# Datenschutz-Folgenabschätzung für KI: Wann sie Pflicht ist und wie du vorgehst

> Eine Datenschutz-Folgenabschätzung (DSFA) ist für KI Pflicht, wenn die Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt (Art. 35 DSGVO), und nach Einschätzung der Datenschutzkonferenz wird das beim Einsatz von KI-Anwendungen vielfach der Fall sein. Ob es so ist, klärst du mit einer dokumentierten Vorabprüfung vor dem Start. Dieser Ratgeber von Hey2Ai zeigt, wann die DSFA greift, welche Fälle die Muss-Liste nennt und wie du vorgehst.

Quelle: https://hey2.ai/ratgeber/datenschutz-folgenabschaetzung-ki/ · Stand: 25.10.2026 · Hey2Ai, München

## Das Wichtigste in Kürze

- Art. 35 Abs. 1 DSGVO: DSFA bei voraussichtlich hohem Risiko, insbesondere bei neuen Technologien
- Die DSK erwartet eine DSFA beim Einsatz von KI-Anwendungen vielfach
- DSK-Muss-Liste Nr. 11: KI zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte
- Mindestinhalt nach Art. 35 Abs. 7: Beschreibung, Notwendigkeit, Risiken, Abhilfemaßnahmen
- Betreiber brauchen Informationen des KI-Anbieters zur Funktionsweise des Systems
- Bleibt ein hohes Restrisiko, ist die Aufsichtsbehörde vorab zu konsultieren (Art. 36)

## Wann eine DSFA für KI Pflicht ist

Maßgeblich ist das voraussichtliche Risiko, nicht das Werkzeug. Art. 35 Abs. 1 DSGVO verlangt eine DSFA vor der Verarbeitung, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Dieser Ratgeber ist keine Rechtsberatung.

Art. 35 Abs. 3 nennt drei Fälle, in denen eine DSFA immer erforderlich ist:

- systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, wenn darauf Entscheidungen mit erheblicher Wirkung beruhen
- umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9) oder von Daten über Straftaten (Art. 10)
- systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche

Die Datenschutzkonferenz (DSK) verlangt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vom 6. Mai 2024 vor jeder Verarbeitung eine Vorabprüfung des Risikos nach Art, Umfang, Zweck und Umständen. Ergibt sie ein voraussichtlich hohes Risiko, ist eine DSFA erforderlich. Beim Einsatz von KI-Anwendungen wird dies nach Einschätzung der DSK vielfach der Fall sein.

## Welche KI-Fälle die DSK-Muss-Liste nennt

Die DSK hat für den nichtöffentlichen Bereich eine Liste der Verarbeitungstätigkeiten veröffentlicht, für die eine DSFA durchzuführen ist (Version 1.1 vom 17. Oktober 2018). Sie nennt KI ausdrücklich. Die Liste ist nicht abschließend.

| Nr. | Verarbeitungstätigkeit | Beispiel aus der Liste |
|---|---|---|
| 8 | Umfangreiche Verarbeitung von Daten über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeit genutzt werden kann | Zentrale Aufzeichnung von Aktivitäten am Arbeitsplatz |
| 10 | Zusammenführung von Daten aus verschiedenen Quellen mit nicht nachvollziehbaren Algorithmen in großem Umfang | Big-Data-Analyse von Kundendaten, angereichert um Drittquellen |
| 11 | Einsatz von KI zur Verarbeitung personenbezogener Daten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten | Ein System berät Kunden im Dialog und verarbeitet dafür personenbezogene Daten |
| 13 | Automatisierte Auswertung von Video- oder Audioaufnahmen zur Bewertung der Persönlichkeit | Ein Callcenter wertet automatisiert die Stimmungslage der Anrufer aus |

## In fünf Schritten zur DSFA für eine KI-Anwendung

1. **Vorprüfen** (Schwellwertanalyse): Prüfe Art, Umfang, Zweck und Umstände sowie die Muss-Liste. Dokumentiere auch, wenn das Ergebnis keine DSFA ist.
2. **Beschreiben** (Art. 35 Abs. 7 lit. a): Beschreibe Zweck, Datenarten, Datenflüsse, Anbieter und Speicherorte. Fordere beim Anbieter Informationen zur Funktionsweise an.
3. **Bewerten** (Notwendigkeit und Risiken): Prüfe, ob der Zweck mit weniger Daten erreichbar ist, und bewerte Risiken wie Fehlausgaben, Training auf Eingaben oder Drittlandübermittlung.
4. **Absichern** (Abhilfemaßnahmen): Lege Maßnahmen fest, etwa betriebliche Konten, Ausschluss des Trainings, Löschfristen und menschliche Prüfung. Hole den Rat der Datenschutzbeauftragten ein.
5. **Überprüfen** (Art. 35 Abs. 11): Prüfe die DSFA erneut, wenn sich das Risiko ändert, zum Beispiel durch ein neues Modell oder neue Datenquellen.

## Wie eine DSFA aufgebaut ist

Eine DSFA hat vier Pflichtbestandteile, die Art. 35 Abs. 7 DSGVO vorgibt. In der Praxis genügt ein strukturiertes Dokument von wenigen Seiten je Anwendung, ergänzt um Anlagen.

1. **Systematische Beschreibung** der geplanten Verarbeitung und ihrer Zwecke, gegebenenfalls einschließlich der berechtigten Interessen
2. **Bewertung der Notwendigkeit und Verhältnismäßigkeit** in Bezug auf den Zweck
3. **Bewertung der Risiken** für die Rechte und Freiheiten der Betroffenen
4. **Abhilfemaßnahmen**, Garantien, Sicherheitsvorkehrungen und Verfahren, die den Schutz der Daten sicherstellen und die Einhaltung der DSGVO nachweisen

Ist ein Datenschutzbeauftragter benannt, hole seinen Rat ein (Art. 35 Abs. 2). Zeigt die DSFA ein hohes Risiko, das du mit eigenen Maßnahmen nicht eindämmen kannst, musst du vor dem Start die Aufsichtsbehörde konsultieren (Art. 36 Abs. 1).

Wer ein fremdes KI-System nutzt, ist auf Informationen des Anbieters angewiesen. Die DSK rät, schon bei der Auswahl darauf zu achten, dass der Anbieter sie bereitstellt. Wie du Chat-Werkzeuge datenschutzgerecht auswählst, zeigt der Ratgeber [ChatGPT und DSGVO im Unternehmen](https://hey2.ai/ratgeber/chatgpt-dsgvo-unternehmen/). Eine [eigene KI-Plattform](https://hey2.ai/firmen-ki-chat/) mit Hosting in Deutschland und ohne Training auf Kundendaten vereinfacht die Risikobewertung, ersetzt sie aber nicht.

## Fragen zur DSFA bei KI

### Brauche ich für ChatGPT im Unternehmen eine Datenschutz-Folgenabschätzung?

Das hängt vom Einsatz ab. Werden personenbezogene Daten verarbeitet und ist das Risiko voraussichtlich hoch, ist eine DSFA Pflicht. Prüfe das in einer dokumentierten Vorabprüfung; die DSK erwartet beim KI-Einsatz vielfach eine DSFA.

### Steht KI auf der Muss-Liste der Datenschutzkonferenz?

Ja. Nr. 11 der DSK-Muss-Liste nennt den Einsatz von KI zur Verarbeitung personenbezogener Daten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten. Ein Beispiel ist ein System, das Kunden im Dialog berät.

### Was muss in einer DSFA mindestens stehen?

Art. 35 Abs. 7 DSGVO verlangt vier Teile: eine Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung und die geplanten Abhilfemaßnahmen.

### Wer erstellt die DSFA, der KI-Anbieter oder ich?

Die DSFA erstellt der Verantwortliche, also das Unternehmen, das die KI für seine Zwecke einsetzt. Der Anbieter muss die nötigen Informationen zur Funktionsweise liefern, und die Datenschutzbeauftragten beraten.

### Was passiert, wenn die DSFA ein hohes Restrisiko ergibt?

Dann musst du vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde konsultieren (Art. 36 DSGVO). Oft lässt sich das vermeiden, indem du Datenarten begrenzt oder zusätzliche Schutzmaßnahmen einführst.

## Quellen

- [Art. 35 DSGVO, Datenschutz-Folgenabschätzung](https://dsgvo-gesetz.de/art-35-dsgvo/)
- [Art. 36 DSGVO, Vorherige Konsultation](https://dsgvo-gesetz.de/art-36-dsgvo/)
- [Verordnung (EU) 2016/679 (DSGVO), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679)
- [DSK, Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, 6. Mai 2024, Rn. 38 bis 40](https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf)
- [DSK, Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Version 1.1](https://www.datenschutzkonferenz-online.de/media/ah/20181017_ah_DSK_DSFA_Muss-Liste_Version_1.1_Deutsch.pdf)

## Kontakt

Kostenlose KI-Analyse (30 Minuten): https://cal.com/hey2ai-ki-check/termin · E-Mail: info@hey2.ai