0800 71 20000
Kontakt
...
Prüfen vor dem Start

Datenschutzfolgenabschätzung bei KI-Vorhaben

Die Folgenabschätzung ist keine Formalie am Projektende, sondern die Prüfung vor der ersten Verarbeitung. Bei KI-Vorhaben wird sie öfter fällig, als Projektpläne dafür Zeit vorsehen.

Passende Kurse ansehen Persönlich beraten lassen
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Kleine Gruppen Präsenz und Live-Online Zertifizierte Trainer
Worum es geht

Die Prüfung steht meist zu spät im Projektplan

Der typische Ablauf sieht so aus: Ein Fachbereich testet ein Werkzeug, findet es gut, die IT richtet Zugänge ein, und kurz vor dem Start fragt jemand nach dem Datenschutz. Dann steht eine Bewertung an, die vor der ersten Verarbeitung hätte fertig sein müssen, und der Starttermin steht bereits in der Abteilungskommunikation.

Teuer wird nicht die Bewertung selbst, sondern das, was sie zutage fördert. Dass der Anbieter Eingaben zur Modellverbesserung nutzt, dass die Verarbeitung außerhalb der vereinbarten Regionen stattfindet oder dass die Ausgabe eine Entscheidung über Menschen vorbereitet, ohne dass jemand sie ablehnen darf. Jede dieser Feststellungen verschiebt den Start um Wochen.

Die zweite Falle ist die stille Annahme, es sei ohnehin keine Folgenabschätzung nötig. Diese Einschätzung ist zulässig, sie muss nur begründet und festgehalten sein. Ohne Notiz steht später Aussage gegen Aussage.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was

Wer entscheidet was

Feststellung, ob eine Folgenabschätzung nötig ist

Wer entscheidet
Der Verantwortliche, praktisch die Leitung des Bereichs mit dem Vorhaben
Wer setzt um
Der Fachbereich mit Zuarbeit der IT, beraten vom Datenschutzbeauftragten
Stolperfalle
Ein Nein wird mündlich getroffen. Ohne schriftliche Begründung hat die Prüfung im Zweifel nie stattgefunden.

Beschreibung der Verarbeitung

Wer entscheidet
Der Fachbereich, weil er den Zweck kennt
Wer setzt um
Fachbereich und IT gemeinsam, mit Blick in den Vertrag statt in die Produktseite
Stolperfalle
Die Beschreibung endet an der Systemgrenze. Was der Anbieter mit den Eingaben macht, steht dann nirgends.

Bewertung der Risiken

Wer entscheidet
Der Verantwortliche auf Grundlage der fachlichen Einschätzung
Wer setzt um
Fachbereich, Informationssicherheit und, wo betroffen, die Personalabteilung
Stolperfalle
Bewertet wird das Risiko für das Unternehmen. Artikel 35 fragt aber nach dem Risiko für die betroffenen Personen.

Einbindung des Datenschutzbeauftragten

Wer entscheidet
Gesetzlich vorgegeben, der Rat ist einzuholen
Wer setzt um
Der Datenschutzbeauftragte, mit dokumentierter Stellungnahme
Stolperfalle
Der Datenschutzbeauftragte schreibt die Bewertung selbst. Damit fehlt genau die Instanz, die sie prüfen soll.

Umgang mit hohem Restrisiko

Wer entscheidet
Die Geschäftsführung, weil sie das Vorhaben verantwortet
Wer setzt um
Der Fachbereich, entweder durch weitere Abhilfe oder durch Verzicht
Stolperfalle
Statt der Konsultation nach Artikel 36 wird das Restrisiko so lange heruntergeschrieben, bis es passt.

Fünf Auslöser, die eine Folgenabschätzung erzwingen

  1. 01 Personen werden systematisch bewertet, und auf dieser Bewertung beruht eine Entscheidung über sie.
  2. 02 Besondere Datenkategorien werden in großem Umfang verarbeitet.
  3. 03 Öffentlich zugängliche Bereiche werden systematisch überwacht.
  4. 04 Das Vorhaben steht in der Liste der deutschen Aufsichtsbehörden.
  5. 05 Zwei der neun Kriterien aus den europäischen Leitlinien treffen zu.
Was du mitnimmst

Was du nach dieser Seite selbst aufsetzen kannst

Die Bewertung folgt einem Aufbau, den die Verordnung vorgibt. Die Arbeit liegt nicht in der Gliederung, sondern darin, die Fragen ehrlich zu beantworten.

Schwelle sauber prüfen

Du gleichst das Vorhaben mit den Regelfällen, der Liste der Aufsichtsbehörden und den neun Kriterien ab und hältst auch ein Nein schriftlich fest.

Datenfluss vollständig beschreiben

Du klärst Herkunft, Empfänger, Speicherort und Aufbewahrung, bevor du über Risiken sprichst. Ohne diese Basis bleibt jede Bewertung eine Vermutung.

Vertrag statt Produktseite lesen

Du entnimmst dem Vertrag, ob Eingaben gespeichert oder zur Modellverbesserung genutzt werden. Marketingtexte beantworten diese Frage nicht.

Perspektive wechseln

Du bewertest Risiken aus Sicht der betroffenen Person statt aus Sicht des Hauses. Das verändert die Ergebnisse spürbar.

Abhilfe mit Zuständigkeit

Du versiehst jede Maßnahme mit einer verantwortlichen Stelle und einem Datum, sonst bleibt sie eine Absichtserklärung.

An die KI-Verordnung anschließen

Du gliederst so, dass sich einzelne Abschnitte später in einer Grundrechte-Folgenabschätzung wiederverwenden lassen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Wann die Pflicht greift

Artikel 35 Absatz 1 stellt auf das voraussichtlich hohe Risiko ab und nennt neue Technologien ausdrücklich. Absatz 3 führt drei Regelfälle auf. Erstens die systematische und umfassende Bewertung persönlicher Aspekte, die auf automatisierter Verarbeitung einschließlich Profiling beruht und Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung vorbereitet. Zweitens die umfangreiche Verarbeitung besonderer Datenkategorien. Drittens die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Dazu kommt die Liste nach Absatz 4. Die deutschen Aufsichtsbehörden haben veröffentlicht, bei welchen Verarbeitungstätigkeiten eine Folgenabschätzung durchzuführen ist. Wer sein Vorhaben dort wiederfindet, muss die Risikofrage nicht mehr diskutieren, sondern nur noch arbeiten.

Die europäischen Leitlinien nennen neun Kriterien, darunter Bewertung und Einstufung von Personen, automatisierte Entscheidungen mit erheblicher Wirkung, systematische Überwachung, sensible Daten, umfangreiche Verarbeitung, den Abgleich von Datensätzen, Daten schutzbedürftiger Personen und den innovativen Einsatz neuer Technologien. Treffen zwei davon zu, ist regelmäßig von einem hohen Risiko auszugehen.

Was in die Unterlage gehört

Artikel 35 Absatz 7 gibt vier Bestandteile vor: eine systematische Beschreibung der Verarbeitungsvorgänge und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die geplanten Abhilfemaßnahmen einschließlich Garantien und Sicherheitsvorkehrungen.

Bei KI-Vorhaben steckt die eigentliche Arbeit in der Beschreibung. Vollständig wird sie erst mit der Herkunft der Trainings- und Eingabedaten und dem Ort der Verarbeitung. Dazu kommen zwei Fragen: ob Eingaben beim Anbieter gespeichert oder zur Modellverbesserung genutzt werden, und welche Entscheidung am Ende auf der Ausgabe aufbaut. Diese Antworten stehen im Vertrag und in den technischen Unterlagen, nicht auf der Produktseite.

Der Rat des Datenschutzbeauftragten ist nach Absatz 2 einzuholen, sofern einer benannt ist. Nach Absatz 9 kann es angezeigt sein, den Standpunkt der betroffenen Personen oder ihrer Vertretung einzuholen, im Beschäftigtenkontext also den des Betriebsrats.

Wo sich die Unterlagen mit der KI-Verordnung überschneiden

Für bestimmte Hochrisikosysteme verlangt Artikel 27 der KI-Verordnung von Betreibern eine Grundrechte-Folgenabschätzung, unter anderem von öffentlichen Stellen und von privaten Einrichtungen, die öffentliche Dienste erbringen. Sie ersetzt die Datenschutzfolgenabschätzung nicht, sie tritt daneben.

Seit der Änderung durch den Digital Omnibus zur KI darf der Betreiber die einschlägigen Abschnitte der Datenschutzfolgenabschätzung in der Grundrechte-Folgenabschätzung in Bezug nehmen oder sie dort übernehmen. Wer die Datenschutzunterlage von vornherein sauber gliedert, spart sich die spätere Doppelarbeit. Zusätzlich soll das Büro für Künstliche Intelligenz ein Fragebogenmuster bereitstellen, mit dem sich die Pflicht vereinfacht erfüllen lässt.

Zeitlich unterscheiden sich beide Pflichten deutlich. Für Hochrisikosysteme nach Anhang III wurde der Geltungsbeginn im Juli 2026 auf den 2. Dezember 2027 verschoben. Die Pflicht aus Artikel 35 DSGVO gilt davon unabhängig heute.

Was die Folgenabschätzung nicht leistet

Sie ist keine Genehmigung. Bleibt trotz Abhilfemaßnahmen ein hohes Risiko bestehen, verlangt Artikel 36 die vorherige Konsultation der Aufsichtsbehörde. Das ist der Ausnahmefall und ein deutliches Zeichen, das Vorhaben noch einmal zu überdenken.

Sie ist auch kein einmaliges Dokument. Ändern sich Modell, Anbieter, Datenbestand oder Zweck, ist die Bewertung fortzuschreiben. Bei KI-Vorhaben passiert das häufiger als bei klassischer Software, weil ein Anbieter das Modell hinter derselben Oberfläche austauschen kann, ohne dass sich für die Nutzenden etwas ändert.

Und sie ersetzt keine Rechtsgrundlage. Ohne tragfähige Grundlage für die Verarbeitung hilft die sorgfältigste Bewertung nicht weiter.

Dazu passende Kurse

Wer die Bewertung zum ersten Mal aufsetzt, kommt mit Anleitung schneller ans Ziel, und dafür gibt es Kurse zu Datenschutz und Verantwortung bei KI-Vorhaben .

Damit die vereinbarten Abhilfemaßnahmen im Alltag ankommen, helfen Angebote rund um Risiken beim täglichen KI-Einsatz den Teams, die tatsächlich mit den Werkzeugen arbeiten.

Wissen prüfen

Wie sicher bist du beim Thema wirklich?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest KI Grundlagen QuizTeste dein Verständnis für Sprachmodelle, Kontextfenster, Halluzinationen und den sicheren Umgang mit KI im Job. Quiz starten
Konkrete Kurse

Wo du genau das übst

Die Inhalte wurden sehr gut vermittelt und Fragen wurden perfekt beantwortet.
LLM Security: Injections erkennen & abwehren
Marco ist ein extrem guter Trainer, der mit seinem Fachwissen zum Thema KI sehr viel Expertise mitbringt.
KI Data Science: Datenanalyse Grundkurs
Seminarleiter war sehr gut vorbereitet, Den Lehrstoff hat er ausführlich und praxisorientiert vorgetragen.
ChatGPT Aufbaukurs: Datenanalyse, Automatisierung und Workflows

Häufige Fragen

Brauchen wir eine Folgenabschätzung für einen internen Textassistenten?
Das hängt davon ab, was hineingegeben wird. Werden nur eigene Entwürfe ohne Personenbezug verarbeitet, liegt meist kein hohes Risiko vor. Sobald Beschäftigte Kunden- oder Personaldaten eingeben oder Ausgaben Entscheidungen über Personen vorbereiten, sieht das anders aus. Halte die Prüfung in jedem Fall schriftlich fest.
Wer führt sie durch, der Datenschutzbeauftragte?
Verantwortlich ist die Organisation als Verantwortlicher im Sinne der DSGVO, praktisch der Fachbereich mit dem Vorhaben. Der Datenschutzbeauftragte berät und wird nach Artikel 35 Absatz 2 um Rat gefragt. Wer beides in eine Hand legt, verliert genau die Instanz, die prüfen soll.
Reicht eine Bewertung für alle KI-Werkzeuge im Haus?
Nur, wenn Zweck, Datenarten und Risiken tatsächlich gleich sind. Meist lohnt sich ein gemeinsamer Rahmenteil zu Anbieter, Speicherort und Rechtsgrundlage, ergänzt um einen kurzen eigenen Teil je Anwendungsfall.
Ändert sich an Artikel 35 gerade etwas?
Auf europäischer Ebene liegt ein Vorschlag zur Vereinheitlichung der Listen und der Methode vor, der noch nicht in Kraft ist. Bis dahin gelten Artikel 35 in der geltenden Fassung und die Liste der deutschen Aufsichtsbehörden.

Quellen

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem KI-Programm den passenden Kurs für deinen Stand zu finden.

0800 71 20000 E-Mail
Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.

0800 71 20000 E-Mail

Von der Pflichtübung zur belastbaren Entscheidung

Wer den Ablauf einmal mit Anleitung durchgeht, erkennt beim nächsten Vorhaben in einer halben Stunde, ob eine vollständige Bewertung nötig ist.

Alle Kurse und Termine Frage stellen

Passt dazu

Alle Themen zu KI