Datenschutz-Folgenabschätzung bei KI-Projekten: Wann sie fällig ist und wie man sie angeht

Kaum ein Begriff aus der DSGVO löst so zuverlässig Abwehrreflexe aus wie die Datenschutz-Folgenabschätzung, kurz DSFA. Sie klingt nach einem Bürokratiemonster, nach externen Gutachten und nach Monaten Verzögerung. Bei vielen KI-Vorhaben ist sie aber schlicht Pflichtprogramm, und das Vorhaben wird nicht dadurch legaler, dass man sie vermeidet, sondern nur dadurch angreifbarer.

Die produktivere Sichtweise: Eine DSFA ist ein strukturiertes Nachdenken über Risiken, das man bei einem ernsthaften KI-Projekt ohnehin tun sollte, nur eben dokumentiert. Wer sie früh und schlank angeht, bekommt nebenbei ein besseres Systemdesign. Wer sie am Ende nachreicht, bekommt ein Alibi-Dokument, das im Zweifel niemanden schützt.

Dieser Artikel bleibt bewusst auf der Ebene der Grundzüge und ersetzt keine rechtliche Prüfung im Einzelfall. Er beantwortet die vier Fragen, an denen DSFA-Vorhaben in der Praxis hängen: Wann ist sie fällig, wie läuft sie ab, wer gehört an den Tisch, und wie bleibt das Dokument am Leben.

Woran man erkennt, ob eine DSFA fällig ist

Die Grundregel ist allgemein formuliert: Eine DSFA ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Das klingt vage, lässt sich aber über typische Risikomerkmale greifbar machen. Je mehr der folgenden Merkmale zutreffen, desto eher ist eine DSFA angezeigt:

• Es kommt eine neuartige Technologie zum Einsatz, deren Auswirkungen noch wenig erprobt sind. KI-Systeme fallen häufig in diese Kategorie.
• Personen werden systematisch bewertet oder eingestuft, etwa nach Leistung, Verhalten, Interessen oder Zuverlässigkeit.
• Entscheidungen mit spürbarer Wirkung für Einzelne werden automatisiert vorbereitet oder getroffen.
• Es werden sensible Datenkategorien verarbeitet, etwa Gesundheitsdaten, oder Daten besonders schutzbedürftiger Gruppen.
• Die Verarbeitung ist umfangreich, betrifft also viele Personen oder große Datenmengen über lange Zeit.

Die Aufsichtsbehörden veröffentlichen darüber hinaus Listen mit Verarbeitungen, für die eine DSFA verpflichtend ist. Ein Blick in diese Listen gehört zur Prüfung dazu. Für die Praxis wichtig: Auch das Ergebnis "keine DSFA erforderlich" sollte als kurze Schwellwertanalyse dokumentiert werden, mit den geprüften Kriterien und der Begründung. Diese Seite Papier ist der Nachweis, dass die Frage gestellt wurde, und sie kostet einen Bruchteil des Aufwands einer vollen DSFA.

Ein schlanker Ablauf in vier Schritten

Eine DSFA muss kein hundertseitiges Werk sein. Ein tragfähiger Ablauf besteht aus vier Schritten, die aufeinander aufbauen.

• Beschreibung der Verarbeitung: Welche Daten fließen woher, wohin und wozu. Bei KI-Vorhaben gehören dazu die Datenquellen, das eingesetzte Modell samt Anbieter, die Speicherorte und die Frage, ob Eingaben für Modelltraining verwendet werden. Eine einfache Datenflusskizze leistet hier mehr als zehn Seiten Prosa.
• Notwendigkeit und Verhältnismäßigkeit: Warum braucht der Zweck diese Daten in diesem Umfang, und auf welcher Rechtsgrundlage. Dieser Schritt zwingt zu den Fragen, die ohnehin beantwortet sein müssen, und deckt überflüssige Datenflüsse auf.
• Risikobewertung: Was kann für die Betroffenen schiefgehen. Typische Szenarien bei KI-Systemen sind unbefugter Zugriff auf sensible Inhalte, die Wiedergabe personenbezogener Informationen an falscher Stelle, fehlerhafte oder verzerrte Ergebnisse mit Folgen für Einzelne sowie die schleichende Zweckerweiterung. Jedes Szenario wird nach Eintrittswahrscheinlichkeit und Schwere grob eingeordnet, eine dreistufige Skala genügt.
• Abhilfemaßnahmen: Für jedes relevante Risiko wird festgelegt, was es senkt. Das können technische Maßnahmen sein wie Zugriffskontrollen, Pseudonymisierung oder das Filtern sensibler Felder vor der Verarbeitung, ebenso organisatorische wie Freigabeprozesse, Schulungen und eine menschliche Prüfung vor Entscheidungen mit Außenwirkung. Am Ende steht die Bewertung des Restrisikos und die Entscheidung, ob es getragen wird.

Wer diese vier Schritte diszipliniert durchläuft, hat nicht nur eine DSFA, sondern meist auch ein besseres System, weil Schwachstellen vor dem Rollout sichtbar wurden statt danach.

Wer an den Tisch gehört

Eine DSFA, die allein im Datenschutzbüro entsteht, beschreibt das System, wie es auf dem Papier aussieht. Eine DSFA, die allein im Projektteam entsteht, übersieht die Risiken, für die das Team betriebsblind ist. Es braucht beide Perspektiven und noch zwei weitere.

Der Fachbereich kennt den tatsächlichen Anwendungsfall und die Daten, die wirklich fließen. Die Technik kennt Architektur, Schnittstellen und Speicherorte und kann sagen, welche Schutzmaßnahmen realistisch umsetzbar sind. Der Datenschutzbeauftragte oder die entsprechende Koordinationsrolle bringt die rechtliche Einordnung und ist bei einer DSFA ohnehin beratend einzubinden. Und das Management gehört an den Tisch, weil die Übernahme des Restrisikos eine Geschäftsentscheidung ist, keine technische. Wo Mitarbeiterdaten betroffen sind, ist zudem die frühzeitige Einbindung der Belegschaftsvertretung sinnvoll, sofern vorhanden.

In der Praxis reichen dafür oft zwei bis drei strukturierte Arbeitssitzungen mit klarer Vorbereitung. Der Aufwand skaliert mit dem Risiko des Vorhabens, nicht mit der Seitenzahl des Dokuments.

Das Dokument lebendig halten

Die häufigste Schwäche einer DSFA ist nicht ihre Qualität, sondern ihr Stillstand. Sie beschreibt den Zustand zum Zeitpunkt der Erstellung, während sich das System weiterentwickelt. Nach einem Jahr passt das Dokument nicht mehr zur Realität, und sein Schutzwert ist dahin.

Dagegen helfen zwei Mechanismen. Erstens definierte Auslöser für eine Überprüfung: ein Wechsel des Modells oder Anbieters, neue Datenkategorien oder Datenquellen, neue Anwendungsfälle, geänderte Empfängerkreise oder ein sicherheitsrelevanter Vorfall. Diese Auslöser gehören in den Änderungsprozess des Projekts, damit die Prüfung automatisch angestoßen wird. Zweitens brauchen die beschlossenen Abhilfemaßnahmen eine verantwortliche Person und einen Termin. Eine Maßnahme ohne Zuständigkeit ist eine Absichtserklärung, und eine DSFA voller Absichtserklärungen ist wertlos, sobald jemand nachprüft.

Fazit

Die Datenschutz-Folgenabschätzung ist bei KI-Projekten häufiger Pflicht, als Projektteams annehmen, und sie ist deutlich weniger schlimm als ihr Ruf. Der Weg ist überschaubar: eine kurze Schwellwertanalyse für die Frage, ob sie fällig ist, dann vier Schritte von der Beschreibung über die Risikobewertung bis zu Maßnahmen mit Verantwortlichen, erarbeitet von Fachbereich, Technik, Datenschutz und Management gemeinsam. Wer die DSFA früh beginnt und an definierte Auslöser für Aktualisierungen koppelt, hat am Ende kein Schubladendokument, sondern ein Arbeitsinstrument, das das System besser macht und im Ernstfall trägt.