Die Datenschutz-Folgenabschätzung (DSFA, englisch Data Protection Impact Assessment) ist ein Verfahren der Datenschutz-Grundverordnung. Wer personenbezogene Daten so verarbeitet, dass voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Menschen entsteht, muss die Folgen vorab abschätzen. Die Pflicht ergibt sich aus Artikel 35 DSGVO.
In einfachen Worten
Bevor ein Unternehmen Daten von Menschen auf riskante Weise verarbeitet, muss es die Risiken prüfen und aufschreiben. Diese Prüfung heißt Datenschutz-Folgenabschätzung. Sie ist nötig, wenn für die Betroffenen voraussichtlich ein hohes Risiko besteht. Das kann bei KI-Systemen der Fall sein, zum Beispiel wenn ein Chatbot mit Kundendaten arbeitet. Findet man ein hohes Risiko, das sich nicht verringern lässt, fragt man die Aufsichtsbehörde.
Zusammenfassung
Verantwortlich ist, wer über Zweck und Mittel der Verarbeitung entscheidet. Die DSFA gilt nach der DSGVO „vorab“ und für Verarbeitungen, die „insbesondere bei Verwendung neuer Technologien“ voraussichtlich ein hohes Risiko mit sich bringen (DSGVO, Art. 35 Abs. 1). Für KI-Anwendungen im Betrieb ist sie deshalb ein praktisches Werkzeug, aber keine Pauschalpflicht für jeden KI-Einsatz.
Wann sie erforderlich ist
Artikel 35 Absatz 3 nennt drei Regelbeispiele. Das erste ist eine systematische und umfassende Bewertung persönlicher Aspekte durch automatisierte Verarbeitung einschließlich Profiling, die Grundlage für Entscheidungen mit Rechtswirkung ist. Das zweite ist die umfangreiche Verarbeitung besonderer Datenkategorien oder von Strafdaten. Das dritte ist die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (DSGVO, Art. 35 Abs. 3).
Dazu kommen die Listen der Aufsichtsbehörden nach Absatz 4.
Die Datenschutzkonferenz (DSK) führt in ihrer Liste in Version 1.1 vom 17. Oktober 2018 unter Nummer 11 den „Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte“.
Als Beispiele nennt sie Kundensupport, etwa ein Callcenter, das die Stimmungslage von Anrufenden auswertet, und ein System, das Kunden im Gespräch berät und dafür personenbezogene Daten durch eine KI verarbeitet (DSK 2018a, Nr. 11).
Auch Nummer 13 (automatisierte Auswertung von Video- oder Audioaufnahmen zur Bewertung der Persönlichkeit) betrifft KI-Anwendungen. Die Liste ist nach eigenen Angaben nicht abschließend (DSK 2018a, Nr. 13).
Für Fälle, die auf keiner Liste stehen, verweist die DSK auf neun Kriterien der Leitlinien WP 248, darunter innovative Nutzung neuer technologischer Lösungen, Bewerten oder Einstufen (Scoring) und automatisierte Entscheidungsfindung mit Rechtswirkung (DSK 2018a).
Schwellwertanalyse
Ob eine DSFA nötig ist, ergibt sich laut DSK aus einer Risikoabschätzung der konkreten Verarbeitungsvorgänge, der „Schwellwertanalyse“. Ergibt sich kein hohes Risiko, ist keine DSFA zwingend erforderlich. In jedem Fall ist die Entscheidung mit den maßgeblichen Gründen schriftlich zu dokumentieren (DSK 2018b).
Inhalt und Ablauf
Die DSFA enthält mindestens vier Bestandteile (DSGVO, Art. 35 Abs. 7):
| Bestandteil | Inhalt |
|---|---|
| Beschreibung | systematische Darstellung der Verarbeitung und ihrer Zwecke |
| Notwendigkeit | Bewertung von Notwendigkeit und Verhältnismäßigkeit |
| Risiken | Bewertung der Risiken für Rechte und Freiheiten |
| Abhilfe | geplante Maßnahmen gegen die Risiken |
Das Kurzpapier Nr. 5 der DSK gliedert den Ablauf in Vorbereitung, Durchführung, Umsetzung und Überprüfung. Eine DSFA wird danach im Regelfall von einem interdisziplinären Team erstellt, das Datenschutz, Risikoermittlung und Fachprozesse abdeckt. Der Datenschutzbeauftragte berät dabei (DSK 2018b; DSGVO, Art. 35 Abs. 2).
Sie ist vor Aufnahme der Verarbeitung durchzuführen und kein einmaliger Vorgang: Ändert sich das Risiko, ist sie zu überprüfen (DSK 2018b; DSGVO, Art. 35 Abs. 11).
Hohes Restrisiko
Bleibt auch nach den geplanten Maßnahmen ein hohes Risiko, muss der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde konsultieren (DSGVO, Art. 36 Abs. 1). Die Behörde kann innerhalb von bis zu acht Wochen schriftliche Empfehlungen geben; die Frist lässt sich um sechs Wochen verlängern (DSGVO, Art. 36 Abs. 2).
Abgrenzung zu anderen Folgenabschätzungen
Die DSFA betrifft Risiken für personenbezogene Daten. Von ihr zu unterscheiden ist die Grundrechte-Folgenabschätzung, die die KI-Verordnung nach Artikel 27 für bestimmte Betreiber von Hochrisiko-Systemen verlangt. Sie ist im Artikel über Betreiber erwähnt. Auch die Norm ISO/IEC 42001 verlangt eine eigene Folgenabschätzung für KI-Systeme. Die Zusammenhänge zwischen diesen Verfahren sind hier nicht aus den Gesetzestexten selbst geprüft.
Grenzen der Belege
Der Artikel stützt sich auf den Gesetzestext der DSGVO und zwei Papiere der DSK aus dem Jahr 2018. Beide stammen aus der Zeit vor generativer KI; die Liste der DSK nennt Chatbots nur allgemein als KI-Interaktion. Die später veröffentlichten Orientierungshilfen der DSK zu KI-Systemen wurden nicht gelesen. Der Artikel ersetzt keine Rechtsberatung.
Verwandte Begriffe
- Personenbezogene Daten – Gegenstand der Verarbeitung, die eine DSFA auslösen kann
- KI-Strategie (Unternehmen) – Rahmen, in dem DSFA und Regeln für den KI-Einsatz festgelegt werden
- ISO/IEC 42001 – Norm mit eigener Folgenabschätzung für KI-Systeme
- Lokale Modelle – Betriebsform, die die Weitergabe an Dritte vermeiden kann
- Profiling (KI-VO) – eines der Regelbeispiele nach Artikel 35 Absatz 3
Quellenangaben
- Datenschutzkonferenz (DSK), 2018a. Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist. Version 1.1, 17. Oktober 2018. https://www.lda.bayern.de/media/dsfa_muss_liste_dsk_de.pdf, abgerufen am 3. November 2026.
- Datenschutzkonferenz (DSK), 2018b. Kurzpapier Nr. 5: Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO. Stand 17. Dezember 2018. https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_5.pdf, abgerufen am 3. November 2026.
- Europäische Union, 2016. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 35 und 36. In: Amtsblatt der Europäischen Union L 119, 4. Mai 2016. https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, abgerufen am 3. November 2026.