Wenn im Betrieb ein KI-Chatbot oder ein Telefonassistent eingeführt wird, steht am Ende immer derselbe Moment: Jemand klickt auf „aktivieren”. Bis dahin ist das Projekt ein Test. Danach verarbeitet ein KI-System echte Kundendaten. Genau zwischen diesen beiden Zuständen liegt eine Pflicht, die in den meisten Angeboten von KI-Anbietern nicht vorkommt — die Datenschutz-Folgenabschätzung, kurz DSFA.
Der Grund, warum sie so oft übersehen wird: Die meisten suchen die Antwort in der KI-Verordnung. Dort steht sie nicht. Sie steht in der DSGVO — und in einer Liste der deutschen Aufsichtsbehörden, die älter ist als ChatGPT. Wer nur die KI-Verordnung prüft, kommt deshalb zu einem sauber begründeten, aber falschen Ergebnis: Dort ist ein Chatbot im Kundenservice tatsächlich kein Hochrisiko-System. Die Pflicht, um die es hier geht, hat mit dieser Einstufung nichts zu tun — sie kommt aus dem Datenschutzrecht und greift unabhängig davon, wie die KI-Verordnung das System einordnet.
Der Listeneintrag, den fast niemand kennt
Die Datenschutzkonferenz (DSK) — der Zusammenschluss der deutschen Datenschutzaufsichtsbehörden — führt eine Liste von Verarbeitungstätigkeiten, für die eine DSFA in jedem Fall durchzuführen ist. Die aktuell verteilte Fassung ist „Version 1.1 vom 17.10.2018”. Sie hat 17 Einträge. Eintrag Nummer 11 lautet im Original:
„Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person”
Als typisches Einsatzfeld nennt die Liste dazu wörtlich: „Kundensupport mittels künstlicher Intelligenz”. Als Beispiele: „Ein Callcenter wertet automatisiert die Stimmungslage der Anrufer aus” und „Ein Unternehmen setzt ein System ein, welches mit Kunden durch Konversation interagiert und für deren Beratung personenbezogene Daten durch eine künstliche Intelligenz verarbeitet werden”.
Das ist bemerkenswert, weil der Satz 2018 geschrieben wurde — Jahre vor dem ersten KI-Chatbot auf einer Mittelstandswebsite. Er beschreibt trotzdem ziemlich genau, was ein heutiger KI-Webassistent oder ein KI-Telefonassistent tut: mit Kunden sprechen und dabei personenbezogene Daten verarbeiten.
Was eine DSFA laut Verordnungstext ist
Die Rechtsgrundlage ist Artikel 35 der Datenschutz-Grundverordnung, also VO (EU) 2016/679. Absatz 1 formuliert die Pflicht so: Hat eine Form der Verarbeitung „insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge”, muss der Verantwortliche vorab eine Folgenabschätzung durchführen.
Zwei Wörter daraus sind für die Praxis entscheidend. „Vorab” heißt: vor der ersten echten Verarbeitung, nicht nach dem Pilotbetrieb — ein Testlauf mit echten Kundendaten ist bereits die Verarbeitung, um die es geht. Und „neue Technologien” ist in der Verordnung ausdrücklich als Verstärker genannt, KI fällt ohne Umweg darunter. Beides zusammen verschiebt den Zeitpunkt der Prüfung weit nach vorn: nicht ans Ende des Projekts, sondern vor den ersten produktiven Einsatz.
Artikel 35 Absatz 3 nennt dann drei Fälle, in denen eine DSFA „insbesondere” erforderlich ist: die systematische und umfassende Bewertung persönlicher Aspekte als Grundlage für Entscheidungen mit Rechtswirkung, die umfangreiche Verarbeitung besonderer Datenkategorien nach Artikel 9 oder 10, und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Viele Betriebe prüfen genau diese drei Punkte, kommen zu „trifft nicht zu” und legen das Thema weg. Das ist der eigentliche Fehler — denn die Aufzählung ist mit dem Wort „insbesondere” ausdrücklich offen formuliert und damit nicht abschließend.
Warum die Behördenliste schwerer wiegt als die drei Regelbeispiele
Artikel 35 Absatz 4 DSGVO verpflichtet die Aufsichtsbehörden, eine eigene Liste zu erstellen und zu veröffentlichen: Verarbeitungsvorgänge, für die eine DSFA durchzuführen ist. Genau diese Rechtsgrundlage ist die DSK-Muss-Liste. Sie ergänzt die drei Regelbeispiele aus Absatz 3 — sie steht nicht unter ihnen. Praktisch bedeutet das: Für einen KI-Kundenservice musst du nicht erst begründen, dass ein hohes Risiko vorliegt. Die zuständige Aufsichtsbehörde hat diese Einordnung bereits vorgenommen. Die Beweislast dreht sich. Wer die DSFA weglassen will, muss darlegen, warum das eigene Vorhaben gerade nicht unter Eintrag Nr. 11 fällt — und nicht umgekehrt.
Absatz 5 erlaubt den Behörden umgekehrt auch Listen mit Vorgängen, für die keine DSFA nötig ist. Darauf würde ich mich im Mittelstand aber nicht stützen, solange für das eigene Vorhaben kein ausdrücklicher Eintrag existiert.
| Vorhaben im Betrieb | Einschlägiger DSK-Eintrag | DSFA |
|---|---|---|
| KI-Chatbot berät Kunden mit ihren Daten | Nr. 11 (KI-Interaktion) | ja |
| KI-Telefonassistent wertet Stimmung aus | Nr. 11 und Nr. 13 | ja |
| KI sortiert Bewerbungen vor | Nr. 8 (Beschäftigtenverhalten) | ja |
| KI-Textassistent ohne Personenbezug | kein Eintrag | nein |
| KI fasst interne Dokumente ohne Personendaten zusammen | kein Eintrag | nein |
Die letzten beiden Zeilen sind der Grund, warum das Thema beherrschbar bleibt: Ein Großteil der KI-Nutzung im Mittelstand — Texte entwerfen, Angebote formulieren, Protokolle kürzen — löst keine DSFA aus, solange keine personenbezogenen Daten im Spiel sind. Die Pflicht hängt an der Verarbeitung, nicht am Werkzeug.
Was in einer DSFA mindestens drinstehen muss
Artikel 35 Absatz 7 ist in dieser Frage ungewöhnlich konkret. Die Folgenabschätzung enthält „zumindest” vier Bestandteile:
- eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und ihrer Zwecke, gegebenenfalls einschließlich der verfolgten berechtigten Interessen,
- eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung in Bezug auf den Zweck,
- eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen,
- die geplanten Abhilfemaßnahmen einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren.
Das ist weniger, als der Begriff vermuten lässt. Für einen klar umrissenen KI-Kundenservice ist das ein Dokument von wenigen Seiten, nicht ein Projekt über Monate. Zwei Pflichten kommen hinzu: Nach Absatz 2 holst du den Rat des Datenschutzbeauftragten ein, sofern einer benannt ist. Und nach Absatz 11 prüfst du erforderlichenfalls nach, ob die Verarbeitung noch so läuft wie beschrieben — zumindest dann, wenn sich das Risiko geändert hat. Ein Modellwechsel beim Anbieter ist so eine Änderung.
Wenn das hohe Risiko bleibt: Artikel 36
Der Teil, der Zeitpläne kippt, steht in Artikel 36 Absatz 1: Ergibt die DSFA, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung trifft, muss er vor der Verarbeitung die Aufsichtsbehörde konsultieren.
Die Frist dafür steht in Absatz 2: Die Behörde antwortet innerhalb von bis zu acht Wochen nach Erhalt des Ersuchens, verlängerbar um sechs weitere Wochen. In Summe also bis zu vierzehn Wochen Wartezeit — eingeplant in kein einziges KI-Einführungsprojekt, das ich bisher gesehen habe. Der entscheidende Halbsatz ist dabei das „sofern keine Maßnahmen”: Wer die Abhilfemaßnahmen nach Absatz 7 Buchstabe d sauber umsetzt, landet in der Regel gar nicht erst in der Konsultation. Die DSFA ist damit nicht der Grund für die Wartezeit, sondern das Mittel, das sie vermeidet.
Was es kostet, die DSFA zu überspringen
Artikel 83 Absatz 4 Buchstabe a DSGVO zählt die Pflichten der Verantwortlichen „gemäß den Artikeln 8, 11, 25 bis 39” auf. Artikel 35 liegt in diesem Bereich. Der Rahmen dafür: Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs — je nachdem, welcher Betrag höher ist.
Für einen Betrieb mit 20 Beschäftigten ist die realistische Erwartung natürlich nicht das Maximum dieses Rahmens. Entscheidend ist etwas anderes: Die fehlende DSFA ist ein eigenständiger Verstoß, nicht bloß ein Formfehler nebenbei. Sie fällt typischerweise dann auf, wenn ohnehin schon etwas schiefgegangen ist — bei einer Beschwerde einer betroffenen Person oder bei der Meldung einer Datenschutzverletzung. Dann steht neben dem eigentlichen Vorfall auch noch im Raum, dass die vorgeschriebene Risikoprüfung nie stattgefunden hat. Das verschiebt die Bewertung des Gesamtvorgangs, und zwar in die ungünstige Richtung.
Die Reihenfolge, die funktioniert
Aus der Praxis heraus: Die DSFA gehört vor die Anbieterauswahl, nicht danach. Der Grund ist Absatz 7 Buchstabe d — die Abhilfemaßnahmen. Ob ein Anbieter Daten in der EU verarbeitet, ob er auf deinen Daten trainiert, ob du Löschfristen setzen kannst: Das sind Abhilfemaßnahmen. Steht der Vertrag schon, kannst du sie nicht mehr gestalten, sondern nur noch dokumentieren, was fehlt.
Sinnvolle Abfolge: Zweck festlegen, Datenarten auflisten, DSK-Liste gegenprüfen, dann die vier Punkte aus Absatz 7 abarbeiten, parallel Anbieter nach den nötigen Abhilfemaßnahmen auswählen, Datenschutzbeauftragten einbeziehen, erst dann aktivieren. Wenn ihr die KI-Nutzung ohnehin gerade ordnet, läuft das gut zusammen mit einer Automatisierung der betroffenen Prozesse — beides braucht die gleiche Vorarbeit: zu wissen, welche Daten wo durchlaufen.
Was dieser Artikel nicht leistet
Zwei Einschränkungen, die hierher gehören. Erstens: Ob eine Verarbeitung „umfangreich” oder „systematisch” ist, lässt sich nicht pauschal entscheiden — diese Begriffe sind in der DSGVO nicht mit Zahlen hinterlegt. Zweitens: Die DSK-Liste gilt für den nicht-öffentlichen Bereich und wird von den Landesbehörden teils mit eigenen Fassungen verteilt. Für die verbindliche Einordnung eines konkreten Vorhabens ist der Datenschutzbeauftragte oder eine Rechtsberatung zuständig, nicht ein Blogartikel.
Häufige Fragen zur DSFA bei KI
Brauche ich eine DSFA, wenn ich ChatGPT nur für Texte nutze?
In der Regel nein, solange keine personenbezogenen Daten hineingehen. Entwürfe formulieren, Texte kürzen, Ideen sammeln — das löst keinen Eintrag der DSK-Liste aus. Sobald du Kundenmails, Bewerbungen oder Personalunterlagen einfügst, ändert sich die Einordnung.
Reicht es, wenn mein KI-Anbieter eine DSFA gemacht hat?
Nein. Artikel 35 Absatz 1 adressiert „den Verantwortlichen” — das bist du, nicht der Anbieter. Unterlagen des Anbieters können in deine DSFA einfließen, besonders bei den Abhilfemaßnahmen. Sie ersetzen sie nicht.
Wer muss die DSFA unterschreiben?
Die DSGVO verlangt keine Unterschrift. Verantwortlich ist das Unternehmen, also die Geschäftsführung. Der Datenschutzbeauftragte wird nach Absatz 2 beraten hinzugezogen, er entscheidet nicht und haftet nicht an deiner Stelle.
Muss ich die DSFA bei der Behörde einreichen?
Nur im Fall des Artikels 36 Absatz 1 — wenn ohne Abhilfemaßnahmen ein hohes Risiko bliebe. Sonst bleibt die DSFA im Haus und wird auf Verlangen vorgelegt.
Gilt das auch für einen KI-Chatbot, der nur FAQ beantwortet?
Es kommt darauf an, ob personenbezogene Daten verarbeitet werden. Ein Chatbot, der ausschließlich statische Antworten ausliefert, verarbeitet in der Sache keine Personendaten. Sobald er Eingaben der Besucher auswertet, speichert oder zur Beratung heranzieht, ist Eintrag Nr. 11 im Blick zu behalten.
Wie oft muss eine DSFA aktualisiert werden?
Die DSGVO nennt kein Intervall. Artikel 35 Absatz 11 knüpft die Überprüfung an Änderungen des Risikos. Praktisch heißt das: bei Modellwechsel, neuem Anbieter, neuen Datenarten oder erweitertem Einsatzzweck.
Mein Fazit
Die DSFA ist keine Hürde, die KI im Mittelstand verhindert. Sie ist eine Vorarbeit, die ohnehin anfällt — nur mit Datum und Unterlage. Wer einen KI-Kundenservice plant, sollte wissen, dass die Aufsichtsbehörden diesen Fall seit 2018 ausdrücklich auf der Liste haben, und sollte die vierzehn Wochen aus Artikel 36 nicht erst entdecken, wenn der Starttermin steht.
Wenn du nicht sicher bist, welche KI-Anwendungen bei dir überhaupt personenbezogene Daten verarbeiten, ist das der Punkt, an dem ein Blick von außen am meisten spart. Genau das schaue ich mir in einem Website- und KI-Audit an: welche Systeme laufen, welche Daten durchlaufen sie, und wo entsteht eine Pflicht, die noch niemand auf dem Zettel hat. Melde dich dazu gern direkt über das Kontaktformular.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Artikel 35, 36 und 83: Volltext auf EUR-Lex
- Datenschutzkonferenz (DSK): Liste von Verarbeitungsvorgängen nach Art. 35 Abs. 4 DSGVO für den nicht-öffentlichen Bereich, Version 1.1 vom 17.10.2018 — bereitgestellt vom BfDI
