Datenschutz-Folgenabschätzung bei KI: eine Checkliste

Artikel 35 der Datenschutz-Grundverordnung verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Bei KI-Projekten ist das häufiger der Fall, als viele denken, etwa bei Bewerberauswahl, Kundenbewertung oder der Auswertung von Gesprächen. Ob eine Pflicht besteht, klären Sie im Einzelfall mit Ihrem Datenschutzbeauftragten.

Typische Auslöser bei KI

• Es werden personenbezogene Daten in großem Umfang verarbeitet.
• Die KI bewertet oder profiliert Personen, zum Beispiel Mitarbeitende, Bewerber oder Kunden.
• Es fließen sensible Daten ein, etwa Gesundheitsdaten.
• Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung werden vorbereitet.
• Neue Technik wird in neuer Weise eingesetzt, und die Folgen sind schwer absehbar.

Ablauf in fünf Schritten

• Beschreiben: Zweck, Daten, Betroffene, eingesetztes Modell und Anbieter, Speicherorte und Löschfristen.
• Prüfen: Rechtsgrundlage, Erforderlichkeit und Verhältnismäßigkeit. Geht es auch mit weniger Daten?
• Bewerten: Welche Risiken entstehen für Betroffene, etwa durch falsche Ausgaben, Diskriminierung oder Datenabfluss? Wie wahrscheinlich und wie schwer sind sie?
• Maßnahmen festlegen: Pseudonymisierung, Rollen und Rechte, Freigabe durch Menschen, Protokollierung, Verträge mit Anbietern.
• Dokumentieren und überprüfen: Ergebnis festhalten und bei Änderungen am System erneut prüfen.

Hilfen der Aufsichtsbehörden

Die Datenschutzkonferenz hat im Juni 2025 eine Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen veröffentlicht, im Oktober 2025 eine weitere zu generativer KI mit RAG-Methode. Beide eignen sich als Prüfraster für Ihr Vorhaben.

Fehler, die Sie vermeiden können

• Die Prüfung erst nach dem Start vornehmen.
• Den Anbieter nicht einbeziehen und seine Unterauftragnehmer nicht kennen.
• Eine Vorlage ausfüllen, ohne die Risiken tatsächlich zu bewerten.
• Spätere Änderungen, etwa ein Modellwechsel, nicht erneut zu prüfen.

Ein Hinweis zur Verantwortung

Die Folgenabschätzung liegt beim Verantwortlichen, also bei Ihrem Unternehmen. Anbieter können Unterlagen liefern, etwa zu Datenflüssen und Sicherheitsmaßnahmen, nehmen Ihnen die Bewertung aber nicht ab. Beziehen Sie den Datenschutzbeauftragten früh ein und halten Sie dessen Rat in der Dokumentation fest.

Legen Sie eine einfache Vorlage an, die Sie für jedes Projekt wiederverwenden. Sie senkt den Aufwand erheblich, weil Beschreibung, Risikoliste und Maßnahmen nur angepasst werden müssen.

Wer die Abschätzung vor dem Start erledigt, spart später Rückfragen von Kunden und Aufsicht und erkennt Schwächen im Projekt, solange sie sich leicht beheben lassen.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 35 auf EUR-Lex
• DSK: Orientierungshilfe zu KI-Systemen (Juni 2025)
• DSK: Orientierungshilfen