Kaum ein Kürzel sorgt in Datenschutzgesprächen für so viel Unsicherheit wie „DSFA". Viele Verwaltungen befürchten, dass jede KI-Anwendung erst ein aufwändiges Gutachten braucht, bevor es losgehen darf. Diese Sorge ist meist unbegründet, hat aber einen wahren Kern: Es gibt Fälle, in denen eine Datenschutz-Folgenabschätzung Pflicht ist. Dieser Artikel klärt, wann das so ist und wie Sie vorgehen. Er ersetzt keine Rechtsberatung, gibt Ihnen aber die Landkarte an die Hand.
Was eine DSFA ist
DSFA steht für Datenschutz-Folgenabschätzung – eine strukturierte Risikoprüfung, die in Artikel 35 der DSGVO geregelt ist. Der Grundgedanke: Bevor eine Verarbeitung startet, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Menschen mit sich bringt, muss die verantwortliche Stelle vorab bewerten, welche Risiken entstehen und mit welchen Maßnahmen sie eingedämmt werden. Die DSFA ist also kein Selbstzweck und keine reine Formalie, sondern ein Werkzeug, um Schaden zu vermeiden, bevor er entsteht.
Wichtig ist das Wort „vorab". Eine DSFA gehört an den Anfang eines Vorhabens, nicht ans Ende – sie ist ein Planungsinstrument, kein nachträglicher Bericht.
Wann eine DSFA nötig ist, und wann nicht
Eine DSFA ist nicht für jede Verarbeitung erforderlich, sondern nur bei voraussichtlich hohem Risiko. Ob das vorliegt, hängt vom konkreten Einsatz ab. Maßgeblich sind vor allem:
- die Art der verarbeiteten Daten (etwa normale Kontaktdaten oder besonders sensible Daten wie Gesundheitsdaten),
- der Umfang der Verarbeitung,
- die betroffenen Personengruppen (etwa schutzbedürftige Personen),
- der Zweck der Verarbeitung,
- die möglichen Folgen für die Betroffenen.
Die Aufsichtsbehörden veröffentlichen zudem Listen von Verarbeitungen, bei denen eine DSFA verpflichtend ist. Ein Blick in die Liste der für Sie zuständigen Behörde ist deshalb immer ein guter erster Schritt. Wer die Anwendungsfälle im Haus zusätzlich nach einem Ampelmodell sortiert, hat für diese Einschätzung bereits eine gute Vorarbeit geleistet, denn Rot-eingestufte Fälle sind meist genau jene, bei denen sich ein genauerer Blick auf die DSFA-Pflicht lohnt.
Für die Praxis lässt sich grob unterscheiden:
| Eher keine DSFA nötig | Eher DSFA nötig |
|---|---|
| Unterstützende Standardwerkzeuge (Textentwürfe, Zusammenfassungen) | Systeme, die Entscheidungen über Menschen vorbereiten oder treffen |
| Verarbeitung in der EU, Zero Data Retention, Verschlüsselung | Umfangreiche Verarbeitung besonders sensibler Daten |
| Keine besonders sensiblen Daten, Datenminimierung | Systematische Bewertung oder Beobachtung von Personen |
Bei unterstützenden Standardanwendungen mit europäischer Verarbeitung, Zero Data Retention und Verschlüsselung ist das Risiko regelmäßig deutlich reduziert. Solche Merkmale sind kein Freibrief, senken aber die Wahrscheinlichkeit, dass eine DSFA zwingend notwendig wird.
Der Zusammenhang mit dem EU AI Act
DSGVO und EU AI Act sind zwei getrennte Regelwerke, die aber ineinandergreifen. Faustregel: Je höher ein System nach dem AI Act einzustufen ist, desto wahrscheinlicher berührt es auch datenschutzrechtlich ein hohes Risiko. Eine KI, die nur beim Formulieren hilft, ist datenschutzrechtlich meist unkritisch. Eine KI, die in Entscheidungen über Ansprüche von Bürgerinnen und Bürgern eingreift, kann sowohl nach dem AI Act als Hochrisiko-System gelten als auch eine DSFA auslösen.
In sechs Schritten zur DSFA
Wenn eine DSFA nötig ist, muss sie nicht kompliziert sein. Dieser Ablauf hat sich bewährt:
- Verarbeitung beschreiben. Was wird zu welchem Zweck verarbeitet, mit welchem Werkzeug, für welche Personengruppen?
- Notwendigkeit und Verhältnismäßigkeit prüfen. Ist die Verarbeitung für den Zweck wirklich erforderlich, oder geht es auch mit weniger Daten?
- Risiken für die Betroffenen bewerten. Was könnte im schlimmsten Fall passieren, und wie wahrscheinlich ist das?
- Abhilfemaßnahmen festlegen. Technische und organisatorische Maßnahmen, die das Risiko senken, etwa Verschlüsselung, Zugriffskonzepte, Zero Data Retention, klare interne Regeln.
- Mit den Datenschutzbeauftragten abstimmen. Bleibt trotz Maßnahmen ein hohes Risiko, ist gegebenenfalls die Aufsichtsbehörde vorab zu konsultieren.
- Dokumentieren und aktuell halten. Die DSFA wird schriftlich festgehalten und überprüft, wenn sich die Verarbeitung ändert.
Eine DSFA gehört an den Anfang eines Vorhabens, nicht ans Ende. Sie ist ein Planungsinstrument, kein nachträglicher Bericht.
Wer entscheidet und wer haftet
Die Verantwortung liegt bei der Kommune als verantwortliche Stelle, nicht beim Anbieter der Software. Ob eine DSFA nötig ist und wie sie ausfällt, entscheidet die Verwaltung gemeinsam mit ihren Datenschutzbeauftragten. Ein guter Anbieter unterstützt dabei, indem er die nötigen Unterlagen liefert: den Auftragsverarbeitungsvertrag, die Beschreibung der technischen und organisatorischen Maßnahmen und Informationen zur Verarbeitung. Die Bewertung selbst bleibt jedoch Aufgabe der Kommune. Eine KI-Dienstanweisung hilft zusätzlich, weil sie festhält, welche Anwendungsfälle freigegeben sind und wo eine genauere Prüfung nötig ist.
Quellen
- DSGVO, insb. Art. 35
- Listen der Aufsichtsbehörden zu DSFA-pflichtigen Verarbeitungen
Weiterlesen
EU AI Act für Kommunen: Die Risikoklassen einfach erklärt
Darf eine Behörde überhaupt KI einsetzen? Ja – der EU AI Act verbietet KI nicht, er sortiert sie nach Risiko. Was die vier Risikoklassen bedeuten und welche Pflichten Ihre Verwaltung jetzt konkret hat.
KI-Dienstanweisung für die Kommune: Warum Sie jetzt eine brauchen – mit Muster zum Download
In den meisten Verwaltungen wird längst mit KI gearbeitet – oft ohne eine einzige verbindliche Regel. Eine KI-Dienstanweisung schafft in wenigen Seiten Klarheit: was hineingehört, welche Fehler Sie vermeiden sollten und ein Muster als Startpunkt.
Das Ampelmodell für KI in der Verwaltung: Anwendungsfälle nach Risiko sortieren
Nicht jede KI-Nutzung ist gleich heikel. Ein einfaches Ampelmodell mit drei Stufen hilft Mitarbeitenden, in Sekunden einzuordnen, wie sorgfältig sie ein KI-Ergebnis prüfen müssen.