbeitung ausgelöst. Die Grundrechte-Folgenabschätzung nach Artikel 27 der KI-Verordnung betrachtet Auswirkungen auf Grundrechte und trifft bestimmte Betreiber von Hochrisiko-Systemen. Sie lassen sich in einem Dokument zusammenführen — aber nur, wenn beide Prüfprogramme darin vollständig abgearbeitet sind. Eine DSFA mit einem zusätzlichen Kapitel ist keine Folgenabschätzung nach Artikel 27.
Wann muss die DSFA fertig sein?+
Vor Beginn der Verarbeitung. Das ist nicht der Produktivstart, sondern der Moment, in dem echte personenbezogene Daten in das System fließen — ein Pilotbetrieb mit realen Akten zählt bereits dazu. Eine nachträglich erstellte DSFA erfüllt die Vorschrift formal nicht, und praktisch fehlt ihr das, was sie nützlich macht: die Möglichkeit, das Vorhaben noch zu ändern.
Wer erstellt sie?+
Der Verantwortliche, also Ihr Unternehmen, mit Rat des Datenschutzbeauftragten, sofern einer bestellt ist. Ein Auftragsverarbeiter muss dabei unterstützen, kann die DSFA aber nicht an Ihrer Stelle vornehmen — er kennt weder Ihren Zweck noch Ihre Abwägung. Was wir liefern, ist die technische Seite: welche Daten das System sieht, wo sie verarbeitet werden, was protokolliert wird, wie lange etwas vorgehalten wird.
Was, wenn das Restrisiko hoch bleibt?+
Dann greift Artikel 36: vor der Verarbeitung ist die Aufsichtsbehörde zu konsultieren. Das ist kein Genehmigungsverfahren, sondern eine Beratung mit Fristen, und es kommt selten vor — weil die meisten hohen Risiken durch Gestaltung sinken, bevor es so weit ist. Nachvollziehbar dokumentierte Schutzmaßnahmen sind der übliche Ausgang.
Wie umfangreich muss das sein?+
Artikel 35 Absatz 7 nennt vier Bestandteile: systematische Beschreibung der Verarbeitung, Bewertung von Notwendigkeit und Verhältnismäßigkeit, Bewertung der Risiken, geplante Abhilfemaßnahmen. Für ein klar umrissenes Vorhaben sind das wenige Seiten. Umfang ersetzt keine Abwägung — eine dreißigseitige Beschreibung ohne begründete Entscheidung ist schwächer als fünf Seiten mit einer.
Hilft es, wenn die Verarbeitung im EWR bleibt?+
Es vereinfacht einen Teil der Prüfung erheblich, weil Kapitel V der DSGVO — Angemessenheitsbeschluss, Standardvertragsklauseln, Transfer Impact Assessment — dann nicht bespielt werden muss. Die übrigen Risiken bleiben davon unberührt: Zugriffsrechte, Aufbewahrungsdauer, Genauigkeit der Ergebnisse und die Frage, wer die Ausgabe prüft, hängen nicht am Ort der Verarbeitung.

Die Vorfrage, die eine Woche spart

Bevor eine DSFA geschrieben wird, lohnt die Frage, ob sie überhaupt nötig ist — und ob sich das Vorhaben so zuschneiden lässt, dass sie es nicht wird. Beschreiben Sie den geplanten Anwendungsfall und die Datenbestände; das ist in einem Gespräch geklärt.

Vorhaben schildernKI und DSGVO im Überblick

Zuletzt aktualisiert: