Zum Inhalt springen
SimpleAct Logo

Leitfaden · DSGVO Art. 35

Stand: 4. Oktober 2026

Datenschutz-Folgen­abschätzung (DSFA): Wann sie Pflicht ist – mit KI und DSK-Muss-Liste

Eine DSFA ist nicht für jede Verarbeitung nötig – aber gerade bei KI-Systemen oft. Hier finden Sie die vollständige Muss-Liste der Datenschutzkonferenz, die neun Kriterien der europäischen Leitlinien, die Mindestinhalte nach Art. 35 Abs. 7 und einen Schwellwert-Check, der Ihre Entscheidung gleich dokumentiert.

Schwellwert-Check startenDSK-Muss-Liste ansehen
  • Alle 17 Punkte der DSK-Muss-Liste
  • 9 Kriterien aus WP 248
  • DSFA und KI-Verordnung (Art. 26, 27)
  • Check mit Dokumentationstext
app.simpleact.de

Datenschutz-Folgenabschätzung

KI-Assistent im Kundenservice · Entwurf

A

Ablauf

3/6
  1. Schwellwertanalyse
  2. Beschreibung
  3. Notwendigkeit
  4. Risiken
  5. Maßnahmen
  6. Freigabe

Risiken

  • Sensible Angaben in Freitext-AnfragenHoch
  • Fehlerhafte Antworten zu VertragsdatenMittel
  • Übermittlung an Modell-API im DrittlandMittel
  • Zu lange Speicherung der VerläufeNiedrig

Beispieldaten · DSK-Muss-Liste Nr. 11 einschlägig

Kurz gesagt

Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO vor dem Start einer Verarbeitung durchzuführen, die voraussichtlich ein hohes Risiko für Betroffene hat – etwa bei Profiling mit Rechtswirkung, umfangreicher Verarbeitung sensibler Daten oder Verarbeitungen auf der Muss-Liste der Aufsichtsbehörden. KI im Kundensupport steht ausdrücklich auf der deutschen Liste.

Grundlagen

Was eine Datenschutz-Folgen­abschätzung ist – und wann Sie eine brauchen

Die Datenschutz-Folgenabschätzung, kurz DSFA (englisch Data Protection Impact Assessment, DPIA), ist in Art. 35 DSGVO geregelt. Hat eine Form der Verarbeitung – insbesondere bei Verwendung neuer Technologien – aufgrund ihrer Art, ihres Umfangs, ihrer Umstände und Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, führt der Verantwortliche vorab eine Abschätzung der Folgen durch (Abs. 1). Mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken können gemeinsam bewertet werden.

Art. 35 Abs. 3 nennt drei Fälle, in denen eine DSFA insbesondere erforderlich ist: eine systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient; die umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 Abs. 1 oder von Daten über Straftaten nach Art. 10; und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Weil diese drei Fälle abstrakt sind, veröffentlichen die Aufsichtsbehörden Listen von Verarbeitungsvorgängen, für die eine DSFA durchzuführen ist (Art. 35 Abs. 4). Für den nicht-öffentlichen Bereich in Deutschland gilt die Liste der Datenschutzkonferenz (DSK) in der Version 1.1 vom 17. Oktober 2018. Sie enthält 17 Fallgruppen – von biometrischer Zutrittskontrolle über Beschäftigtenüberwachung bis zum Einsatz künstlicher Intelligenz. Die Liste ist ausdrücklich nicht abschließend: Auch was nicht auf ihr steht, kann ein hohes Risiko haben.

Für alle anderen Fälle stützt sich die DSK auf die Leitlinien der Artikel-29-Datenschutzgruppe zur DSFA (WP 248 Rev. 01). Sie nennen neun Kriterien, etwa Scoring, systematische Überwachung, sensible Daten, schutzbedürftige Betroffene oder die innovative Nutzung neuer Technologien. Erfüllt eine Verarbeitung zwei dieser Kriterien, ist nach den Leitlinien in den meisten Fällen eine DSFA erforderlich; in manchen Fällen genügt schon eines.

Ob eine DSFA nötig ist, klären Sie mit einer Schwellwertanalyse. Die DSK betont in ihrem Kurzpapier Nr. 5: Die Entscheidung für oder gegen eine DSFA ist in jedem Fall mit den maßgeblichen Gründen schriftlich zu dokumentieren. Ein „brauchen wir nicht“ ohne Begründung ist bei einer Prüfung kaum zu verteidigen. Der Check weiter unten liefert Ihnen dafür einen Textbaustein.

Inhaltlich muss eine DSFA mindestens vier Dinge enthalten (Art. 35 Abs. 7): eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Betroffenen und die geplanten Abhilfemaßnahmen. Der Datenschutzbeauftragte ist um Rat zu fragen (Abs. 2). Ergibt die DSFA, dass trotz Maßnahmen ein hohes Risiko bleibt, ist vor dem Start die Aufsichtsbehörde zu konsultieren (Art. 36).

Mit der KI-Verordnung bekommt die DSFA zusätzliches Gewicht. Betreiber von Hochrisiko-KI-Systemen nutzen die Informationen, die der Anbieter nach Art. 13 KI-VO bereitstellt, für ihre DSFA (Art. 26 Abs. 9 KI-VO). Bestimmte Betreiber müssen zusätzlich eine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO durchführen und können dabei auf die DSFA verweisen. Für Hochrisiko-KI nach Anhang III gelten diese Betreiberpflichten nach dem Digital Omnibus ab dem 2. Dezember 2027 – die DSFA-Pflicht der DSGVO gilt dagegen schon heute.

Fallgruppen auf der DSK-Muss-Liste (Version 1.1, nicht-öffentlicher Bereich)
17
Fallgruppen auf der DSK-Muss-Liste (Version 1.1, nicht-öffentlicher Bereich)
Kriterien aus WP 248: dann in den meisten Fällen DSFA-Pflicht
2 von 9
Kriterien aus WP 248: dann in den meisten Fällen DSFA-Pflicht
Wochen: Frist der Behörde bei vorheriger Konsultation (Art. 36 Abs. 2)
8 + 6
Wochen: Frist der Behörde bei vorheriger Konsultation (Art. 36 Abs. 2)

DSK-Muss-Liste

Die Muss-Liste der Datenschutzkonferenz: alle 17 Fallgruppen

Für diese Verarbeitungen ist im nicht-öffentlichen Bereich in Deutschland eine DSFA durchzuführen (Liste nach Art. 35 Abs. 4 DSGVO, Version 1.1 vom 17.10.2018). Die Beschreibungen sind sinngemäß aus dem Original zusammengefasst; maßgeblich ist der Wortlaut der DSK-Liste, die in den Quellen verlinkt ist.

1
Verarbeitung (Kurzfassung)Biometrische Daten zur eindeutigen Identifizierung, wenn mindestens eines der in der Liste genannten weiteren WP-248-Kriterien zutrifft (z. B. Überwachung, Scoring, schutzbedürftige Betroffene)
Typische EinsatzfelderBiometrische Zutrittskontrolle oder Abrechnung
Beispiel aus der ListeFingerabdrucksensoren zur Zutrittskontrolle; Bezahlen per Fingerabdruck in der Schulkantine
2
Verarbeitung (Kurzfassung)Genetische Daten (Art. 4 Nr. 13), wenn mindestens eines der in der Liste genannten weiteren WP-248-Kriterien zutrifft (z. B. Überwachung, Scoring, schutzbedürftige Betroffene)
Typische EinsatzfelderFrüherkennung von Erbkrankheiten, Abstammungsdatenbanken
Beispiel aus der ListeDNA-Tests bei Neugeborenen; Dienst zum Abgleich genetischer Daten
3
Verarbeitung (Kurzfassung)Umfangreiche Verarbeitung von Daten, die einem Sozial-, Berufs- oder besonderen Amtsgeheimnis unterliegen – auch ohne Art. 9/10
Typische EinsatzfelderInsolvenzverzeichnisse, große soziale Einrichtungen, große Anwaltssozietäten
Beispiel aus der ListeVerzeichnis über Privatinsolvenzen; große Familienrechtskanzlei
4
Verarbeitung (Kurzfassung)Umfangreiche Verarbeitung von Daten über den Aufenthalt von Personen
Typische EinsatzfelderCar-Sharing und Mobilitätsdienste, Fahrzeugdaten, Offline-Tracking in Geschäften, Verkehrsstromanalyse aus Mobilfunkdaten
Beispiel aus der ListeCar-Sharing-Anbieter mit umfangreichen Positions- und Abrechnungsdaten
5
Verarbeitung (Kurzfassung)Zusammenführung von Daten aus verschiedenen Quellen in großem Umfang, nicht alle direkt erhoben, mit nicht nachvollziehbaren Algorithmen, als Grundlage für Entscheidungen mit Rechtswirkung
Typische EinsatzfelderBetrugsprävention, Scoring durch Auskunfteien, Banken oder Versicherungen
Beispiel aus der ListeOnline-Shop prüft Bestellungen mit umfangreichen Daten auf Betrug
6
Verarbeitung (Kurzfassung)Mobile optisch-elektronische Erfassung in öffentlichen Bereichen, zentral in großem Umfang zusammengeführt
Typische EinsatzfelderUmgebungssensoren von Fahrzeugen
Beispiel aus der ListeAuswertung von Fahrzeugsensoren zur Parkplatzsuche oder für automatisiertes Fahren
7
Verarbeitung (Kurzfassung)Umfangreiche Erhebung und Veröffentlichung oder Übermittlung von Bewertungsdaten, die Dritte für Entscheidungen nutzen können
Typische EinsatzfelderBewertungsportale, Inkasso und Forderungsmanagement
Beispiel aus der ListePortal zur öffentlichen Bewertung von Selbstständigen; Inkasso mit umfangreichen Schuldnerdaten
8
Verarbeitung (Kurzfassung)Umfangreiche Verarbeitung von Daten über das Verhalten von Beschäftigten, die zur Bewertung mit Rechtsfolgen genutzt werden können
Typische EinsatzfelderData-Loss-Prevention mit Mitarbeiterprofilen, Geolokalisierung von Beschäftigten
Beispiel aus der ListeZentrale Aufzeichnung von Internet- und Mailverkehr; Bewegungsprofile per RFID, Handy-Ortung oder GPS
9
Verarbeitung (Kurzfassung)Umfassende Profile über Interessen, Beziehungsnetz oder Persönlichkeit
Typische EinsatzfelderDating- und Kontaktportale, große soziale Netzwerke
Beispiel aus der ListeWebportal bildet Nutzerprofile für Kontaktvorschläge
10
Verarbeitung (Kurzfassung)Zusammenführung von Daten aus verschiedenen Quellen in großem Umfang, mit nicht nachvollziehbaren Algorithmen, um unbekannte Zusammenhänge für nicht vorab bestimmte Zwecke zu entdecken
Typische EinsatzfelderBig-Data-Analyse von Kundendaten, angereichert mit Drittquellen
Beispiel aus der ListeKaufverhalten und Webnutzung werden mit Bonitätsdaten verknüpft und analysiert
11
Verarbeitung (Kurzfassung)Einsatz von künstlicher Intelligenz zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte
Typische EinsatzfelderKundensupport mittels künstlicher Intelligenz
Beispiel aus der ListeCallcenter wertet die Stimmungslage der Anrufer automatisiert aus; System berät Kunden im Dialog und verarbeitet dafür personenbezogene Daten mit KI
12
Verarbeitung (Kurzfassung)Nicht bestimmungsgemäße Nutzung von Sensoren oder Funksignalen von Mobilgeräten zur Ortung über einen substanziellen Zeitraum
Typische EinsatzfelderOffline-Tracking in Geschäften, Verkehrsstromanalyse
Beispiel aus der ListeAuswertung von WLAN-, Bluetooth- oder Mobilfunksignalen zur Verfolgung von Laufwegen
13
Verarbeitung (Kurzfassung)Automatisierte Auswertung von Video- oder Audioaufnahmen zur Bewertung der Persönlichkeit
Typische EinsatzfelderAuswertung von Telefongesprächen mittels Algorithmen
Beispiel aus der ListeCallcenter wertet die Stimmungslage der Anrufer automatisiert aus
14
Verarbeitung (Kurzfassung)Umfassende Profile über Bewegung und Kaufverhalten
Typische EinsatzfelderKundenbindungsprogramme mit Rabatten
Beispiel aus der ListeKundenkarte mit Treuepunkten, aus der umfassende Kundenprofile entstehen
15
Verarbeitung (Kurzfassung)Anonymisierung von Daten nach Art. 9 nicht nur im Einzelfall, zur Übermittlung an Dritte
Typische EinsatzfelderAnonymisierung besonderer Kategorien
Beispiel aus der ListeApothekenrechenzentrum oder Versicherung anonymisiert umfangreiche Gesundheitsdaten zur Weitergabe
16
Verarbeitung (Kurzfassung)Daten nach Art. 9/10 – auch nicht umfangreich – bei nicht einmaliger Erhebung über innovative Sensoren oder mobile Anwendungen mit zentraler Auswertung
Typische EinsatzfelderTelemedizin
Beispiel aus der ListeArztpraxis erhebt per App und Sensoren laufend Gesundheitswerte von Patienten
17
Verarbeitung (Kurzfassung)Daten nach Art. 9/10 – auch nicht umfangreich –, mit denen Anbieter neuer Technologien die Leistungsfähigkeit von Personen bestimmen
Typische EinsatzfelderZentrale Speicherung von Sensordaten aus Fitnessarmbändern oder Smartphones
Beispiel aus der ListeDienst wertet Fitnessarmband-Daten zur Trainingsverbesserung aus

Die DSK weist darauf hin, dass die Liste nicht abschließend ist und die allgemeinen Regeln aus Art. 35 Abs. 1 und 3 ergänzt. Für öffentliche Stellen gelten eigene Listen der jeweiligen Aufsichtsbehörden.

WP 248

Die neun Kriterien für ein voraussichtlich hohes Risiko

Steht eine Verarbeitung nicht auf der Muss-Liste, prüfen Sie diese Kriterien aus den Leitlinien WP 248 Rev. 01, auf die sich auch die DSK-Liste stützt. Die KI-Beispiele in der rechten Spalte sind unsere Einordnung.

a) Bewerten oder Einstufen (Scoring)
Was gemeint istBewertung persönlicher Aspekte wie Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben, Verhalten oder Aufenthaltsort, auch Profiling und Prognosen.
Typisches KI-BeispielRanking von Bewerbungen, Bonitätsprognose, Churn-Score
b) Automatisierte Entscheidung mit Rechtswirkung
Was gemeint istEntscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne maßgebliche menschliche Beteiligung (vgl. Art. 22).
Typisches KI-BeispielAutomatische Ablehnung eines Antrags oder Vertrags
c) Systematische Überwachung
Was gemeint istBeobachtung, Überwachung oder Kontrolle von Personen, auch in öffentlich zugänglichen Bereichen oder über Netzwerke.
Typisches KI-BeispielAuswertung von Arbeitsplatz-Aktivitäten, Videoanalyse
d) Vertrauliche oder höchst persönliche Daten
Was gemeint istBesondere Kategorien nach Art. 9, Strafdaten nach Art. 10 und andere sehr persönliche Daten wie Finanz- oder Standortdaten.
Typisches KI-BeispielFreitext-Eingaben mit Gesundheitsangaben im Support-Chat
e) Verarbeitung in großem Umfang
Was gemeint istGemessen an Zahl der Betroffenen, Datenmenge, Dauer und geografischer Reichweite.
Typisches KI-BeispielChatbot für alle Kundinnen und Kunden eines Versorgers
f) Abgleichen oder Zusammenführen von Datensätzen
Was gemeint istVerknüpfung von Daten aus verschiedenen Verarbeitungen oder Quellen über die Erwartungen der Betroffenen hinaus.
Typisches KI-BeispielKI reichert CRM-Daten mit Web- und Drittquellen an
g) Daten schutzbedürftiger Betroffener
Was gemeint istPersonen in einem Machtungleichgewicht, etwa Beschäftigte, Kinder, Patientinnen und Patienten.
Typisches KI-BeispielKI-Auswertung von Beschäftigtendaten
h) Innovative Nutzung neuer Technologien
Was gemeint istNeue technologische oder organisatorische Lösungen, deren Folgen noch wenig erforscht sind.
Typisches KI-BeispielEinsatz generativer KI und großer Sprachmodelle
i) Hinderung an Rechten oder Leistungen
Was gemeint istDie Verarbeitung entscheidet mit darüber, ob Personen ein Recht ausüben, eine Leistung nutzen oder einen Vertrag schließen können.
Typisches KI-BeispielKI-gestützte Kreditvergabe oder Tarifentscheidung

Faustregel nach WP 248: Je mehr Kriterien zutreffen, desto wahrscheinlicher ist ein hohes Risiko. Zwei Kriterien führen in den meisten Fällen zur DSFA-Pflicht; manchmal genügt eines.

Interaktiv

DSFA-Schwellwert-Check: Brauchen Sie eine DSFA?

Gehen Sie drei Stufen durch: die Fälle aus Art. 35 Abs. 3, die DSK-Muss-Liste und die neun Kriterien aus WP 248. Rechts sehen Sie das Ergebnis und einen Text, mit dem Sie Ihre Schwellwertanalyse dokumentieren. Es werden keine Daten gespeichert oder übertragen.

1 · Fälle aus Art. 35 Abs. 3 DSGVO
2 · DSK-Muss-Liste (nicht-öffentlicher Bereich)
3 · Kriterien aus WP 248
app.simpleact.de

Ergebnis der Schwellwertanalyse

z. B. KI-Assistent im Kundenservice

A

Voraussichtlich keine DSFA erforderlich

Keine der geprüften Stufen trifft zu. Dokumentieren Sie die Entscheidung mit Gründen und prüfen Sie erneut, wenn sich die Verarbeitung ändert.

Dokumentation (Textbaustein)

Schwellwertanalyse nach Art. 35 DSGVO – [Verarbeitungstätigkeit]
Datum: [TT.MM.JJJJ] · Bearbeitet von: [Name] · Rat des DSB eingeholt: [ja/nein]

Art. 35 Abs. 3 DSGVO: kein Fall einschlägig
DSK-Muss-Liste (V1.1): keine Fallgruppe einschlägig
Kriterien WP 248 Rev. 01: keines
KI-System beteiligt: nein

Ergebnis: DSFA nicht erforderlich.
Begründung: [warum voraussichtlich kein hohes Risiko besteht – Art, Umfang, Umstände, Zwecke]
Erneute Prüfung bei Änderung der Verarbeitung, spätestens: [Datum]

Arbeitshilfe zur Orientierung, keine Rechtsberatung. Die Schwellwertanalyse ersetzt keine Bewertung des Einzelfalls; die DSK-Liste ist nicht abschließend.

Mindestinhalte

Was in eine DSFA gehört: Art. 35 Abs. 7 und die Pflichten drumherum

Die DSGVO schreibt keine Methode vor, aber Mindestinhalte und Verfahrensschritte. Die rechte Spalte zeigt, worauf Sie bei KI-Systemen zusätzlich achten sollten – das ist unsere Empfehlung.

Systematische Beschreibung
Was hineingehörtVerarbeitungsvorgänge, Zwecke, ggf. berechtigte Interessen; Daten, Systeme, Datenflüsse, Beteiligte.
Bei KI-SystemenModell, Anbieter, Eingaben, Ausgaben, Protokolle, Trainingsnutzung, Drittland
FundstelleArt. 35 Abs. 7 lit. a
Notwendigkeit und Verhältnismäßigkeit
Was hineingehörtIst die Verarbeitung für den Zweck erforderlich? Geht es mit weniger Daten oder milderen Mitteln?
Bei KI-SystemenBraucht das System Personenbezug, oder reichen pseudonymisierte Eingaben?
FundstelleArt. 35 Abs. 7 lit. b
Risikobewertung
Was hineingehörtRisiken für Rechte und Freiheiten der Betroffenen nach Eintrittswahrscheinlichkeit und Schwere.
Bei KI-SystemenFehlerhafte Ausgaben, Diskriminierung, unbeabsichtigte Offenlegung, Kontrollverlust
FundstelleArt. 35 Abs. 7 lit. c
Abhilfemaßnahmen
Was hineingehörtGarantien, Sicherheitsvorkehrungen und Verfahren, die das Risiko eindämmen und die Einhaltung nachweisen.
Bei KI-SystemenMenschliche Prüfung, Filter, Training ausgeschlossen, kurze Speicherfristen, EU-Region
FundstelleArt. 35 Abs. 7 lit. d
Rat des Datenschutzbeauftragten
Was hineingehörtDer Verantwortliche holt den Rat des DSB ein, sofern einer benannt ist.
Bei KI-SystemenFrüh einbinden, nicht erst zur Freigabe
FundstelleArt. 35 Abs. 2
Standpunkt der Betroffenen
Was hineingehörtGegebenenfalls Standpunkt der Betroffenen oder ihrer Vertreter einholen.
Bei KI-SystemenBei Beschäftigtendaten z. B. Betriebsrat (DSK nennt Gremien der Mitbestimmung)
FundstelleArt. 35 Abs. 9
Verhaltensregeln
Was hineingehörtEingehaltene genehmigte Verhaltensregeln sind bei der Beurteilung gebührend zu berücksichtigen.
Bei KI-Systemen–
FundstelleArt. 35 Abs. 8
Überprüfung
Was hineingehörtErforderlichenfalls prüfen, ob die Verarbeitung der DSFA entspricht – zumindest bei geänderten Risiken.
Bei KI-SystemenNeues Modell, neue Funktionen, neuer Anbieter = Anlass zur Überprüfung
FundstelleArt. 35 Abs. 11
Vorherige Konsultation
Was hineingehörtBleibt trotz Maßnahmen ein hohes Risiko, vor dem Start die Aufsichtsbehörde konsultieren.
Bei KI-SystemenRestrisiko ehrlich bewerten und dokumentieren
FundstelleArt. 36

Die DSK beschreibt in Kurzpapier Nr. 5 ein Vorgehen in vier Phasen: Vorbereitung, Durchführung, Umsetzung, Überprüfung. Methoden und Standards sind zulässig, die Anforderungen der DSGVO gehen aber vor.

DSFA und KI

Wann KI-Systeme eine DSFA auslösen – und was die KI-Verordnung ändert

KI-Systeme erfüllen häufig mehrere Kriterien zugleich. Diese Punkte fassen zusammen, was gilt und worauf Sie achten sollten.

01

Muss-Liste Nr. 11

Die DSK nennt den Einsatz von KI zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte ausdrücklich – mit dem Beispiel Kundensupport. Ein Chatbot, der Kundenanfragen mit personenbezogenen Daten beantwortet, fällt typischerweise darunter.

02

Neue Technologien

Art. 35 Abs. 1 hebt die Verwendung neuer Technologien hervor; WP 248 führt sie als eigenes Kriterium. Zusammen mit großem Umfang oder sensiblen Daten in Freitexten sind schnell zwei Kriterien erfüllt.

03

Profiling und Entscheidungen

Bewertet ein System Bewerbungen, Bonität oder Leistung und dient das als Grundlage für Entscheidungen mit Rechtswirkung, greift Art. 35 Abs. 3 lit. a – unabhängig von der Muss-Liste.

04

Anbieterinformationen nutzen

Betreiber von Hochrisiko-KI nutzen die Informationen des Anbieters nach Art. 13 KI-VO für ihre DSFA (Art. 26 Abs. 9 KI-VO). Auch bei anderen KI-Systemen gilt: Fordern Sie Angaben zu Funktionsweise, Datenflüssen und Sicherheit im AVV an.

05

Grundrechte-Folgenabschätzung

Öffentliche Stellen, private Erbringer öffentlicher Dienste und Betreiber nach Anhang III Nr. 5 lit. b und c (Kreditwürdigkeit, Lebens- und Krankenversicherung) brauchen zusätzlich eine FRIA nach Art. 27 KI-VO. Nach Abs. 4 können sie auf eine durchgeführte DSFA verweisen.

06

Zeitplan beachten

Die Betreiberpflichten für Hochrisiko-KI nach Anhang III gelten nach dem Digital Omnibus ab 2. Dezember 2027. Die DSFA-Pflicht nach Art. 35 DSGVO gilt dagegen schon jetzt – auch für KI-Systeme, die nicht hochriskant im Sinne der KI-Verordnung sind.

Ob ein KI-System nach der KI-Verordnung hochriskant ist, entscheidet sich nach Art. 6 und Anhang III. Das ist eine andere Frage als das hohe Risiko nach Art. 35 DSGVO – beide Prüfungen sollten Sie getrennt dokumentieren.

Abgrenzung

DSFA (DSGVO) und Grundrechte-Folgen­abschätzung (KI-VO) im Vergleich

Beide Instrumente bewerten Risiken für Menschen, haben aber unterschiedliche Auslöser, Pflichtige und Inhalte. Sie ersetzen einander nicht, lassen sich aber gut verzahnen.

Wer ist verpflichtet?
DSFA – Art. 35 DSGVOJeder Verantwortliche
FRIA – Art. 27 KI-VOBestimmte Betreiber von Hochrisiko-KI (öffentliche Stellen, private Erbringer öffentlicher Dienste, Anhang III Nr. 5 lit. b und c)
Auslöser
DSFA – Art. 35 DSGVOVoraussichtlich hohes Risiko einer Verarbeitung personenbezogener Daten
FRIA – Art. 27 KI-VOEinsatz eines Hochrisiko-KI-Systems nach Art. 6 Abs. 2 (Ausnahme Anhang III Nr. 2)
Schutzgut
DSFA – Art. 35 DSGVORechte und Freiheiten natürlicher Personen bei der Datenverarbeitung
FRIA – Art. 27 KI-VOGrundrechte der betroffenen Personen insgesamt
Zeitpunkt
DSFA – Art. 35 DSGVOVor Beginn der Verarbeitung
FRIA – Art. 27 KI-VOVor der Inbetriebnahme des Systems
Ab wann
DSFA – Art. 35 DSGVOSeit 25. Mai 2018
FRIA – Art. 27 KI-VOFür Anhang-III-Systeme ab 2. Dezember 2027 (Digital Omnibus)
Behörde
DSFA – Art. 35 DSGVOVorherige Konsultation nur bei hohem Restrisiko (Art. 36)
FRIA – Art. 27 KI-VOMitteilung der Ergebnisse an die Marktüberwachungsbehörde (Art. 27 Abs. 3)
Verzahnung
DSFA – Art. 35 DSGVOKann Grundlage für die FRIA sein
FRIA – Art. 27 KI-VODarf auf eine durchgeführte DSFA verweisen (Art. 27 Abs. 4)

Tipp aus der Praxis: Eine gemeinsame Systembeschreibung für DSFA, FRIA und KI-Inventar spart Doppelarbeit. Die Bewertungen bleiben getrennt.

Vorgehen

DSFA durchführen in 8 Schritten

Angelehnt an die vier Phasen aus dem DSK-Kurzpapier Nr. 5 – Vorbereitung, Durchführung, Umsetzung, Überprüfung. Die Aufteilung in acht Schritte ist unsere Empfehlung.

  1. 1

    Schwellwertanalyse dokumentieren

    Prüfen Sie Art. 35 Abs. 3, die Muss-Liste und die WP-248-Kriterien – und halten Sie die Entscheidung mit Gründen fest, auch wenn keine DSFA nötig ist.

  2. 2

    Team und Plan festlegen

    Eine DSFA braucht Datenschutz, Fachbereich und IT. Der Datenschutzbeauftragte berät während des ganzen Prozesses; Anbieter und Auftragsverarbeiter können einbezogen werden.

  3. 3

    Verarbeitung beschreiben

    Zwecke, Daten, Systeme, Datenflüsse und Beteiligte – systematisch und abschließend. Der VVT-Eintrag ist ein guter Ausgangspunkt.

  4. 4

    Notwendigkeit prüfen

    Rechtsgrundlage, Zweckbindung, Datenminimierung, Speicherdauer: Ist jeder Schritt erforderlich und verhältnismäßig?

  5. 5

    Risiken bewerten

    Einzelne Risiken mit Eintrittswahrscheinlichkeit und Schwere aus Sicht der Betroffenen – nicht aus Sicht des Unternehmens.

  6. 6

    Maßnahmen festlegen

    Technische und organisatorische Maßnahmen je Risiko, mit Verantwortlichen und Terminen. Danach das Restrisiko bewerten.

  7. 7

    Freigeben oder konsultieren

    Bei vertretbarem Restrisiko Freigabe durch die Leitung. Bleibt ein hohes Risiko, vor dem Start die Aufsichtsbehörde konsultieren (Art. 36).

  8. 8

    Überprüfen

    Bei Änderungen des Risikos erneut prüfen (Art. 35 Abs. 11). Zusätzlich empfehlen wir ein festes Prüfintervall, etwa jährlich.

Art. 36 DSGVO

Vorherige Konsultation: wenn ein hohes Risiko bleibt

Ergibt die DSFA, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung trifft, konsultiert er vor der Verarbeitung die Aufsichtsbehörde (Art. 36 Abs. 1). In der Praxis heißt das: Bleibt nach Ihren Maßnahmen ein hohes Restrisiko, starten Sie nicht einfach, sondern legen die DSFA der Behörde vor.

Hält die Behörde die Verarbeitung für nicht vereinbar mit der DSGVO – etwa weil das Risiko nicht ausreichend ermittelt oder eingedämmt wurde –, gibt sie innerhalb von bis zu acht Wochen schriftliche Empfehlungen und kann ihre Befugnisse nach Art. 58 ausüben. Die Frist kann um sechs Wochen verlängert werden; darüber informiert die Behörde innerhalb eines Monats. Fehlen Informationen, kann die Frist ausgesetzt werden (Art. 36 Abs. 2).

Eine DSFA muss also nicht grundsätzlich an die Behörde geschickt werden. Sie bleibt ein internes Dokument, das Sie auf Anfrage vorlegen. Die vorherige Konsultation ist der Ausnahmefall – sie zeigt aber, warum eine ehrliche Bewertung des Restrisikos so wichtig ist.

  • Nur bei hohem Restrisiko trotz Maßnahmen
  • Vor Beginn der Verarbeitung
  • Behörde antwortet in bis zu 8 Wochen, verlängerbar um 6
  • Mit DSFA, Zuständigkeiten, Maßnahmen und Kontaktdaten des DSB (Art. 36 Abs. 3)

Häufige Fehler

Sechs Fehler bei der Datenschutz-Folgen­abschätzung

Keine Begründung bei „nicht erforderlich“

Die DSK verlangt, auch die Entscheidung gegen eine DSFA mit Gründen zu dokumentieren. Ohne diese Notiz fehlt bei einer Prüfung der Nachweis.

DSFA nach dem Go-live

Die DSFA ist vor Beginn der Verarbeitung durchzuführen. Wer sie nachreicht, hat die Chance verpasst, Risiken im Design zu vermeiden.

Risiken aus Unternehmenssicht

Bewertet wird das Risiko für die Betroffenen, nicht das Bußgeld- oder Reputationsrisiko des Unternehmens.

Maßnahmen ohne Wirkungsbewertung

Eine Maßnahmenliste allein reicht nicht. Bewerten Sie, wie stark jede Maßnahme das Risiko senkt, und dokumentieren Sie das Restrisiko.

Einmal erstellt, nie überprüft

Neue Modelle, neue Funktionen oder neue Anbieter verändern das Risiko. Art. 35 Abs. 11 verlangt dann eine Überprüfung.

DSB nur als Unterschrift

Der Rat des Datenschutzbeauftragten ist einzuholen (Art. 35 Abs. 2). Er gehört in den Prozess, nicht nur ans Ende.

Mit SimpleAct

DSFA in SimpleAct

Das DSGVO-Modul (ab Professional) führt die DSFA als eigenen Datensatz – verknüpft mit dem VVT-Eintrag und dem KI-System, mit Risiken, Maßnahmen, Restrisiko und echter Freigabe.

  • Notwendigkeitsprüfung mit Begründung, auch für „nicht erforderlich“
  • Basisangaben aus dem verknüpften VVT-Eintrag
  • Einzelne Risiken mit Wahrscheinlichkeit und Schwere
  • Maßnahmen mit Wirksamkeit und Verweis auf Kontrollen
  • Restrisiko niedrig, mittel, hoch oder unbekannt
  • Freigabestatus mit Freigebendem und Zeitpunkt
  • Liste der KI-Systeme ohne verknüpfte DSFA
  • Teil des DSGVO-Gesamtexports

DSFA und FRIA getrennt, aber verbunden

Die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO liegt in SimpleAct in der Assurance-Akte des jeweiligen KI-Systems – neben der DSFA, nicht an ihrer Stelle.

DSGVO-Modul ansehen

FAQ

Häufige Fragen zur Datenschutz-Folgen­abschätzung

Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen hat (Art. 35 Abs. 1 DSGVO). Das ist insbesondere bei den drei Fällen aus Abs. 3 und bei den Fallgruppen der Muss-Liste der Aufsichtsbehörden der Fall. Ansonsten helfen die neun Kriterien aus WP 248: Bei zwei erfüllten Kriterien ist in den meisten Fällen eine DSFA nötig.
Die Liste der Datenschutzkonferenz für den nicht-öffentlichen Bereich (Version 1.1 vom 17.10.2018) enthält 17 Fallgruppen, darunter biometrische Zutrittskontrolle, Beschäftigtenüberwachung, Scoring, Bewertungsportale, Kundenkarten mit Profilbildung und den Einsatz künstlicher Intelligenz zur Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte. Die Liste ist nicht abschließend.
Häufig ja. Die DSK-Muss-Liste nennt unter Nr. 11 den Einsatz von KI zur Steuerung der Interaktion mit Betroffenen ausdrücklich, mit Kundensupport als Beispiel. Verarbeitet der Chatbot personenbezogene Daten von Kunden, sollten Sie von einer DSFA-Pflicht ausgehen und das Ergebnis Ihrer Prüfung dokumentieren.
Der Verantwortliche – also das Unternehmen, nicht der Datenschutzbeauftragte. Der DSB berät und ist nach Art. 35 Abs. 2 um Rat zu fragen. In der Praxis arbeitet ein Team aus Fachbereich, IT und Datenschutz zusammen; Auftragsverarbeiter unterstützen nach Art. 28 Abs. 3 lit. f.
Nein, grundsätzlich nicht. Nur wenn trotz Maßnahmen ein hohes Risiko bleibt, ist vor Beginn der Verarbeitung die Aufsichtsbehörde zu konsultieren (Art. 36). Ansonsten ist die DSFA ein internes Dokument, das auf Anfrage vorgelegt wird.
Nach Art. 35 Abs. 7 eine systematische Beschreibung der Verarbeitung und Zwecke, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Betroffenen und die geplanten Abhilfemaßnahmen einschließlich Garantien und Sicherheitsvorkehrungen.
Die DSGVO nennt kein festes Intervall. Art. 35 Abs. 11 verlangt eine Überprüfung zumindest dann, wenn sich das Risiko geändert hat. Die DSK versteht die DSFA als fortlaufenden Prozess. Wir empfehlen zusätzlich eine regelmäßige Prüfung, etwa jährlich, und immer bei neuen Modellen, Funktionen oder Anbietern.
Die DSFA nach Art. 35 DSGVO betrifft das Risiko einer Verarbeitung personenbezogener Daten und gilt für jeden Verantwortlichen. Die Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 KI-VO betrifft nur bestimmte Betreiber von Hochrisiko-KI und betrachtet Grundrechte insgesamt. Die FRIA darf auf eine durchgeführte DSFA verweisen.
Die DSK weist darauf hin, dass auch bereits bestehende Verarbeitungen unter die DSFA-Pflicht fallen können. Spätestens wenn sich eine Verarbeitung wesentlich ändert – etwa durch den Einsatz von KI –, sollten Sie die Schwellwertanalyse neu durchführen.
Ein Verstoß gegen Art. 35 oder 36 kann nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Ja. Für mehrere ähnliche Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden (Art. 35 Abs. 1 Satz 2) – etwa wenn ähnliche Technologien für vergleichbare Daten und gleiche Zwecke eingesetzt werden.

Noch Fragen? Wir helfen gerne weiter. E-Mail schreiben · 7 Tage testen (Kreditkarte nötig)

Quellen und Stand

Stand: · Redaktion SimpleAct

Dieser Leitfaden dient der allgemeinen Information und ist keine Rechtsberatung. Die Muss-Liste ist sinngemäß zusammengefasst; maßgeblich ist das Original der DSK.

Änderungen

  • 2026-10-04 – Seite neu aufgebaut: vollständige DSK-Muss-Liste, WP-248-Kriterien, Mindestinhalte, DSFA/FRIA-Vergleich, Art. 36, Schwellwert-Check mit Dokumentationstext.
  • 2026-06-13 – Erste Fassung.

Weiterführende Themen

DSFA, KI-Inventar und FRIA an einem Ort

SimpleAct verknüpft DSFA, Verarbeitungsverzeichnis und KI-Systeme. Testen Sie 7 Tage (Kreditkarte nötig) oder lassen Sie sich das DSGVO-Modul zeigen.

Demo buchen7 Tage testen (Kreditkarte nötig)