KI-Datenschutzfolgenabschätzung

Die Datenschutz-Folgenabschätzung (DSFA, englisch Data Protection Impact Assessment) ist in Art. 35 der Datenschutz-Grundverordnung geregelt. Nach Art. 35 Abs. 1 DSGVO muss der Verantwortliche vorab eine Abschätzung der Folgen durchführen, wenn eine Verarbeitung – insbesondere bei Verwendung neuer Technologien – voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.

Bei KI-Systemen ist diese Prüfung häufig relevant, weil KI in der Regel als neue Technologie im Sinne von Art. 35 Abs. 1 DSGVO gilt. Art. 35 Abs. 3 DSGVO nennt als Regelfall unter anderem die automatisierte Bewertung persönlicher Aspekte einschließlich Profiling, wenn diese Bewertung als Grundlage für Entscheidungen mit Rechtswirkung dient – ein Muster, das bei KI-gestütztem Bewerber-Scoring oder automatisierten Bonitätsprüfungen oft zutrifft.

Ergänzend nennt die Muss-Liste der deutschen Datenschutzaufsichtsbehörden (DSK) Kriterien wie das Bewerten oder Einstufen (Scoring) sowie das Abgleichen oder Zusammenführen von Datensätzen – Kriterien, die bei KI-Anwendungen mit Profilbildung oder Datenverknüpfung aus mehreren Quellen häufig erfüllt sind.

Vergleichbar ist die DSFA mit einer Gefährdungsbeurteilung im Arbeitsschutz: Bevor eine neue Maschine läuft, wird geprüft, welche Risiken sie für Mitarbeitende birgt und welche Schutzmaßnahmen nötig sind. Bei KI-Systemen tritt an die Stelle der Maschine der Algorithmus, an die Stelle der körperlichen Unversehrtheit treten die Datenschutzrechte der Betroffenen.

Formal muss die DSFA laut Art. 35 Abs. 7 DSGVO mindestens vier Elemente enthalten: eine systematische Beschreibung der Verarbeitung, eine Bewertung von Notwendigkeit und Verhältnismäßigkeit, eine Risikobewertung für die Betroffenen sowie die geplanten Abhilfemaßnahmen. Nach Art. 35 Abs. 2 DSGVO holt der Verantwortliche den Rat des Datenschutzbeauftragten ein, sofern ein solcher benannt wurde – die Verantwortung für Inhalt und Ergebnis trägt dennoch das Unternehmen.

Für kleine und mittlere Unternehmen schafft die DSFA Klarheit, bevor Budget und Zeit in ein KI-Projekt fließen: Wird das Risiko früh bewertet, lassen sich Anforderungen an Auftragsverarbeiter, Datenminimierung oder technische Schutzmaßnahmen direkt in die Ausschreibung oder den Vertrag mit dem KI-Anbieter aufnehmen, statt sie nachträglich zu verhandeln.

Das senkt vor allem zwei Risiken: unvollständig dokumentierte KI-Einführungen, die bei einer Prüfung durch die Aufsichtsbehörde auffallen, und nachträgliche Umbauten am System, weil Datenschutzanforderungen erst nach dem Produktivstart entdeckt wurden. Wo personenbezogene Daten vor der Verarbeitung durch die KI anonymisiert oder pseudonymisiert werden können, sinkt das Risiko und mit ihm oft auch der Umfang der erforderlichen DSFA; auf solche Lösungen spezialisiert ist unser Partner anymize (https://anymize.ai/partner/ai-ready).

Der Aufwand einer DSFA hängt stark vom KI-Anwendungsfall ab: Eine einfache interne Textanalyse ohne sensible Daten lässt sich meist in wenigen Arbeitstagen dokumentieren, ein KI-System mit Profiling von Kunden oder Bewerbern erfordert dagegen eine tiefere Risikoanalyse, Abstimmung mit dem Datenschutzbeauftragten und oft mehrere Wochen bis zur abgestimmten Dokumentation – nach unserer Erfahrung eine grobe Faustregel, keine feste Zusage.

Kostentreiber sind vor allem externe Unterstützung durch Datenschutzbeauftragte oder Fachanwält:innen, die Anzahl der betroffenen Verarbeitungsschritte und ob bereits ein Verzeichnis von Verarbeitungstätigkeiten vorliegt, auf dem die DSFA aufbauen kann. Unternehmen ohne etablierte Datenschutzprozesse sollten einplanen, dass die erste DSFA deutlich mehr Abstimmungsaufwand braucht als spätere, weil Vorlagen und Risikokriterien erst entwickelt werden müssen.

Ein Personaldienstleister mit 60 Mitarbeitenden möchte ein KI-Tool einführen, das eingehende Bewerbungen automatisiert nach Qualifikation bewertet und sortiert. Diese automatisierte Bewertung persönlicher Aspekte von Bewerbenden, die Grundlage für die weitere Auswahl ist, entspricht dem Regelbeispiel aus Art. 35 Abs. 3 DSGVO für eine verpflichtende DSFA. Vor dem Produktivstart dokumentiert das Unternehmen deshalb, welche Daten verarbeitet werden, welche Risiken für Bewerbende bestehen – etwa Fehlbewertungen durch das Modell – und welche Gegenmaßnahmen greifen, etwa eine menschliche Zweitprüfung jeder automatisierten Ablehnung.