Es gibt in der DSGVO einen Artikel, der für KI-Anwendungen besonders wichtig geworden ist und den die meisten Mittelständler nicht oder nur halb erfüllen. Artikel 35: Datenschutz-Folgenabschätzung. Im Englischen DPIA, im Deutschen meist abgekürzt als DSFA. Eine Anforderung, die seit 2018 gilt, die aber durch die Verbreitung von KI eine neue Brisanz bekommen hat.
Die Hürde ist nicht das Verständnis. Die Hürde ist die Umsetzung in einem Mittelständler, der weder einen Konzern-Datenschutzbeauftragten hat noch eine eigene Compliance-Abteilung. Dieser Beitrag soll genau diese Lücke schließen. Sechs Schritte, jeder konkret, jeder ohne juristisches Doktorat umsetzbar.
Worum es bei der DSFA wirklich geht
Die Datenschutz-Folgenabschätzung ist im Kern eine strukturierte Risikoanalyse. Sie zwingt das Unternehmen, vor dem Einsatz einer Technologie systematisch durchzudenken, welche personenbezogenen Daten verarbeitet werden, was passieren könnte, wenn etwas schiefläuft, und welche Schutzmaßnahmen notwendig sind. Nicht mehr und nicht weniger.
Die Behörden wollen damit erreichen, dass Unternehmen nicht erst nach einem Schaden über Risiken nachdenken, sondern davor. Die DSFA ist also kein bürokratischer Selbstzweck, sondern ein Werkzeug, das auch ohne Pflicht sinnvoll wäre.
Das Problem im Mittelstand ist meist nicht, dass eine DSFA nicht gemacht wird. Das Problem ist, dass sie entweder gar nicht gemacht wird, oder so überfrachtet wird, dass sie unbrauchbar ist. Die richtige Antwort liegt dazwischen: eine kompakte, strukturierte, im Zweifel zehn Seiten lange Dokumentation, die der echten Praxis genügt.
Wann ist eine DSFA überhaupt verpflichtend?
Artikel 35 DSGVO formuliert die Pflicht so: Wenn eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen" mit sich bringt, ist eine Folgenabschätzung notwendig. Das ist abstrakt, deswegen haben die Aufsichtsbehörden Listen erstellt, die konkrete Anwendungsfälle benennen. Bei KI gelten typischerweise drei Kriterien als auslösend.
Für die meisten KI-Anwendungen im Mittelstand greift mindestens eines dieser Kriterien, sobald die KI eine Rolle in Personalentscheidungen, Kundenklassifizierung oder Mitarbeiterbewertung spielt. Wer ChatGPT zur Bewerbungssichtung nutzt, fällt unter Kriterium eins. Wer KI-gestützte Zeitanalyse einsetzt, unter Kriterium zwei. Die DSFA ist also kein Randfall, sondern eine breit relevante Verpflichtung.
Die sechs Schritte einer pragmatischen DSFA
Eine DSFA besteht im Kern aus sechs Bausteinen. Wenn Sie diese sechs Bausteine sauber bearbeiten, haben Sie eine DSFA, die jeder Prüfung standhält. Wir empfehlen, jeden Baustein als eigenen kurzen Abschnitt zu dokumentieren. Eine A4-Seite pro Baustein reicht oft.
Beschreibung der Verarbeitung
Was passiert genau? Welche KI-Anwendung wird eingesetzt, von welchem Anbieter, mit welcher Datenbasis, für welchen Zweck? Wer ist intern verantwortlich? Welche Datenarten werden verarbeitet? Wo werden die Daten gespeichert? Welche Drittländer sind beteiligt?
Wichtig: Diese Beschreibung muss präzise sein, aber nicht technisch tief. Eine Person mit gesundem Menschenverstand muss verstehen, was im Unternehmen passiert.
Prüfung der Notwendigkeit und Verhältnismäßigkeit
Ist die Verarbeitung wirklich notwendig, oder geht es auch anders? Lässt sich der Zweck mit weniger Daten erreichen? Lässt sich der Zweck ohne KI erreichen? Dies ist der Schritt, der oft übersprungen wird, der aber besonders wichtig ist.
Was Sie hier dokumentieren: Sie haben geprüft, ob die KI notwendig ist und welche Alternativen es gibt. Wenn die KI die beste Lösung ist, begründen Sie es. Wenn nicht, dokumentieren Sie, warum Sie sie trotzdem nutzen.
Identifikation der Risiken
Was kann konkret schiefgehen? Welche Risiken bestehen für die betroffenen Personen? Drei Kategorien: Vertraulichkeit (unbefugter Zugriff), Integrität (Veränderung von Daten), Verfügbarkeit (Verlust oder Nichterreichbarkeit).
Bei KI besonders relevant: Risiken durch automatisierte Entscheidungen (falsche Klassifizierung), Risiken durch Datenübertragung in Drittländer (USA-Transfer bei OpenAI, Anthropic), Risiken durch Modell-Training (Daten werden Teil eines Trainingsdatensatzes), Risiken durch Halluzinationen (KI generiert falsche personenbezogene Aussagen).
Bewertung der Risiken
Für jedes identifizierte Risiko: Wie wahrscheinlich ist es, dass es eintritt? Wie schwer wäre der Schaden für die betroffene Person, wenn es eintritt? Das Zusammenspiel von Wahrscheinlichkeit und Schwere ergibt die Risikoeinstufung.
Praktischer Hinweis: Wir empfehlen eine einfache 3x3-Matrix. Wahrscheinlichkeit (niedrig, mittel, hoch) gegen Schwere (gering, mittel, hoch). Jedes Risiko wird in einer Zelle eingeordnet. Risiken in den oberen rechten Zellen sind die kritischen.
Maßnahmen zur Risikominderung
Für jedes nicht-vernachlässigbare Risiko: Welche Maßnahmen ergreifen Sie, um das Risiko zu reduzieren? Technische Maßnahmen (Verschlüsselung, Zugriffskontrollen, Anonymisierung), organisatorische Maßnahmen (Schulungen, Richtlinien, Rollen), vertragliche Maßnahmen (Auftragsverarbeitungsverträge, Datenschutzgarantien).
Wichtig: Beschreiben Sie nicht nur was, sondern auch wer und wann. Eine Maßnahme ohne Verantwortlichen und Termin ist keine Maßnahme, sondern ein Vorhaben.
Beteiligung des Datenschutzbeauftragten und Restrisiko-Bewertung
Die DSGVO verlangt, dass der Datenschutzbeauftragte einbezogen wird, sofern bestellt. Seine Stellungnahme ist Teil der DSFA. Abschließend bewerten Sie das Restrisiko nach den geplanten Maßnahmen. Wenn das Restrisiko trotz aller Maßnahmen hoch bleibt, ist eine vorherige Konsultation der Aufsichtsbehörde nach Artikel 36 DSGVO erforderlich.
In der Praxis: Bei den meisten KI-Anwendungen lässt sich das Risiko durch geeignete Maßnahmen so weit reduzieren, dass keine Aufsichtsbehörden-Konsultation nötig ist. Wenn doch, ist das ein klares Signal, das Vorhaben grundsätzlich zu überdenken.
Wer macht die DSFA in einem Mittelständler?
Eine Frage, die in jedem Erstgespräch fällt. Die Antwort ist nüchtern: Die DSFA ist eine Verantwortung des Unternehmens, nicht des Datenschutzbeauftragten. Der DSB ist beratend einzubeziehen, aber die Verantwortung trägt die Geschäftsführung.
In der Praxis funktioniert es so: Der Chief AI Officer (intern oder extern), der Datenschutzbeauftragte und der fachlich verantwortliche Bereich erstellen die DSFA gemeinsam. Der CAIO bringt die Sachkenntnis über die KI-Anwendung mit, der DSB die juristische Bewertung, der Fachbereich die operative Realität. Diese Konstellation funktioniert. Sie lässt sich auch in kleinen Unternehmen umsetzen.
Was nicht funktioniert: die DSFA dem Datenschutzbeauftragten allein zu überlassen. Er kennt die KI-Anwendung in der Regel nicht im Detail. Eine DSFA, die ohne den fachlich Verantwortlichen entsteht, ist meist juristisch korrekt formuliert, aber praktisch nutzlos.
Die vier häufigsten Fehler bei DSFA für KI-Anwendungen
Aus unserer Mandatspraxis vier Fehlermuster, die wir immer wieder sehen:
Die DSFA besteht aus juristischen Standardformulierungen, die für jede beliebige Anwendung gelten könnten. Eine echte Risikoanalyse findet nicht statt. Aufsichtsbehörden erkennen das sofort.
ChatGPT, Claude, Gemini, alle verarbeiten Daten in den USA. Das ist ein eigenständiges Risiko, das in der DSFA dokumentiert und mit Schutzmaßnahmen versehen werden muss. Es zu verschweigen oder zu verharmlosen, ist der häufigste Mangel.
Bei vielen KI-Anbietern werden die Eingaben standardmäßig zur Verbesserung der Modelle genutzt. Bei kostenlosen oder Privat-Tarifen praktisch immer. Dieses Risiko muss adressiert werden, in der Regel durch den Wechsel auf Business- oder Enterprise-Tarife mit ausgeschlossener Trainingsnutzung.
Eine DSFA ist ein lebendes Dokument. Sobald sich die Verarbeitung ändert (neuer Anbieter, neue Funktion, neuer Zweck), ist sie zu prüfen und gegebenenfalls anzupassen. In den meisten Unternehmen liegt die DSFA von 2022 unverändert im Ordner, während die KI-Nutzung sich dreimal grundlegend gewandelt hat.
Was bleibt
Die DSGVO-Folgenabschätzung wird im Mittelstand oft als Bürokratie empfunden. Sie kann sie sein. Sie kann aber auch ein nützliches Werkzeug sein, um eine geplante KI-Anwendung einmal grundsätzlich durchzudenken. Wer die sechs Schritte ernsthaft durchgeht, stellt häufig fest, dass die Anwendung anders gestaltet werden sollte als ursprünglich gedacht. Genau das ist der Sinn der DSFA. Nicht ein Stück Papier zu produzieren, sondern eine bessere Entscheidung zu treffen.
Und sie kostet nicht viel. Eine sauber gemachte DSFA für eine typische Mittelstands-KI-Anwendung braucht zehn bis fünfzehn Arbeitsstunden, verteilt auf zwei bis drei Personen. Das ist machbar. Was nicht machbar ist: sie nicht zu machen und im Ernstfall ohne Dokumentation dazustehen.
Brauchen Sie eine DSFA für ein KI-Vorhaben?
Die DSFA-Erstellung ist Teil unserer CAIO-Mandate. Mit klaren Vorlagen, mit Beteiligung Ihres Datenschutzbeauftragten, in zwei bis drei Wochen.
Erstgespräch vereinbaren →