DSFA für ein KI-Projekt: Praxisleitfaden 2026 (DSGVO + KI-VO)

Q: Wann ist eine DSFA für ein KI-Projekt verpflichtend?

Für jede KI-Verarbeitung, die voraussichtlich ein hohes Risiko mit sich bringt: Profiling im großen Umfang mit automatisierten Entscheidungen (Personal, Kreditscoring, Sozialleistungsvergabe), systematische Überwachung (Gesichtserkennung, Verhaltensbiometrie, KI-gestützte Videoüberwachung), Verarbeitung besonderer Kategorien personenbezogener Daten im großen Umfang (Gesundheit, identifizierende Biometrie), automatisierte Entscheidungen mit Rechtswirkung (Art. 22 DSGVO), systematische Bewertung von Beschäftigten (People Analytics, Productivity Tracking), Datenabgleich aus mehreren Quellen, KI bei Minderjährigen oder vulnerablen Personengruppen. Die DSK (Datenschutzkonferenz) und der BfDI veröffentlichen die Liste der zwingend DSFA-pflichtigen Verarbeitungen, ergänzt durch die Listen der jeweiligen Landesdatenschutzbeauftragten (BayLDA, LfDI BW, LDI NRW etc.).

Q: Wie lange dauert die Erstellung einer KI-DSFA?

Für ein einfaches KI-Projekt mit mittlerem Risiko (Dokumentenextraktion, Klassifizierung nicht sensibler Mails): 2 bis 4 Personentage. Für ein Projekt mit hohem Risiko (HR-Scoring, Biometrie, KI auf Gesundheitsdaten): 5 bis 15 Personentage über 3 bis 8 Wochen, einschließlich Stakeholder-Konsultation, DSB-Validierung und Nachsteuerungen. Eine schlampige DSFA ist weniger wert als gar keine — sie kann die Lage im Prüfungsfall sogar verschlechtern ("Sie wussten es, haben aber nichts getan").

Q: DSFA und KI-VO: was kommt hinzu?

Die DSFA ist eine DSGVO-Pflicht (Art. 35). Für KI-Systeme, die nach der KI-VO als Hochrisiko-KI eingestuft werden (Personal, Scoring, Biometrie, kritische Infrastruktur, Bildungszugang), kommen zusätzliche Pflichten hinzu: Risikomanagementsystem (Art. 9 KI-VO), Datenqualität (Art. 10), technische Dokumentation (Art. 11), Transparenz gegenüber Nutzern (Art. 13), menschliche Aufsicht (Art. 14), Robustheit und Genauigkeit (Art. 15). In der Praxis erstellt man eine erweiterte DSFA, die beide Rahmenwerke zugleich abdeckt, um Doppelarbeit zu vermeiden.

Q: Muss die DSFA von der Aufsichtsbehörde freigegeben werden?

Nein, außer in Sonderfällen. Die DSFA wird intern vom DSB und Verantwortlichen erstellt und validiert. Sie ist nur dann der zuständigen Aufsichtsbehörde (BfDI bei Bundesbehörden und Telekommunikation, ansonsten LfD/LDI des Landes) vorzulegen, wenn nach Umsetzung der Risikominderungsmaßnahmen ein hohes Restrisiko verbleibt (Art. 36 DSGVO — vorherige Konsultation). In der Praxis rechtfertigen weniger als 5 % der DSFAs eine vorherige Konsultation. Der Rest wird intern dokumentiert und im Prüfungsfall vorgelegt.

Q: Wie verzahnen sich DSFA und Verarbeitungsverzeichnis?

Das Verarbeitungsverzeichnis listet alle Verarbeitungen der Organisation auf (Art. 30 DSGVO). Die DSFA vertieft die Analyse für Verarbeitungen mit hohem Risiko. Best Practice: Jede durchgeführte DSFA verweist auf die entsprechende Verarbeitung im Verzeichnis (Eintragsnummer, Version), und umgekehrt zeigt der Verzeichniseintrag, ob eine DSFA existiert (mit Datum, Version, Verantwortlichem). Die beiden Dokumente verweisen aufeinander. Ohne diese Konsistenz gilt das Verzeichnis im Prüfungsfall als unvollständig.

Q: Welche klassischen Fallstricke gibt es bei einer KI-DSFA?

Drei wiederkehrende Fallstricke. Erstens: Unterschätzung KI-spezifischer Risiken — Bias, Halluzinationen, Opazität — die in einer generischen DSFA nicht auftauchen. Zweitens: Vergessen der Drittlandtransfers, wenn das Projekt einen US-SaaS-LLM nutzt: DPF, US Cloud Act und Transfer Impact Assessment müssen dokumentiert sein. Drittens: Fehlen eines Überprüfungsplans — eine DSFA ist ein lebendes Dokument, das regelmäßig und bei jeder substanziellen Änderung überprüft werden muss. Eine zum Zeitpunkt der Inbetriebnahme eingefrorene DSFA verliert binnen sechs Monaten ihren Wert.

Schnellantwort: Was ist eine DSFA für ein KI-Projekt?

Eine DSFA (Datenschutz-Folgenabschätzung, englisch DPIA) ist eine schriftliche und nachweisbare Analyse, die vor Beginn bestimmter risikoreicher Verarbeitungen verpflichtend ist und beschreibt, was die Organisation mit personenbezogenen Daten tun wird und welche Schutzmaßnahmen sie eingerichtet hat, um Risiken für die betroffenen Personen zu begrenzen.

Für ein KI-Projekt 2026 bewertet sie kumulativ:

Modellbezogene Risiken: Trainings-Bias, Halluzinationen (erfundene Antworten), Algorithmus-Opazität, Sicherheitslücken.
Datenbezogene Risiken: Menge, Sensibilität (Art. 9 DSGVO — Gesundheit, politische Meinungen, Biometrie), Herkunft, Rechtmäßigkeit der Erhebung.
Einsatzrisiken: menschliche Aufsicht, Transparenz gegenüber Personen, Rechtsbehelfe.
Rechtliche Risiken: Drittlandtransfers (DPF, US Cloud Act), Speicherfristen, Verzahnung mit der KI-VO.

Wann ist sie verpflichtend? Für jede KI-Verarbeitung mit hohem Risiko: Profiling mit automatisierter Entscheidung (Personal, Kreditscoring), systematische Überwachung, besondere Kategorien personenbezogener Daten im großen Umfang, Entscheidungen mit Rechtswirkung, Beschäftigtenbewertung. Siehe die DSK-Liste der zwingend DSFA-pflichtigen Verarbeitungen sowie die Listen der jeweiligen Landesaufsichtsbehörden.

Wie lange? 2 bis 4 Personentage für ein einfaches KI-Projekt. 5 bis 15 Personentage über 3 bis 8 Wochen für ein Projekt mit hohem Risiko.

Verzahnung mit der KI-VO: Die DSFA deckt die DSGVO ab (Art. 35). Für KI-Systeme, die nach der KI-Verordnung als Hochrisiko-KI eingestuft werden, kommen zusätzliche Pflichten hinzu. In der Praxis erstellt man oft eine einzige erweiterte DSFA, die beide Rahmenwerke abdeckt.

Eine DSFA ist keine Verwaltungsformalität. Sie ist das Werkzeug, das ein KI-Projekt vom Modus „Wir starten und schauen mal” in den Modus „Wir haben die Risiken und die zugehörigen Maßnahmen dokumentiert” überführt. Bei einer Prüfung durch den BfDI oder eine Landesaufsichtsbehörde ist sie das erste erwartete Dokument.

Warum die KI-DSFA 2026 zentral geworden ist

Drei Verschiebungen haben die DSFA für jedes ernstzunehmende KI-Projekt unverzichtbar gemacht.

Verschiebung 1 — Die Aufsichtsbehörden haben KI-Hochrisikoanwendungen geklärt. Zwischen 2024 und 2025 haben die DSK, der BfDI und mehrere Landesaufsichtsbehörden (insbesondere BayLDA, LfDI BW und HmbBfDI) sektorspezifische Empfehlungen veröffentlicht (Personal, Gesundheit, Bildung, Finanzen), die festlegen, in welchen Fällen eine DSFA systematisch erforderlich ist. Vor 2024 bestand bei vielen Konstellationen Unsicherheit. 2026 ist die Liste klar und verbindlich.

Verschiebung 2 — Die KI-Verordnung tritt schrittweise in Kraft. Die Verordnung (EU) 2024/1689 (KI-VO) führt für als Hochrisiko-KI eingestufte Systeme spezifische Pflichten ein. Viele dieser Pflichten überschneiden sich mit der DSGVO-DSFA: Risikomanagement, Dokumentation, Transparenz, menschliche Aufsicht. Eine gut erstellte DSFA deckt nun einen erheblichen Teil der KI-VO-Pflichten ab. Das deutsche Durchführungsgesetz zur KI-VO ist in Vorbereitung und wird voraussichtlich BNetzA und BSI als zentrale Marktüberwachungsbehörden benennen.

Verschiebung 3 — Sanktionen sind aktiv. Die italienische Garante hat OpenAI im Dezember 2024 mit 15 Millionen Euro Bußgeld belegt — wegen fehlender dokumentierter Folgenabschätzung. Mehrere deutsche Landesaufsichtsbehörden (BayLDA, HmbBfDI) haben 2024-2025 Bußgelder im Bereich von 50.000 bis 1,5 Millionen Euro für KI-bezogene DSGVO-Verstöße verhängt. Die DSK hat 2026 KI als Prüfschwerpunkt benannt. Eine fehlende oder mangelhafte DSFA setzt heute einem konkreten — nicht theoretischen — Risiko aus.

Konkret: Auf eine DSFA bei einem risikoreichen KI-Projekt 2026 zu verzichten heißt, sich einem direkten Verstoß gegen Art. 35 DSGVO, einer KI-VO-Nichtkonformität und einem konkreten Bußgeldrisiko auszusetzen. Die Rechnung hat sich verändert.

Die 8 Fälle, in denen eine KI-DSFA verpflichtend ist

Nach den Listen der DSK und den EDSA-Empfehlungen. Fällt Ihr Projekt in einen dieser Fälle, ist die DSFA nicht optional — sie wird erwartet.

#	Anwendungsfall	Konkrete Beispiele
1	Profiling im großen Umfang mit automatisierter Entscheidung mit erheblicher Wirkung	Kreditscoring (SCHUFA-ähnliche Modelle), Sozialleistungsvergabe, Versicherungsscoring, Patientenscoring
2	Systematische Überwachung in öffentlich zugänglichen Bereichen	Gesichtserkennung (Bahnhofs-Pilotprojekte), Verhaltensbiometrie, KI-gestützte Videoüberwachung
3	Verarbeitung besonderer Kategorien (Art. 9 DSGVO) im großen Umfang	Gesundheit, politische Meinungen, ethnische Herkunft, identifizierende Biometrie, sexuelle Orientierung, Religion
4	Automatisierte Entscheidungen mit Rechtswirkung (Art. 22)	Ablehnung einer Bewerbung, Kreditgewährung/-ablehnung, Zugang zu einer öffentlichen Leistung
5	Systematische Bewertung von Beschäftigten durch ein KI-System	People Analytics, Productivity Tracking, HR-Scoring (Mitbestimmungspflicht nach BetrVG § 87)
6	Datenabgleich aus mehreren Quellen zur Profilbildung	Angereichertes Verhaltensmarketing, angereichertes Patientenscoring
7	Biometrisches Matching	Gesichtserkennung, Stimmbiometrie
8	KI bei Minderjährigen oder vulnerablen Personengruppen	Medizinisch, sozial, edukativ

Für KI-Anwendungen außerhalb dieser Liste bleibt die DSFA empfohlen, aber nicht förmlich verpflichtend. Praxisregel: Im Zweifel durchführen. Eine schlanke DSFA ist besser als gar keine, und ihre Dokumentation auch dann, wenn sie nicht verpflichtend ist, schützt bei späterer Projektentwicklung.

Die 5-Schritte-Methodik der Aufsichtsbehörden

Die DSK und der BfDI haben die DSFA-Methodik in 5 Schritten strukturiert, denen jedes KI-Projekt folgen kann. Jeder Schritt erzeugt ein präzises Ergebnis, das in das Enddokument einfließt. Eine deutschsprachige Vorlage stellt der BfDI als Standard-DSFA-Template zur Verfügung; mehrere Länder ergänzen sie um eigene Templates (insbesondere LfDI BW).

Schritt 1 — Detaillierte Beschreibung der Verarbeitung

Es geht darum, den faktischen Rahmen zu setzen, ohne juristische Auslegung in dieser Phase.

Präziser Zweck (fachliche, nicht juristische Formulierung — z. B.: „Beschleunigung der Vorerfassung von Eingangsrechnungen”)
Verarbeitete Daten (Typologie, Sensibilität, Quellen)
Lebenszyklus der Daten (Erhebung → Verarbeitung → Speicherung → Löschung)
Technische Architektur (verwendetes LLM, Hosting, Auftragsverarbeiter)
Betroffene Personen (Kategorien, Volumen, eventuelle Vulnerabilitäten)

Schritt 2 — Bewertung der Erforderlichkeit und Verhältnismäßigkeit

Dies ist der Schritt, auf den der DSB und die Aufsicht zuerst schauen. Er bedingt die Rechtmäßigkeit alles Folgenden.

Ist die Verarbeitung für den Zweck erforderlich? Gibt es eine weniger eingriffsintensive Alternative?
Sind die verarbeiteten Daten minimal (Datenminimierungsprinzip)?
Ist die Speicherfrist verhältnismäßig?
Werden die Rechte der Betroffenen gewahrt (Information, Auskunft, Widerspruch, Berichtigung, Löschung, Datenübertragbarkeit)?

Schritt 3 — Identifizierung der Risiken

Speziell für ein KI-Projekt erwartet die Aufsicht, dass Sie klassische DSGVO-Risiken und KI-spezifische Risiken unterscheiden.

Risiko unbefugten Zugriffs (Cybersicherheit, Datenpannen mit Meldepflicht nach Art. 33)
Risiko unbefugter Veränderung (Integrität, Modellmanipulation, Prompt Injection)
Risiko des Verlusts (Backup, Reversibilität des Anbieters)
Algorithmisches Risiko (Bias, Halluzinationen, mittelbare Diskriminierung im Sinne des AGG) — KI-spezifisch
Risiko unzureichender Transparenz (der Nutzer versteht die Entscheidung nicht) — verstärkt durch die KI-VO

Schritt 4 — Maßnahmen zur Risikobehandlung

Zu jedem identifizierten Risiko eine oder mehrere konkrete Maßnahmen. Kein „wir passen auf” — nachprüfbare Maßnahmen.

Technisch: Verschlüsselung, Pseudonymisierung, Zugriffskontrolle, Protokollierung
Organisatorisch: Nutzungsrichtlinie, Schulung, menschliche Aufsicht, Vorfallverfahren
Vertraglich: solider AVV (Auftragsverarbeitungsvertrag nach Art. 28), Reversibilitätsklauseln, Souveränitätsverpflichtung
KI-spezifisch: Bias-Tests, Modelldokumentation, Aufsicht über sensible Entscheidungen, Nutzer-Feedback-Mechanismus

Schritt 5 — Validierung und Überprüfung

Die DSFA ist ein lebendes Dokument, kein Inbetriebnahme-Dokument.

Freigabe durch DSB + Verantwortlichen
Konsultation der Betroffenen (Art. 35.9 DSGVO) sofern relevant
Vorherige Konsultation der Aufsichtsbehörde bei hohem Restrisiko (Art. 36)
Überprüfungsplan: mindestens alle 2 Jahre oder bei jeder substanziellen Änderung (Anbieterwechsel, neue Datenquelle, Erweiterung des Anwendungsbereichs)

Vereinfachtes DSFA-Zyklusdiagramm

[Rahmensetzung KI-Projekt]
         │
         ▼
[Schritt 1 — Beschreibung] ──► Verarbeitungsverzeichnis (Art. 30)
         │
         ▼
[Schritt 2 — Erforderlichkeit / Verhältnismäßigkeit]
         │
         ▼
[Schritt 3 — Risiken] ──► DSGVO-Risiken + KI-spezifische Risiken
         │
         ▼
[Schritt 4 — Maßnahmen] ──► technisch / organisatorisch / vertraglich
         │
         ▼
[Schritt 5 — Validierung] ──► DSB + Verantwortlicher
         │
         ▼
[Hohes Restrisiko?] ──Ja──► vorherige Konsultation BfDI/Land (Art. 36)
         │ Nein
         ▼
[Inbetriebnahme]
         │
         ▼
[Laufende Überwachung] ◄──── substanzielle Änderung?
                          ──► DSFA-Überprüfung

Strukturvorlage einer KI-DSFA

Um Zeit zu sparen, hier das Inhaltsverzeichnis einer gut strukturierten KI-DSFA, wie es 2026 in reifen deutschen Organisationen anzutreffen ist.

1. Identifikation der Verarbeitung
   1.1. Zweck und Beschreibung
   1.2. Verantwortlicher und DSB
   1.3. Auftragsverarbeiter (LLM-Anbieter, Hoster, Integrator)
   1.4. Anwendungsfall und Nutzer

2. Verarbeitete Daten
   2.1. Typologie und Sensibilität
   2.2. Quellen und Rechtsgrundlagen
   2.3. Betroffene Personen und Volumen
   2.4. Speicherfristen

3. KI-Architektur
   3.1. Verwendetes Modell (Herkunft, Lizenz, Leistung)
   3.2. Trainingsdaten (bei Fine-Tuning)
   3.3. Hosting und Standort
   3.4. Geplante menschliche Aufsicht
   3.5. Erwartete Leistung und Genauigkeit

4. Bewertung der Erforderlichkeit und Verhältnismäßigkeit

5. Risikoanalyse
   5.1. Klassische DSGVO-Risiken (Art. 32)
   5.2. KI-spezifische Risiken (Bias, Halluzinationen, Opazität)
   5.3. Transferrisiken (DPF, US Cloud Act)
   5.4. Risiken für Betroffenenrechte

6. Risikobehandlungsmaßnahmen
   6.1. Technisch
   6.2. Organisatorisch
   6.3. Vertraglich (AVV)
   6.4. KI-spezifisch

7. Restrisiken und Akzeptanz

8. Überwachungs- und Überprüfungsplan

9. Anhänge (AVV, Architekturschema, Notfallplan)

Siehe unseren Leitfaden DSGVO-konforme KI für den Gesamtrahmen und unseren Leitfaden souveräne KI für den Souveränitätsaspekt.

Die Verzahnung DSFA + KI-VO 2026

Die KI-VO führt für Hochrisiko-KI-Systeme eine Reihe von Pflichten ein, die sich teilweise mit der DSGVO-DSFA überschneiden. Statt zwei redundante Dokumente zu erstellen, ist die empfohlene Praxis die erweiterte DSFA.

Verzahnungstabelle

Pflicht	Quelle	Durch erweiterte DSFA abgedeckt
Folgenabschätzung	DSGVO Art. 35	✓
Risikomanagementsystem	KI-VO Art. 9	✓
Datenqualität	KI-VO Art. 10	✓
Technische Dokumentation	KI-VO Art. 11	✓ (Anhang)
Transparenz für Nutzer	KI-VO Art. 13	✓
Menschliche Aufsicht	KI-VO Art. 14	✓
Genauigkeit, Robustheit, Cybersicherheit	KI-VO Art. 15	✓
Information der Betroffenen	DSGVO Art. 13-14	Querverwiesen
Sicherheit der Verarbeitung	DSGVO Art. 32	✓
Verzeichnis	DSGVO Art. 30	Querverwiesen

Dieser Ansatz vermeidet die Erstellung zweier redundanter Dokumente und erleichtert die Konsistenz zwischen den Rahmenwerken. Die Europäische Kommission und der EDSA bereiten für 2026 einen Verzahnungsleitfaden vor — er wird die Praxis bestätigen, im Grundsatz aber nicht ändern.

Praxisfälle: drei KI-Projekte, drei unterschiedliche DSFAs

Fall 1 — KI-Vorerfassung von Rechnungen (mittleres Risiko)

Projekt: automatische Extraktion von Lieferantenrechnungsdaten (Betrag, Lieferant, Datum, Positionen) vor manueller buchhalterischer Validierung. Betroffene Daten: Lieferantennamen, Beträge, gelegentlich Mitarbeitendennamen auf Reisekostenbelegen. Volumen: 5.000 Rechnungen/Monat.

DSFA-Risikoniveau: mittel (keine automatisierte Entscheidung mit Rechtswirkung, keine besonderen Kategorien im großen Umfang, systematische menschliche Aufsicht).

Zu dokumentierende Schlüsselmaßnahmen: Konfidenzwerte pro Feld mit menschlicher Übergabeschwelle, Nachverfolgbarkeit der Änderungen, Wahl eines souveränen LLM-Anbieters (Mistral) für Rechnungen mit personenbezogenen Daten, begrenzte Aufbewahrung der Prompts.

DSFA-Aufwand: 3 bis 5 Personentage. Siehe unseren Leitfaden KI-Rechnungsautomatisierung.

Fall 2 — Intelligente Mail-Sortierung im Support (mittleres bis hohes Risiko)

Projekt: Klassifizierung und automatisches Routing eingehender Mails an die richtigen Teams. Betroffene Daten: Mail-Adressen, Nachrichteninhalt (potenziell personenbezogene Daten, je nach Branche teilweise sensibel). Volumen: 50.000 Mails/Monat.

DSFA-Risikoniveau: mittel bis hoch je nach Branche (Gesundheit, Recht = hoch; allgemeiner E-Commerce = mittel).

Zu dokumentierende Schlüsselmaßnahmen: vorgelagerte Pseudonymisierung der Empfänger bei statistischer Analyse, Isolation sensibler Inhalte vor dem Versand an einen SaaS-LLM, menschliche Aufsicht bei Klassifikationen mit niedriger Konfidenz, Information der Betroffenen in der Datenschutzerklärung.

DSFA-Aufwand: 5 bis 8 Personentage. Siehe unseren Leitfaden KI-gestützte Mail-Verarbeitung.

Fall 3 — HR-Scoring-System (hohes Risiko)

Projekt: KI-gestützte Vorauswahl von Lebensläufen. Betroffene Daten: vollständige Lebensläufe, Karrieredaten, gelegentlich abgeleitete besondere Kategorien (Alter, wahrscheinliche Herkunft). Volumen: 10.000 Bewerbungen/Jahr.

DSFA-Risikoniveau: hoch. Profiling + Entscheidung mit erheblicher Wirkung auf die Person + potenziell besondere Kategorien + möglicherweise Art. 22 DSGVO + AGG-Risiko (mittelbare Diskriminierung) + Mitbestimmungspflicht des Betriebsrats nach BetrVG § 87 Abs. 1 Nr. 6.

Zu dokumentierende Schlüsselmaßnahmen: Verbot jeder finalen automatisierten Entscheidung (Human-in-the-Loop verpflichtend), dokumentierte und wiederholte Bias-Tests, vorherige Information der Bewerbenden, Widerspruchsrecht, vorherige Konsultation der Aufsichtsbehörde bei hohem Restrisiko wahrscheinlich. Beteiligung des Betriebsrats und Abschluss einer Betriebsvereinbarung.

DSFA-Aufwand: 12 bis 20 Personentage über 6 bis 10 Wochen.

Sonderfall: DSFA bei Mistral / ChatGPT-Nutzung im Unternehmen

Die verbreitete Nutzung von SaaS-LLMs (Mistral Le Chat Enterprise, ChatGPT Enterprise) im Unternehmen wirft spezifische Fragen auf.

DSFA erforderlich für:

KI-Nutzung auf personenbezogenen Daten im großen Umfang (>1.000 Nutzer oder >10.000 Betroffene/Monat)
Nutzung mit besonderen Kategorien (Gesundheit, namentliches HR, Recht)
Nutzung mit automatisierten Entscheidungen mit Rechtswirkung

DSFA nicht verpflichtend für:

Begrenzte Einzelnutzung zur Texterstellung auf nicht sensiblen Geschäftsdaten
Dokumentenzusammenfassung auf nicht personenbezogenen Dokumenten

Spezifisch zu dokumentierende Aspekte:

Souveränitätswahl (Mistral vs. ChatGPT) — siehe unseren Leitfaden souveräne KI und unseren Vergleich Mistral vs. ChatGPT
Verzahnung mit der KI-Nutzungsrichtlinie im Unternehmen
Drittlandtransfers (DPF) bei US-Anbietern
Halluzinationen und Verifizierungsmaßnahmen
Aufbewahrung von Prompts und Completions durch den Anbieter

Was wir nicht versprechen

Drei wiederkehrende Antipatterns, die wir bei KI-DSFAs beobachten und die wir bei DPLIANCE bei der Rahmensetzung eines maßgeschneiderten KI-Projekts vermeiden.

„Wir machen die DSFA später, nach Inbetriebnahme.” Nein. Eine DSFA ist naturgemäß vorgelagert zur Verarbeitung (Art. 35 DSGVO). Eine nachträgliche DSFA ist juristisch schwächer und operativ kontraproduktiv — die Architekturentscheidungen sind bereits getroffen, man dokumentiert nur das bereits Installierte.

„Wir kopieren die DSFA des Nachbarn.” Eine DSFA ist keine zu duplizierende Vorlage. Sie hängt von der konkreten Verarbeitung, den Daten, dem Kontext und der Architekturwahl ab. Eine generische DSFA ist auf zehn Kilometer erkennbar und verliert ihren Wert im Prüfungsfall. Eine kurze, projektspezifische DSFA ist besser als eine lange, kopierte.

„Die DSFA ist Sache des DSB, nicht des technischen Teams.” Falsch. Eine DSFA wird gemeinschaftlich erstellt: Der DSB orchestriert, aber der Verantwortliche (Fachbereich), das technische Team (Architektur, Modellwahl, Sicherheit), die Rechtsabteilung (AVV, Transfers) und der CISO (Sicherheitsmaßnahmen) tragen bei. Eine vom DSB allein verfasste DSFA ohne Input der anderen Stakeholder hat stets technische Lücken.

DPLIANCE ist ein Softwarehersteller. Wenn wir eine maßgeschneiderte KI-Lösung entwerfen, erstellen wir die technische Dokumentation, die Ihr DSB in seine DSFA integrieren kann: detaillierte Architektur, Modellwahl, Hosting, Sicherheitsmaßnahmen, geplante menschliche Aufsicht. Der DSB bleibt Herr der DSFA; wir liefern verlässlichen Input.

FAQ

Was ist eine DSFA für ein KI-Projekt konkret?

Eine DSFA (Datenschutz-Folgenabschätzung) ist die schriftliche und nachweisbare Analyse der Risiken, die eine Verarbeitung personenbezogener Daten für die Rechte und Freiheiten der betroffenen Personen darstellt. Sie ist ein Steuerungsdokument von DSB und Verantwortlichem, intern validiert und im Falle einer Aufsichtsprüfung nachweispflichtig.

Wann ist eine DSFA für ein KI-Projekt verpflichtend?

Für jede KI-Verarbeitung mit hohem Risiko: Profiling im großen Umfang, systematische Überwachung, besondere Kategorien im großen Umfang, automatisierte Entscheidungen mit Rechtswirkung, Beschäftigtenbewertung, Datenabgleich, KI bei Minderjährigen oder vulnerablen Personengruppen.

Wie lange dauert die Erstellung einer KI-DSFA?

2 bis 4 Personentage für ein einfaches Projekt. 5 bis 15 Personentage über 3 bis 8 Wochen für ein Projekt mit hohem Risiko.

DSFA und KI-VO: was kommt hinzu?

Die DSFA ist eine DSGVO-Pflicht. Für Hochrisiko-KI nach KI-VO kommen zusätzliche Pflichten hinzu (Risikomanagement, Datenqualität, technische Dokumentation, Transparenz, menschliche Aufsicht, Robustheit). In der Praxis erstellt man eine erweiterte DSFA.

Muss die DSFA von der Aufsichtsbehörde freigegeben werden?

Nein, außer in Sonderfällen. Sie wird intern validiert. Sie ist nur dann der zuständigen Aufsichtsbehörde vorzulegen, wenn ein hohes Restrisiko verbleibt (Art. 36 DSGVO).

Wie verzahnen sich DSFA und Verarbeitungsverzeichnis?

Das Verzeichnis listet alle Verarbeitungen auf. Die DSFA vertieft die Analyse für hochriskante Verarbeitungen. Beide Dokumente verweisen aufeinander.

Muss bei jedem Modell-Update eine neue DSFA erstellt werden?

Nicht bei jedem Update, aber bei jeder substanziellen Änderung: Anbieterwechsel, neue Datenquelle, neuer Anwendungsfall, neuer Bereitstellungsmodus, Fine-Tuning, Erweiterung des Nutzerkreises.

Welche klassischen Fallstricke gibt es bei einer KI-DSFA?

Drei Fallstricke. Unterschätzung KI-spezifischer Risiken. Vergessen der Drittlandtransfers. Fehlen eines Überprüfungsplans.

Quellen: Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 35 und 36; Verordnung (EU) 2024/1689 (KI-VO), insbesondere Art. 9-15; BfDI und DSK — DSFA-Methodik und Liste der DSFA-pflichtigen Verarbeitungen; Landesaufsichtsbehörden BayLDA, LfDI BW, HmbBfDI, LDI NRW; EDSA, Stellungnahme 28/2024 zu KI-Modellen und DSGVO; Garante per la protezione dei dati personali — OpenAI-Entscheidungen 2024.

Um ein KI-Projekt in Ihrer Organisation zu rahmen — Architekturwahl, souveränes oder lokales Modell, Integration in die IT, technische Dokumentation für die DSFA Ihres DSB — siehe unseren Leitfaden DSGVO-konforme KI, unseren Leitfaden souveräne KI, oder kontaktieren Sie uns über unsere maßgeschneiderten KI-Lösungen.