DSFA für KI-Tools: Wann sie nötig ist, wie Sie vorgehen und wie eine Gliederung aussieht

Stand: 13. November 2026. Allgemeine Information, keine Rechtsberatung. Die Einschätzungen in diesem Beitrag sind eine Orientierung; ob eine DSFA nötig ist, entscheiden Sie im Einzelfall, am besten mit Ihrer Datenschutzbeauftragten.

Wann ist für ein KI-Tool eine DSFA nötig?

Eine DSFA ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Das verlangt Art. 35 Abs. 1 DSGVO vor Beginn der Verarbeitung; dabei sind Art, Umfang, Umstände und Zwecke zu berücksichtigen, und der Artikel nennt ausdrücklich den Einsatz neuer Technologien.^[1] Eine einzige Abschätzung kann mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken abdecken.^[1]

Art. 35 Abs. 3 DSGVO nennt drei Fälle, in denen eine DSFA besonders verlangt wird: systematische und umfassende Bewertung persönlicher Aspekte durch automatisierte Verarbeitung einschließlich Profiling, wenn darauf Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung beruhen; umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 oder von Daten über Straftaten nach Art. 10; und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.^[1] Dazu kommen die Listen der Aufsichtsbehörden nach Art. 35 Abs. 4, die Sie für Ihr Bundesland prüfen sollten.^[1]

Für KI hat die Datenschutzkonferenz (DSK) in ihrer Orientierungshilfe vom 6. Mai 2024 geschrieben, dass eine DSFA beim Einsatz von KI „vielfach“ erforderlich ist.^[2] Das Wort ist bewusst nicht „immer“: Es gibt einen Prüfauftrag, aber keine Automatik. Auch der Hamburger Datenschutzbeauftragte nennt die Prüfung einer DSFA in seiner Checkliste zum Einsatz von Chatbots.^[3]

Wenn Sie vorher klären wollen, ob die Verarbeitung überhaupt personenbezogene Daten betrifft und ob ein Vertrag mit dem Anbieter vorliegt, lesen Sie zuerst AVV für ChatGPT und andere KI-Tools.

Welche KI-Nutzungen sprechen für oder gegen eine DSFA?

Die Tabelle ordnet typische Einsätze nach den Merkmalen aus Art. 35. Sie ist eine Orientierung für Ihr Vorgespräch mit der Datenschutzbeauftragten und keine Entscheidung. Wer ein Merkmal in „spricht dafür“ findet, sollte eine DSFA ernsthaft erwägen und sie im Zweifel durchführen.

Die Spalten schließen sich nicht aus. Ein Einsatz kann einzelne Merkmale haben, die dafür sprechen, und andere, die dagegen sprechen; dann entscheidet die Gesamtschau. Im Zweifel führen Sie die DSFA durch: Der Aufwand lässt sich begrenzen, und der Nutzen liegt auch darin, dass Sie die Risiken und Schutzmaßnahmen erstmals ordentlich aufschreiben.

Wie gehen Sie in sechs Schritten vor?

Die Schritte sind eine praktische Empfehlung. Das Gesetz schreibt nur den Mindestinhalt der DSFA vor, nicht den Ablauf.

1. Vorprüfung durchführen. Beschreiben Sie in einer halben Seite, welches Tool wofür genutzt wird, welche Daten fließen und wer betroffen ist. Prüfen Sie anhand der Tabelle oben und der Liste Ihrer Aufsichtsbehörde, ob ein hohes Risiko vorliegt. Verantwortlich: Fachbereich mit Datenschutz.
2. Beteiligte einbeziehen. Ist eine Datenschutzbeauftragte benannt, ist ihr Rat einzuholen (Art. 35 Abs. 2).^[1] Sprechen Sie früh auch mit dem Betriebsrat, wenn Leistung oder Verhalten ausgewertet werden könnten. Verantwortlich: Geschäftsführung.
3. Verarbeitung beschreiben. Zweck, Datenarten, Betroffene, Empfänger, Speicherdauer, Tarif, Vertrag. Verantwortlich: IT und Fachbereich.
4. Notwendigkeit und Risiken bewerten. Ist der Zweck auch mit weniger Daten erreichbar? Was kann den Betroffenen passieren, wie wahrscheinlich ist es, wie schwer wäre es? Verantwortlich: Datenschutz.
5. Maßnahmen festlegen. Technische und organisatorische Maßnahmen, die die Risiken senken, etwa Datenklassen, Tarifauswahl, Pseudonymisierung vor dem Absenden, Schulung. Verantwortlich: IT, Datenschutz.
6. Entscheiden, dokumentieren, überprüfen. Geschäftsführung gibt frei oder lehnt ab; setzen Sie einen Termin zur Überprüfung. Art. 35 Abs. 11 verlangt eine Überprüfung, wenn sich das Risiko ändert.^[1] Verantwortlich: Geschäftsführung.

Hinweis zu den Betroffenen: Art. 35 Abs. 9 sieht vor, dass der Verantwortliche gegebenenfalls den Standpunkt der Betroffenen oder ihrer Vertreter einholt.^[1] Bei Beschäftigten ist das der Betriebsrat.

Was kann eine DSFA über den Weg der Daten beim Anbieter aussagen?

Weniger, als man erwartet. Die Risikobewertung verlangt zu wissen, wohin Daten gelangen. Beim externen KI-Dienst sehen Sie das nach dem Absenden nicht: Ob ein Prompt verarbeitet, kopiert oder gespeichert wird und auf welchen Servern, können Sie technisch nicht beobachten. Sie bewerten Zusagen, keine Beobachtungen, und diese Zusagen haben dokumentierte Grenzen. Ein Auftragsverarbeiter darf unter Bedingungen weitere Auftragsverarbeiter einsetzen (Art. 28 Abs. 2 und 4 DSGVO)^[14], Residenzzusagen betreffen oft nur gespeicherte Inhalte, und Gesendetes lässt sich nicht zurückholen. Halten Sie deshalb in der Risikobewertung fest, worauf die Einschätzung beruht (Vertrag, Anbieterdokumentation, Stand) und wann sie neu zu prüfen ist, wie es Art. 35 Abs. 11 verlangt^[1].

Als Abhilfemaßnahme bleibt, was Sie selbst steuern: weniger senden, identifizierende Angaben weglassen oder pseudonymisieren. Das entspricht der Datenminimierung und dem Datenschutz durch Technikgestaltung (Art. 5 Abs. 1 lit. c, Art. 25 DSGVO)^[12][9]; es verringert, was offenliegt, und ersetzt weder Vertrag noch Rechtsgrundlage. Ainym ist eine Browser-Erweiterung in geschlossener Beta, die personenbezogene Daten auf Ihrem Gerät erkennt; Sie bestätigen jeden Treffer vor dem Senden. Den Hintergrund erklärt Wo landen Ihre Daten bei KI-Anbietern, und was können Sie kontrollieren?

Was muss eine DSFA enthalten?

Art. 35 Abs. 7 DSGVO nennt vier Mindestinhalte: eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen und die geplanten Abhilfemaßnahmen einschließlich Schutzmaßnahmen und Verfahren, mit denen der Schutz nachgewiesen wird.^[1] Die folgende Gliederung folgt diesen vier Punkten und ergänzt Angaben, die bei KI-Tools in der Praxis gebraucht werden. Der Mustertext ist ein Beispiel für einen erfundenen Fall und muss an Ihr Unternehmen angepasst werden.

Diese Gliederung kann ein Unternehmen mit überschaubarem Einsatz auf zwei bis fünf Seiten ausfüllen. Nach Art. 36 Abs. 1 DSGVO konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde, wenn aus der Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern er keine Maßnahmen zur Eindämmung des Risikos trifft; praktisch geht es um den Fall, dass das Risiko trotz Ihrer Maßnahmen hoch bleibt^[13]. Klären Sie diesen Schritt mit Ihrer oder Ihrem Datenschutzbeauftragten.

Was dokumentieren Sie, wenn keine DSFA nötig scheint?

Auch ein Ergebnis „keine DSFA“ sollten Sie schriftlich festhalten. Das ergibt sich aus der Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO: Sie müssen die Einhaltung nachweisen können.^[12] Der Vermerk ist kurz und beantwortet vier Fragen: Welche Verarbeitung wurde betrachtet? Warum liegt aus Ihrer Sicht kein hohes Risiko vor? Welche Merkmale aus Art. 35 Abs. 3 und der Liste der Aufsichtsbehörde wurden geprüft? Wann wird neu bewertet?

Der Vermerk ist nur so gut wie die Arbeitsregel dahinter. Wer „keine personenbezogenen Daten“ schreibt, braucht eine KI-Richtlinie und Schulung, sonst stimmt die Annahme nicht. Die Pseudonymisierung vor dem Absenden ist eine mögliche Schutzmaßnahme; sie macht die Daten für den Schlüsselhalter nicht anonym, und die DSK weist darauf hin, dass das Entfernen von Namen und Anschriften regelmäßig nicht reicht, weil der Kontext identifizieren kann.^[2] Der Beitrag Pseudonymisierung und Anonymisierung im Unterschied erklärt den Unterschied.

Wie hängt die DSFA mit der KI-Verordnung zusammen?

Für Hochrisiko-Systeme verweist die KI-Verordnung (AI Act) darauf, dass Betreiber die Informationen des Anbieters für ihre DSFA nutzen (Art. 26 Abs. 9^[7], anwendbar für Anhang III ab 2. Dezember 2027^[11]). Die DSFA nach der DSGVO und die Pflichten nach der KI-VO bestehen nebeneinander. Einen Überblick gibt KI-Verordnung: Pflichten für Unternehmen.

Nächster Schritt

Machen Sie diese Woche die Vorprüfung für Ihr wichtigstes KI-Tool: eine halbe Seite zu Zweck, Daten, Betroffenen und Vertrag, dazu die Tabelle oben als Checkliste. Legen Sie das Ergebnis Ihrer Datenschutzbeauftragten vor. Entscheiden Sie gemeinsam, ob Sie die Gliederung aus dem Muster ausfüllen oder den Vermerk „keine DSFA“ mit Begründung anlegen. Den Gesamtablauf einer Einführung beschreibt der Beitrag KI im Unternehmen datenschutzkonform einführen; zu Microsoft-Produkten hilft Microsoft Copilot und Datenschutz.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Er ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Rechtsberatung. Stand: 13. November 2026.