DSFA für KI 2026: Wann KMU eine Datenschutz-Folgenabschätzung brauchen und wie sie geht

Auf einen Blick: Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten Betroffener bedeutet. Bewerber-Scoring, Profilbildung, biometrische Identifikation und umfangreiche KI-Auswertungen fallen fast immer darunter. Wer die DSFA versäumt, riskiert Bußgelder bis 10 Mio EUR oder 2 Prozent Welt-Umsatz nach Art. 83 Abs. 4 DSGVO. Der Workflow ist machbar, auch ohne externen Datenschutzbeauftragten.

Bei einer Beratung Ende April 2026 hat ein Geschäftsführer eines 80-Mitarbeiter-Unternehmens gefragt, ob die DSFA nicht "irgendwie ein Nice-to-have" sei. Die Frage kommt häufig. Die Antwort ist: nein. Eine versäumte Datenschutz-Folgenabschätzung ist eine eigenständige Ordnungswidrigkeit nach Art. 83 Abs. 4 DSGVO, unabhängig davon, ob die Verarbeitung selbst rechtmäßig wäre. Wer ein Bewerber-Scoring oder einen CRM-Profiler ohne DSFA einsetzt, hat zwei Probleme statt einem.

Was eine DSFA bei KI-Einsatz konkret bedeutet, wann sie zwingend ist und wie ein praxistauglicher Workflow für ein mittelständisches Unternehmen ohne externen Datenschutzbeauftragten aussieht.

Wann eine DSFA Pflicht wird

Art. 35 DSGVO ist die Rechtsgrundlage. Der Wortlaut bleibt abstrakt: eine DSFA ist erforderlich, wenn eine Form der Verarbeitung "voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat". Drei Konstellationen nennt das Gesetz ausdrücklich.

Erstens: systematische und umfassende Bewertung persönlicher Aspekte, einschließlich Profiling, auf deren Grundlage Entscheidungen mit Rechtswirkung getroffen werden. Bewerber-Scoring, Kunden-Profiler, Bonitäts-Auswertung.

Zweitens: umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO. Gesundheitsdaten, biometrische Daten, ethnische Herkunft, politische Meinungen.

Drittens: systematische umfangreiche Überwachung öffentlicher Bereiche. Klassisch Video-Überwachung mit Gesichtserkennung, aber auch breite Mitarbeiter-Überwachung.

Die deutschen Aufsichtsbehörden haben das konkretisiert. BfDI, BayLDA und die Landesbehörden veröffentlichen sogenannte Muss-Listen mit Verarbeitungstätigkeiten, bei denen eine DSFA zwingend ist. KI-gestützte Bewerber-Auswertung steht überall drauf. Automatisierte Einzelentscheidungen nach Art. 22 DSGVO ebenfalls. Biometrische Identifikation am Arbeitsplatz auch.

Im Zweifel gilt: wer ein KI-System einsetzt, das Entscheidungen über Menschen trifft oder vorbereitet, sollte von DSFA-Pflicht ausgehen.

Welche KI-Anwendungen typisch betroffen sind

Aus der Beratungspraxis die häufigsten Fälle, die im Mittelstand auftauchen.

Bewerber-Scoring und automatisiertes CV-Screening. Ob das System CVs vor-sortiert, Eignungstests auswertet oder Interview-Mitschriften analysiert, spielt keine Rolle. Sobald eine algorithmische Vorentscheidung über die Einstellung getroffen wird, ist DSFA-Pflicht. Das HR-Compliance-Risiko wird seit dem Inkrafttreten der Hochrisiko-KI-Pflichten zusätzlich verschärft, auch wenn der Anhang III durch die Omnibus-Einigung vom 07.05.2026 auf den 02.12.2027 verschoben wurde.

CRM-Profiler und Vertriebs-Scoring. Wenn ein KI-Modell Kunden nach Kaufwahrscheinlichkeit, Churn-Risiko oder Bonität einstuft und diese Einstufung Entscheidungen über Vertragsangebote, Konditionen oder Mahnstufen beeinflusst, fällt das unter Art. 35.

Biometrische Identifikation. Gesichts-, Stimm- oder Fingerabdruck-Erkennung am Arbeitsplatz oder in Filialen ist nahezu immer DSFA-pflichtig, weil hier Art. 9 DSGVO mit ins Spiel kommt.

KI-gestützte Sprach-Analytik im Call-Center. Wenn Emotionen, Stimmungen oder Stress-Level analysiert werden, betrifft das sowohl Mitarbeiter als auch Anrufer. Doppelte Sensibilität.

Predictive Maintenance mit Mitarbeiterbezug. Wenn ein System nicht nur Maschinen-, sondern auch Verhaltensdaten der Bediener auswertet, kann ebenfalls DSFA-Pflicht entstehen.

Eine schlanke Schwellwert-Prüfung am Anfang spart später viel Zeit.

Pflicht-Inhalte einer DSFA nach Art. 35 Abs. 7 DSGVO

Vier Kernelemente muss die DSFA enthalten. Wer einen dieser Punkte weglässt, hat formal keine DSFA gemacht.

Erstes Element: systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke. Welche personenbezogenen Daten werden erfasst, in welchem Umfang, zu welchem Zweck, von wem verarbeitet, an wen weitergegeben? Beim KI-Einsatz gehört dazu auch eine Beschreibung des Modells, der Trainingsdaten und der Entscheidungslogik. "Wir nutzen ChatGPT" reicht nicht. Erwartet wird eine prüffähige Darstellung.

Zweites Element: Bewertung der Notwendigkeit und Verhältnismäßigkeit. Ist die Verarbeitung tatsächlich nötig, um den Zweck zu erreichen? Wäre eine weniger eingreifende Lösung möglich? Im KI-Kontext: muss es das KI-System sein, oder reicht ein Regel-basiertes Vorgehen? Muss der Algorithmus auf personenbezogene Daten zugreifen, oder reichen aggregierte Daten?

Drittes Element: Bewertung der Risiken für die Rechte und Freiheiten Betroffener. Welche konkreten Schadensszenarien sind denkbar? Diskriminierung durch verzerrte Trainingsdaten? Falsche Entscheidungen mit gravierender Wirkung? Datenlecks? Identifikationsmissbrauch? Die Risikobewertung muss sowohl Eintrittswahrscheinlichkeit als auch potenzielle Schadenshöhe einschätzen.

Viertes Element: geplante Abhilfemaßnahmen einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren. Wie wird das Risiko reduziert? Technisch (Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkung), organisatorisch (Mitarbeiterschulung, Vier-Augen-Prinzip, Dokumentation), rechtlich (AV-Verträge, Einwilligungen, Widerspruchsmöglichkeiten).

Eine DSFA ohne diese vier Elemente ist juristisch wertlos. Auch ein schickes Dokument mit 30 Seiten Allgemein-Floskeln reicht nicht. Die Aufsichtsbehörden prüfen Substanz, nicht Volumen.

Schritt-für-Schritt-Workflow für ein KMU ohne externen DSB

Der Praxis-Workflow in sechs Schritten. Realistisch für ein mittelständisches Unternehmen mit interner Compliance-Verantwortung.

Schritt 1: Verarbeitung beschreiben

Sammle die Basis-Informationen über die geplante oder bestehende KI-Verarbeitung. Welches Tool, welcher Anbieter, welche Datenkategorien, welche Betroffenen-Gruppen, welche Zwecke, welche Rechtsgrundlage. Wer hat Zugriff, an wen werden Daten weitergegeben, wie lange werden sie gespeichert? Bei KI-Systemen zusätzlich: welches Modell läuft im Hintergrund, wo wird es gehostet, welche Trainingsdaten wurden verwendet, gibt es Entscheidungslogiken, die offengelegt werden können?

Diese Beschreibung wird parallel ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO übernommen. Wer die VVT-Pflege ohnehin macht, hat hier schon die Hälfte der Arbeit erledigt.

Schritt 2: Notwendigkeit prüfen

Prüfe kritisch, ob die KI-Verarbeitung wirklich erforderlich ist. Welches Geschäftsproblem löst sie? Gibt es weniger eingreifende Alternativen? Müssten bestimmte Datenkategorien überhaupt verarbeitet werden, oder reicht eine reduzierte Variante? Die Aufsichtsbehörden erwarten hier echte Auseinandersetzung mit Alternativen, nicht eine pro-forma-Rechtfertigung.

In der Beratung zeigt sich: viele KI-Projekte sind zu daten-hungrig konzipiert. Wer in Schritt 2 ehrlich prüft, kann oft die Datenbasis verschlanken und damit die Risiko-Lage verbessern.

Schritt 3: Risiken identifizieren

Welche konkreten Schadensszenarien sind denkbar? Mache die Risiken explizit:

Die Risiko-Bewertung muss nachvollziehbar sein. Sehr formal? Nicht zwingend. Aber strukturiert, mit Begründung pro Eintrag.

Schritt 4: Maßnahmen festlegen

Für jedes identifizierte Risiko muss eine Abhilfemaßnahme dokumentiert sein. Das ist der substantielle Teil der DSFA. Technische Maßnahmen: Pseudonymisierung, Verschlüsselung, Zugriffsbeschränkung, Logging, Vier-Augen-Prinzip bei automatisierten Entscheidungen. Organisatorische Maßnahmen: Mitarbeiterschulung (nicht nur Art. 4 KI-VO, sondern auch DSGVO), Eskalations-Verfahren, regelmäßige Audits. Rechtliche Maßnahmen: AV-Verträge mit jedem KI-Anbieter, Einwilligungen wo nötig, Widerspruchsmöglichkeiten für Betroffene.

Bei automatisierten Einzelentscheidungen nach Art. 22 DSGVO ist die menschliche Überprüfung Pflicht. Dieser Punkt wird in der DSFA explizit dokumentiert: wer prüft, in welchen Fällen, in welcher Frist.

Schritt 5: Dokumentieren

Schreibe die DSFA als zusammenhängendes Dokument. Verarbeitungsbeschreibung, Notwendigkeitsprüfung, Risikobewertung, Maßnahmenkatalog, Datum, verantwortliche Person, Freigabe durch Geschäftsleitung. Bei vorhandenem Datenschutzbeauftragten zusätzlich dessen Stellungnahme nach Art. 35 Abs. 2 DSGVO.

Wichtig: das Dokument muss vor dem Beginn der Verarbeitung vorliegen, nicht im Nachhinein. Eine DSFA, die nach dem Go-Live erstellt wird, schützt nur teilweise vor Bußgeldern. Die Aufsichtsbehörden bewerten den Zeitpunkt mit.

Wenn die Risikobewertung ergibt, dass auch nach allen Maßnahmen ein hohes Restrisiko bleibt, kommt der nächste Schritt zwingend ins Spiel.

Schritt 6: Aktualisieren und ggf. Aufsichtsbehörde konsultieren

DSFAs sind keine Einmal-Übungen. Bei wesentlichen Änderungen (anderes Modell, neue Datenkategorien, neue Zwecke, Erweiterung der Betroffenen-Gruppen) muss die DSFA überarbeitet werden. Auch jährliche Routine-Reviews sind sinnvoll, vor allem bei sich schnell entwickelnden KI-Systemen.

Art. 36 DSGVO regelt die Konsultationspflicht. Wenn die DSFA zeigt, dass die Verarbeitung trotz aller Maßnahmen ein hohes Restrisiko aufweist, muss die zuständige Aufsichtsbehörde vor Verarbeitungsbeginn konsultiert werden. Die Behörde hat acht Wochen Zeit für eine Antwort, in komplexen Fällen verlängerbar um sechs Wochen. Wer die Konsultation versäumt, riskiert Bußgelder zusätzlich zur DSFA-Versäumnis.

In der Praxis sind echte Konsultationen selten. Wer die Maßnahmen-Liste sauber aufstellt und das Restrisiko realistisch bewertet, bleibt fast immer unterhalb der Konsultationsschwelle.

Schnittstelle zur KI-VO und Hochrisiko-Systemen

DSFA und KI-VO-Konformitätsbewertung greifen ineinander, sind aber zwei verschiedene Pflichten.

Die DSFA nach Art. 35 DSGVO prüft das datenschutzrechtliche Risiko der Verarbeitung. Die Konformitätsbewertung nach KI-VO (Art. 43) prüft das KI-System selbst auf Übereinstimmung mit den Hochrisiko-Anforderungen (Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit).

Bei Hochrisiko-KI-Systemen nach Anhang III der KI-VO sind in der Regel beide Verfahren nötig. Die Pflichten aus Anhang III wurden durch die Omnibus-Einigung vom 07.05.2026 auf den 02.12.2027 verschoben. Das ändert aber nichts an der DSFA-Pflicht nach DSGVO, die unabhängig vom KI-VO-Status besteht.

Wer ein Bewerber-Scoring einsetzt, muss spätestens ab 02.12.2027 eine vollständige KI-VO-Konformitätsbewertung haben (HR ist Anhang III), und braucht schon jetzt eine DSFA nach DSGVO. Beide Dokumente lassen sich zusammen denken, ohne dass eines das andere ersetzt.

Die schlanke Variante: ein integriertes Compliance-Dokument, das DSFA-Anforderungen plus KI-VO-Vorgaben in einer Struktur abdeckt, mit klaren Querverweisen. Spart Redundanz und macht Audit-Vorbereitung übersichtlicher.

Vorlagen und Tools für die Praxis

Es gibt kein gesetzlich vorgeschriebenes DSFA-Formular. Drei Werkzeuge haben sich in der Praxis bewährt.

Das CNIL-Tool ist eine kostenlose Web-Anwendung der französischen Datenschutzbehörde. Mehrsprachig (auch deutsch), strukturiert nach Art. 35 DSGVO, mit interaktiven Risiko-Matrizen. Für KMU oft ausreichend, wenn das Tool selbst gehostet oder lokal als Anwendung genutzt wird. Die Cloud-Variante ist datenschutzrechtlich bei sensiblen DSFAs zu prüfen.

Die GDD-Vorlage des Gesellschaft für Datenschutz und Datensicherheit e.V. ist ein deutsches Word-Template mit Checklisten und Beispieltexten. Für deutsche Aufsichtsbehörden vertraut, weil viele Datenschutzbeauftragte mit der Vorlage arbeiten. Kostenpflichtig über GDD-Mitgliedschaft oder Einzelbezug.

Eigene Vorlage. Viele mittelständische Unternehmen entwickeln nach den ersten DSFAs eine interne Vorlage, die auf die eigenen typischen Verarbeitungen zugeschnitten ist. Pragmatisch, weil die Standard-Tools oft mehr Felder enthalten als nötig.

In der Beratungspraxis arbeiten wir am häufigsten mit angepassten Vorlagen pro Branche. Eine DSFA für ein Bewerber-Scoring in einem Versicherungsmakler hat andere Schwerpunkte als eine DSFA für ein CRM-Profiler in einem Maschinenbau-Betrieb.

Eine ausführlichere Diskussion der Datenschutz-Architektur bei KI-Tools findet sich im Pillar-Artikel zu Datenschutz und KI-Tools.

Bußgeld-Rahmen und Vollzugspraxis

Art. 83 Abs. 4 DSGVO regelt die Bußgelder bei DSFA-Versäumnis. Die maximale Strafe liegt bei 10 Mio EUR oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Wert höher ist. Das ist die untere Bußgeld-Kategorie der DSGVO. Die obere Kategorie (Art. 83 Abs. 5) liegt bei 20 Mio EUR oder 4 Prozent und greift bei Verstößen gegen die Verarbeitungs-Grundsätze selbst.

In der Praxis werden gestaffelt geringere Bußgelder verhängt. Die deutschen Aufsichtsbehörden orientieren sich am Bußgeld-Bemessungs-Modell der Datenschutzkonferenz. Erste Verstöße mit niedriger Wirkung führen typischerweise zu Beanstandung und Auflagen. Wiederholungstäter und schwerwiegendere Fälle landen im sechsstelligen Bereich.

Zwei zusätzliche Risiken sind oft unterschätzt. Erstens: parallele Abmahnungen nach §§ 3, 5 UWG durch Wettbewerbsverbände. Wenn ein KMU mit "DSGVO-konform" oder "datenschutzkonform" wirbt, aber faktisch keine DSFA für ein klar pflichtiges KI-System hat, ist das wettbewerbsrechtlich angreifbar. Zweitens: zivilrechtliche Schadensersatz-Klagen nach Art. 82 DSGVO. Betroffene können materielle und immaterielle Schäden geltend machen, wenn sie durch die unterlassene DSFA in ihren Rechten verletzt wurden.

Die Kombination aus Aufsichts-Bußgeld plus möglichen Klagen macht eine versäumte DSFA zu einem Risiko, das deutlich teurer wird als die DSFA selbst. Die interne Erstellung kostet typisch zwischen einem und fünf Arbeitstagen, externe Beratung liegt bei 1.500 bis 6.000 EUR pro DSFA.

Praxis: Müller Personal in Aschaffenburg

Müller Personal, eine mittelständische Personaldienstleistung mit 45 Mitarbeitern in Aschaffenburg, hat Anfang 2026 ein KI-gestütztes Bewerber-Pre-Screening eingeführt. Eingehende Bewerbungen werden von einem Cloud-Modell auf Match-Qualität mit dem Anforderungsprofil bewertet und sortiert. Personalberater sehen anschließend nur die top-bewerteten Profile, der Rest landet in einer separaten Ablage mit pauschaler Absage.

Im April 2026 hat ein abgelehnter Bewerber Auskunft verlangt und nachgehakt, warum er aussortiert wurde. Die Personalabteilung konnte die Entscheidungslogik nicht erklären, das Tool ist als Black Box implementiert. Der Bewerber hat sich an die BayLDA gewandt.

Die Aufsichtsbehörde hat eine schriftliche Stellungnahme angefordert. Müller Personal musste die DSFA vorlegen. Es gab keine. Die BayLDA hat eine förmliche Beanstandung ausgesprochen, die Verarbeitung wurde bis zur Vorlage einer DSFA ausgesetzt.

Innerhalb von sechs Wochen hat Müller Personal extern eine DSFA erstellen lassen (Kosten 4.200 EUR), den Vertrag mit dem Cloud-Anbieter um eine AV-Vereinbarung nach Art. 28 DSGVO ergänzt und eine Vier-Augen-Prüfung in den Bewerber-Workflow eingebaut. Im Juni 2026 wurde die Verarbeitung wieder aufgenommen. Gesamt-Kosten: 4.200 EUR DSFA, 2.800 EUR Workflow-Anpassung, 8 Wochen ausgesetztes Screening plus Reputations-Schaden. Ein Bußgeld wurde nicht verhängt, weil Müller Personal kooperiert hat.

Eine DSFA vor Beginn hätte den gleichen Aufwand verursacht, aber den Aufsichts-Vorgang, die Aussetzung und den Reputations-Schaden vermieden. Wer die DSFA als lästige Pflicht abtut, zahlt sie später teurer.

Wer das unterschätzt

In der Beratungspraxis zeigt sich ein wiederkehrendes Muster. Geschäftsführer hören "Datenschutz-Folgenabschätzung" und denken an ein bürokratisches Formular ohne Geschäftsnutzen. Das ist die teuerste Fehleinschätzung im KI-Compliance-Kontext.

Die DSFA ist ein strukturierter Prozess, der vor schlecht durchdachten KI-Projekten schützt. Wer Schritt 2 (Notwendigkeitsprüfung) ehrlich durchläuft, erkennt oft, dass die geplante Datenbasis zu groß, die Risiken zu hoch oder die Maßnahmen zu schwach sind. Das ist kein Compliance-Hindernis, sondern ein Qualitäts-Check, der KI-Projekte besser macht.

Wer das unterschätzt, baut KI-Systeme, die nach 12 Monaten von der Aufsichtsbehörde gestoppt werden oder von einem Wettbewerbsverband abgemahnt werden. Wir sehen das regelmäßig.

Häufige Fragen

Brauche ich für jedes KI-Tool eine eigene DSFA?

Nicht zwingend. Mehrere ähnliche Verarbeitungen können in einer gemeinsamen DSFA abgedeckt werden, wenn die Risiko-Lage vergleichbar ist. Beispiel: ein KMU nutzt ChatGPT für Marketing-Texte, Vertriebs-E-Mails und interne Recherche. Wenn die Datenkategorien und Zwecke ähnlich sind, kann eine integrierte DSFA für "generative KI im Geschäftsbetrieb" reichen. Bei substanziell unterschiedlichen Anwendungen (Bewerber-Scoring vs. Marketing-Text) braucht es separate DSFAs.

Was kostet eine DSFA-Erstellung extern?

Für eine Standard-DSFA im KMU-Kontext liegen die Kosten externer Beratung typisch zwischen 1.500 und 6.000 EUR. Komplexere Fälle mit Konsultations-Bedarf oder umfangreichen Maßnahmen-Katalogen können bei 10.000 EUR und mehr landen. Interne Erstellung dauert für eine erste DSFA typisch fünf bis zehn Arbeitstage, später deutlich weniger, weil Routinen entstehen.

Muss ich die DSFA der Aufsichtsbehörde vorab vorlegen?

Nein, nur in den Fällen nach Art. 36 DSGVO, also wenn die DSFA selbst nach allen Maßnahmen ein hohes Restrisiko zeigt. In der überwiegenden Mehrzahl der Fälle reicht es, die DSFA intern zu dokumentieren und auf Anforderung der Aufsichtsbehörde vorzulegen. Sie muss aber vor Beginn der Verarbeitung fertig sein, nicht nachträglich.

Was ist der Unterschied zwischen DSFA und VVT?

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist eine Pflicht-Übersicht über alle Verarbeitungen im Unternehmen. Es ist relativ schlank: Zweck, Datenkategorien, Empfänger, Löschfristen, technische Maßnahmen. Die DSFA ist tiefergehend und nur für Hochrisiko-Verarbeitungen erforderlich. Sie umfasst Risikobewertung, Notwendigkeitsprüfung und ausführlichen Maßnahmen-Katalog. VVT und DSFA ergänzen sich, ersetzen sich nicht.

Über den Autor

Dr. Jens Aichinger ist promovierter Wirtschaftspädagoge und Inhaber von SkillSprinters, einem DEKRA-zertifizierten Bildungsträger. Er entwickelt seit 2024 KI-gestützte Weiterbildungs- und Prozessautomatisierungslösungen für den Mittelstand. Über Skill-Sprinters läuft auch der Digitalisierungsmanager, eine 4-monatige geförderte Weiterbildung.

30 Minuten Klarheit kosten nichts. Wenn Du KI im Betrieb einsetzt oder überlegst einzusetzen, kommt es nicht auf das Tool an. Es kommt auf die Frage: wo entstehen Risiken, wo Hebel? In 30 Minuten gehen wir Deine konkrete Lage durch und Du weisst, wo Du anfangen solltest. Termin reservieren oder kostenlosen KI-Schnupperkurs starten.

Zuletzt geprüft am 26. Mai 2026.