Warum KI-Systeme fast automatisch in den DSFA-Pflichtkreis fallen
Art. 35 Abs. 1 DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA) immer dann, wenn eine Verarbeitung “aufgrund der Art, des Umfangs, der Umstände und der Zwecke” voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt – ausdrücklich genannt wird die “Verwendung neuer Technologien”. KI-Systeme sind der Musterfall dafür, den der Gesetzgeber 2016 vor Augen hatte. In der Praxis heißt das: Wer ein KI-System einsetzt, das mit personenbezogenen Daten trainiert wird oder auf Basis solcher Daten Entscheidungen vorbereitet, muss die DSFA-Pflicht aktiv prüfen – nicht erst, wenn eine Aufsichtsbehörde nachfragt.
Die drei Regelfälle nach Art. 35 Abs. 3 – und warum KI sie oft reißt
Art. 35 Abs. 3 DSGVO nennt drei Konstellationen, in denen eine DSFA erforderlich ist:
- Buchstabe a: systematische und umfassende Bewertung persönlicher Aspekte auf Basis automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient. Scoring-Modelle, automatisierte Bewerber-Vorauswahl, Kreditwürdigkeitsprüfung durch ein Modell – das fällt typischerweise hierunter.
- Buchstabe b: umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 Abs. 1 oder von Daten zu strafrechtlichen Verurteilungen nach Art. 10. Trainingsdaten für Gesundheits-, HR- oder Fraud-Modelle enthalten solche Kategorien häufig, auch wenn das nicht der primäre Verarbeitungszweck ist.
- Buchstabe c: systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Relevant etwa bei Videoanalyse-Systemen mit Gesichtserkennung oder Verhaltensauswertung im öffentlichen Raum.
Die typische Lücke: Unternehmen prüfen diese Kriterien einmal beim Projektstart, aber nicht erneut, wenn ein Modell nachträglich mit zusätzlichen Datenquellen angereichert oder auf einen neuen Zweck übertragen wird. Damit verschiebt sich die Risikolage, ohne dass die DSFA nachgezogen wird.
Was inhaltlich in die Folgenabschätzung gehört
Art. 35 Abs. 7 DSGVO gibt einen verbindlichen Mindestinhalt vor:
- eine systematische Beschreibung der Verarbeitungsvorgänge und Zwecke, einschließlich verfolgter berechtigter Interessen (lit. a),
- eine Bewertung von Notwendigkeit und Verhältnismäßigkeit in Bezug auf den Zweck (lit. b),
- eine Bewertung der Risiken für Rechte und Freiheiten der betroffenen Personen (lit. c),
- die geplanten Abhilfemaßnahmen, Garantien und Sicherheitsvorkehrungen, mit denen der Schutz sichergestellt und die Einhaltung der DSGVO nachgewiesen wird (lit. d).
Bei KI-Systemen wird Punkt 2 – die Verhältnismäßigkeitsprüfung – häufig zu knapp behandelt: Es reicht nicht, den Geschäftsnutzen zu beschreiben; verlangt ist eine begründete Abwägung, ob der gewählte Grad an Automatisierung und Datenverarbeitung für den Zweck tatsächlich erforderlich ist. Ebenso wird Punkt 3 oft auf technische Risiken (Datenleck, Fehlklassifikation) verkürzt, während Grundrechtsrisiken wie Diskriminierung durch Trainingsdaten-Bias nicht systematisch erfasst werden.
Nach Art. 35 Abs. 2 DSGVO ist außerdem der Rat des Datenschutzbeauftragten einzuholen, sofern ein DSB benannt ist – das ist keine Formalie, sondern soll die Risikobewertung fachlich absichern, bevor sie abgeschlossen wird. Nach Art. 35 Abs. 9 DSGVO ist gegebenenfalls auch der Standpunkt der betroffenen Personen oder ihrer Vertreter einzuholen, unbeschadet des Schutzes gewerblicher oder öffentlicher Interessen.
Die DSFA ist kein einmaliges Dokument
Art. 35 Abs. 11 DSGVO verpflichtet zur Überprüfung, ob die Verarbeitung noch der Folgenabschätzung entspricht – zumindest, wenn sich das Risiko der Verarbeitungsvorgänge ändert. Bei KI-Systemen ist das der Regelfall, nicht die Ausnahme: Modelle werden nachtrainiert, Datenquellen ausgetauscht, Anwendungsfälle erweitert. Eine DSFA, die einmal zum Go-Live geschrieben und dann abgelegt wird, erfüllt Abs. 11 nicht. Wer KI-Systeme betreibt, braucht einen Prozess, der Modelländerungen automatisch gegen die bestehende Risikobewertung spiegelt.
Zeitdruck durch den EU AI Act nicht ausblenden
Die DSFA-Pflicht nach Art. 35 DSGVO läuft parallel zu den Vorgaben des EU AI Act, dessen Fristen sich durch den “Digital Omnibus on AI” verschoben haben: Die Hochrisiko-Pflichten für Systeme nach Anhang III greifen erst ab dem 02.12.2027, die Transparenzpflichten aus Art. 50 AI Act ab dem 02.08.2026 (mit Schonfrist bis 02.12.2026 für bereits im Verkehr befindliche Systeme). Diese Verschiebung ändert nichts an der DSGVO-Pflicht: Wenn ein KI-System personenbezogene Daten verarbeitet und die Schwellen des Art. 35 Abs. 3 DSGVO erreicht, ist die DSFA unabhängig vom AI-Act-Zeitplan schon heute Pflicht. Wer die zusätzliche Zeit bis zu den AI-Act-Fristen nutzt, sollte sie für den Aufbau eines belastbaren DSFA-Prozesses einsetzen, statt auf spätere Stichtage zu warten.
Ob Ihr KI-System die Schwellen des Art. 35 Abs. 3 DSGVO erreicht und wie dringend Handlungsbedarf besteht, lässt sich mit unserem kostenlosen Risiko-Check unter /einstufung in wenigen Minuten einordnen.