DSFA bei KI-Systemen — wann ist eine Datenschutz-Folgenabschätzung Pflicht?

Die ehrliche Kurzantwort

Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO Pflicht, wenn die Verarbeitung “voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat”. Bei produktiven KI-Systemen mit personenbezogenen Daten ist diese Schwelle praktisch immer überschritten — und die deutschen Aufsichtsbehörden haben das mehrfach klargestellt.

Drei verbindliche Auslöser nach Art. 35 Abs. 3:

1. Systematische und umfassende Bewertung persönlicher Aspekte (Profiling) — trifft auf Bewerber-Screening, Bonitäts-Scoring, Personalisierungs-Engines zu
2. Umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 (Gesundheit, Religion, ethnische Herkunft, Gewerkschaft)
3. Systematische Überwachung öffentlich zugänglicher Bereiche (Videoanalyse, biometrische Erkennung)

Zusätzlich gelten die Muss-Listen der deutschen Aufsichtsbehörden: LLM-Integrationen in Customer-Support, Recruiting oder Mitarbeiterüberwachung stehen auf der Liste der DSK (Datenschutzkonferenz) seit Oktober 2023.

Was eine DSFA enthalten muss

Art. 35 Abs. 7 listet vier Pflichtinhalte:

1. Systematische Beschreibung der Verarbeitung. Welcher Zweck, welche Datenarten, welche Empfänger, welche Drittlandtransfers, welche Aufbewahrungsfristen. Bei KI-Systemen zusätzlich: welches Modell, welcher Anbieter, welche Region, welche Trainings-/Inferenz-Daten.

2. Bewertung der Notwendigkeit und Verhältnismäßigkeit. Geht es nicht auch ohne KI? Geht es nicht auch mit weniger Daten? Geht es nicht auch lokal statt in der Cloud? Die DSFA muss zeigen, dass die Wahl der Mittel zum Zweck passt.

3. Risikoanalyse. Welche Risiken bestehen für die Betroffenen — Diskriminierung durch Bias, Re-Identifikation aus Pseudonymen, fehlerhafte Entscheidungen, Verlust der Kontrolle über die eigenen Daten, Datenpanne durch unsichere API. Pro Risiko: Eintrittswahrscheinlichkeit und Schweregrad einschätzen.

4. Schutzmaßnahmen. Wie reduzierst du jedes Risiko? Technische Maßnahmen (Verschlüsselung, Pseudonymisierung vor Übertragung, Output-Filter), organisatorische Maßnahmen (Schulung, Rollen, Audit-Trail, Eskalationspfad), Vertragliche Maßnahmen (AVV, EU-Hosting-Klausel).

Wann eine vorherige Konsultation der Aufsicht nötig wird

Nach Art. 36 DSGVO musst du die Aufsichtsbehörde vor Beginn der Verarbeitung konsultieren, wenn die DSFA ein hohes Restrisiko ergibt, das du nicht durch zumutbare Maßnahmen senken kannst. Das ist bei KI-Systemen relativ selten — aber nicht ausgeschlossen.

Typische Fälle: Einsatz von KI in der Gesundheitsversorgung mit Diagnose-Komponente, biometrische Erkennung mit unklarer Trefferquote, automatisierte Einzelentscheidungen mit rechtlicher Wirkung nach Art. 22 DSGVO, für die du keine valide Rechtsgrundlage hast.

Die Konsultation dauert acht Wochen, verlängerbar um sechs. Plane das ein, wenn du in einem solchen Bereich arbeitest.

DSK-Position zu LLMs: was die Aufsicht erwartet

Die deutsche Datenschutzkonferenz hat in ihrem Beschluss vom Oktober 2023 und dem Update der Orientierungshilfe vom Mai 2024 klare Erwartungen formuliert:

• DSFA vor Produktivstart, nicht im Nachgang
• Modell-Auswahl muss begründet sein (warum dieses Modell, warum dieser Anbieter)
• Trainings-Opt-Out vertraglich abgesichert
• Pseudonymisierung vor Übertragung bei sensiblen Daten
• Output-Plausibilisierung bei entscheidungsrelevanten Antworten
• Schulung der Anwender dokumentiert
• Audit-Trail mit Input/Output-Logging (rollenspezifisch, datensparsam)

Wer diese Punkte in der DSFA abdeckt, hat eine belastbare Grundlage. Wer sie weglässt, riskiert Anordnungen oder Bußgelder.

Wie der DSFA-Prozess in der Praxis läuft

In den Audits, die wir 2026 durchführen, läuft eine DSFA für ein typisches Mittelstands-KI-Projekt in etwa so:

Woche 1: Erfassung. Stakeholder-Interviews (Fachabteilung, IT, Datenschutz, Geschäftsführung). Verarbeitungs-Workflow dokumentieren. Daten-Klassifizierung festlegen. Anbieter- und Vertragslage prüfen.

Woche 2: Risikoanalyse + Maßnahmen. Risiken in Matrix bewerten (Wahrscheinlichkeit × Schwere). Maßnahmen priorisieren. Konsultation des betrieblichen Datenschutzbeauftragten. Rückkopplung mit Fachabteilung.

Abschluss. DSFA-Dokument als Grundlage für die Freigabe durch die Geschäftsführung. Aufnahme ins Verarbeitungsverzeichnis. Jährliche Review-Termine setzen.

Aufwand realistisch: 8–20 Stunden, je nach Komplexität. Bei standardisierten Einsatzszenarien (Customer-Support-Chatbot) im unteren, bei Bewerber-Screening-Tools mit Multi-Stage-LLM-Pipeline im oberen Bereich.

Was bei der DSFA oft schiefgeht

Die “Pseudo-DSFA”. Ein zweiseitiges Word-Dokument mit Häkchen-Liste, ohne echte Risikoanalyse, ohne benannte Maßnahmen. Das ist formal eine DSFA und inhaltlich wertlos. Aufsichtsbehörden erkennen das in zwei Minuten.

Die fehlende Aktualisierung. Eine DSFA ist nicht Stand 15. März 2024 und für immer gültig. Wenn sich das Modell ändert (gpt-4 → gpt-5), der Anbieter ändert (OpenAI → Azure), die Datenarten ändern (neue Felder im Chatbot-Form), ist ein Review fällig.

Die isolierte DSFA. Eine DSFA, die nichts mit dem Verarbeitungsverzeichnis, der Datenschutzerklärung und den TOMs zusammenhängt, ist keine DSFA, sondern ein einsames Dokument. Sie muss in den Datenschutz-Stack eingebunden sein.

Was du heute nicht tun solltest

Keinen LLM-Use-Case mit personenbezogenen Daten produktiv schalten ohne DSFA. Keine “DSFA reichen wir nach”-Strategie — die Aufsicht prüft Zeitstempel. Und keine DSFA-Vorlage aus dem Internet blind übernehmen, in der das Wort “KI” nur zweimal vorkommt und nirgends das Modell oder der Anbieter benannt ist.

Wenn ihr unsicher seid, ob eure Verarbeitung DSFA-pflichtig ist: Fragt euren Datenschutzbeauftragten oder uns. Die Antwort ist in 90 % der Fälle “ja”.