DSFA bei neuer Software und KI: Wann Unternehmen vorab prüfen müssen

Eine neue Software oder ein KI-System darf nicht erst nach dem Rollout datenschutzrechtlich geprüft werden. Entscheidend ist, ob die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Dann muss die Datenschutz-Folgenabschätzung (DSFA) vor Beginn der Verarbeitung durchgeführt werden.

Dieser Beitrag grenzt die Schwellenfrage von der späteren Vertrags- und Arbeitsrechtsprüfung ab. Sie erfahren, welche Merkmale bei neuer Technologie zählen, wie Unternehmen den Prüfprozess aufbauen und wann eine bloße Produktbeschreibung oder ein allgemeines Verzeichnis der Verarbeitungstätigkeiten nicht ausreicht.

Art. 35 Abs. 1 DSGVO knüpft die Pflicht an eine Verarbeitung, die wegen ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Prüfung muss vorab erfolgen. Ein Unternehmen soll also nicht erst produktive Daten in ein System übertragen und danach versuchen, die Entscheidung zu rechtfertigen.

Die DSFA ist kein Zertifikat für ein Produkt und keine allgemeine Bewertung des Herstellers. Sie bezieht sich auf den konkreten Einsatz: Welche Daten werden für welchen Zweck verarbeitet, wer kann betroffen sein, welche Empfänger und Systeme sind beteiligt und welche Folgen kann die Verarbeitung haben? Dieselbe Software kann je nach Konfiguration und Personengruppe unterschiedlich zu beurteilen sein.

Für Unternehmen bedeutet das: Der Einkauf, die IT, die Fachabteilung und die Datenschutzverantwortlichen müssen früh genug zusammenarbeiten. Eine Freigabe im Projektplan sollte erst erfolgen, wenn die Schwellenprüfung und gegebenenfalls die DSFA im vorgesehenen Umfang abgeschlossen sind.

Art. 35 Abs. 3 DSGVO nennt insbesondere die systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling, die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Diese Fälle sind wichtige Anker, aber keine abschließende Ersetzung der Einzelfallprüfung.

Bei Software und KI können zusätzliche Risikomerkmale zusammentreffen: viele betroffene Personen, schwer verständliche Bewertungskriterien, dauerhafte Beobachtung, Zusammenführung verschiedener Datenquellen, geringe Einflussmöglichkeiten der Betroffenen oder Entscheidungen mit erheblichen Auswirkungen. Nicht jedes Merkmal führt allein zur Pflicht. Mehrere Merkmale können das Risiko aber deutlich erhöhen.

Bewerten Sie deshalb nicht nur die technische Leistungsfähigkeit. Fragen Sie auch, ob Personen die Verarbeitung erwarten können, ob Ergebnisse überprüfbar sind, ob Fehler korrigiert werden können und ob eine menschliche Entscheidung tatsächlich möglich bleibt. Die Risikobewertung muss die betroffenen Menschen und nicht bloß die Systemarchitektur in den Mittelpunkt stellen.

Eine Produktpräsentation reicht für die DSFA nicht aus. Die Dokumentation sollte den tatsächlichen Anwendungsfall beschreiben: Welche Eingaben werden verwendet, welche Ergebnisse erzeugt das System, wer sieht sie und welche Handlung folgt daraus? Bei einem KI-System ist zusätzlich zu klären, ob Inhalte erstellt, sortiert, bewertet, vorhergesagt oder für eine Entscheidung herangezogen werden.

Besonders wichtig ist die Grenze zwischen Unterstützung und Entscheidung. Ein Werkzeug, das Sachbearbeiterinnen und Sachbearbeitern nur eine Recherche erleichtert, ist anders zu bewerten als ein System, das Bewerbungen aussortiert, Kundinnen und Kunden ein Risiko zuweist oder Beschäftigte anhand von Verhaltensdaten bewertet. Die tatsächliche Nutzung zählt, nicht das Etikett „Assistenzsystem“.

Der bestehende Beitrag zur KI am Arbeitsplatz und zur Betriebsvereinbarung behandelt die arbeitsrechtliche Mitbestimmung. Die DSFA-Frage bleibt davon abgrenzbar: Hier geht es um die datenschutzrechtliche Risikoanalyse des konkreten Verarbeitungsvorgangs vor dem Einsatz.

1. Zweck und Rechtsgrundlage klären: Beschreiben Sie, welches Unternehmensproblem gelöst werden soll und warum die Verarbeitung erforderlich ist. Eine unklare Zweckbeschreibung führt fast immer zu einer unklaren Risikobewertung.

2. Daten und Personen erfassen: Ordnen Sie Datenkategorien, Quellen, Empfänger, Aufbewahrung und betroffene Gruppen zu. Prüfen Sie, ob besondere Kategorien, Daten über strafrechtliche Verurteilungen oder Daten von Kindern betroffen sind.

3. Datenflüsse abbilden: Dokumentieren Sie Softwaremodule, Schnittstellen, Hosting, Supportzugriffe, Unterauftragnehmer und mögliche Übermittlungen in Drittländer. Der Schwerpunkt zu Auftragsverarbeitung und Dienstleistern hilft bei der Rollen- und Kettenprüfung.

4. Notwendigkeit und Verhältnismäßigkeit prüfen: Fragen Sie, ob der Zweck mit weniger Daten, kürzerer Speicherung oder weniger eingriffsintensiver Technik erreicht werden kann.

5. Risiken für Betroffene bewerten: Betrachten Sie Vertraulichkeit, Integrität und Verfügbarkeit ebenso wie Diskriminierung, Kontrollverlust, falsche Zuordnung oder den Ausschluss von Leistungen.

6. Maßnahmen festlegen: Dazu gehören etwa Zugriffstrennung, Protokollierung, Löschfristen, menschliche Kontrolle, Testverfahren, Schulung und ein Verfahren zur Korrektur falscher Ergebnisse.

7. Entscheidung und Überprüfung dokumentieren: Halten Sie Restrisiken, Verantwortlichkeiten und den Anlass für eine neuerliche Prüfung fest. Eine DSFA ist kein Dokument, das nach der Freigabe nie wieder geöffnet wird.

Art. 35 Abs. 7 DSGVO verlangt unter anderem eine systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Rechte und Freiheiten sowie die geplanten Abhilfemaßnahmen. Die Tiefe muss zum Risiko passen. Eine kurze Verarbeitung mit geringem Umfang braucht keine künstliche Aktenmasse; ein komplexes Bewertungssystem darf nicht mit zwei Seiten erledigt werden.

Ist ein Datenschutzbeauftragter benannt, holt der Verantwortliche nach Art. 35 Abs. 2 DSGVO dessen Rat ein. Die Verantwortung für die Entscheidung bleibt beim Verantwortlichen. Der Rat sollte deshalb nachvollziehbar dokumentiert und in der Projektentscheidung berücksichtigt werden. Bei Beschäftigtendaten ist zusätzlich die Einbindung der zuständigen arbeitsrechtlichen Stellen zu organisieren.

Die Datenschutzbehörde kann eine DSFA verlangen oder nach Art. 35 Abs. 5 DSGVO feststellen, dass bestimmte Verarbeitungsvorgänge voraussichtlich kein hohes Risiko haben. Verlassen Sie sich bei einem individuellen neuen KI-Einsatz aber nicht auf allgemeine Produktwerbung oder eine fremde Musterbewertung. Maßgeblich bleibt der Einsatz in Ihrem Unternehmen.

Ein Anbieter kann Auftragsverarbeiter sein, wenn er Daten nach dokumentierten Weisungen für den Unternehmenszweck verarbeitet. Für eigene Zwecke, etwa bestimmte Produktanalysen oder die Abrechnung der eigenen Leistung, kann eine andere Rolle vorliegen. Diese Rollenfrage ist Teil der Projektprüfung, ersetzt aber nicht die DSFA.

Der Beitrag zu KI-Verträgen, Vendor-Haftung und DSGVO behandelt die vertragliche Seite. Für die DSFA müssen Sie zusätzlich prüfen, welche Daten das Modell tatsächlich erhält, ob Eingaben gespeichert werden, welche Unterauftragnehmer beteiligt sind und wie Löschung, Zugriff und Auskunft funktionieren.

Ein Vertrag kann Risiken mindern, aber keine unzulässige Verarbeitung heilen. Wenn ein System für einen sensiblen Zweck eingesetzt werden soll, muss die Organisation vor dem Abschluss und vor dem Produktivstart wissen, welche Schutzmaßnahmen technisch und organisatorisch umgesetzt werden können.

Die Risikobewertung endet nicht zwingend mit dem Go-live. Eine neue Datenquelle, ein neues Modell, eine andere Personengruppe, ein zusätzlicher Empfänger oder ein geänderter Zweck kann die ursprüngliche Bewertung entwerten. Auch ein Sicherheitsvorfall oder eine neue Erkenntnis über Fehlerquoten kann Anlass für eine Überprüfung sein.

Definieren Sie deshalb im Projekt einen Änderungsprozess. Die Fachabteilung sollte nicht eigenständig neue Felder, Auswertungen oder Automatisierungen aktivieren, ohne die Datenschutzfolgen zu prüfen. Für KI-Systeme gehören dazu auch Tests auf Fehlklassifikationen, unzulässige Ausgaben und eine funktionierende menschliche Kontrollmöglichkeit.

Die Governance-Struktur der Datenschutz-Compliance sollte festlegen, wer die DSFA führt, wer Änderungen freigibt und wann die Bewertung erneut vorzulegen ist. Der Rollen-Check unterstützt bei einer ersten Zuordnung von Verantwortlichem und Auftragsverarbeiter.

Eine DSFA muss zum konkreten Einsatz passen: zu Zweck, Daten, Personengruppen, Dienstleistern und den tatsächlichen Auswirkungen. Wir prüfen mit Ihnen die Schwelle, strukturieren den Prozess und ordnen die notwendigen technischen, organisatorischen und vertraglichen Maßnahmen zu. Kontaktieren Sie uns mit Projektbeschreibung, Datenfluss, Anbieterunterlagen und geplanter Nutzung, damit die nächsten Schritte vor dem Produktivstart festgelegt werden können.