# Datenschutz-Folgenabschätzung KI: Wann sie Pflicht ist > Eine Datenschutz-Folgenabschätzung ist bei KI-Systemen fast immer Pflicht: die 9 Risikokriterien, der Unterschied zur FRIA und 5 Schritte zur Umsetzung. Quelle: https://gerlinger.ai/blog/dsfa-ki-pflicht Stand: 2026-09-04 DSGVO und Datenschutz - [Was ist eine Datenschutz-Folgenabschätzung?](https://gerlinger.ai/blog/dsfa-ki-pflicht#was-ist-eine-datenschutz-folgenabschaetzung) - [Wann eine DSFA für KI-Systeme Pflicht ist](https://gerlinger.ai/blog/dsfa-ki-pflicht#wann-eine-dsfa-fuer-ki-systeme-pflicht-ist) - [Welche KI-Anwendungen typischerweise eine DSFA auslösen](https://gerlinger.ai/blog/dsfa-ki-pflicht#welche-ki-anwendungen-typischerweise-eine-dsfa-ausloesen) - [Diese 4 Punkte gehören in jede DSFA](https://gerlinger.ai/blog/dsfa-ki-pflicht#diese-4-punkte-gehoeren-in-jede-dsfa) - [DSFA und FRIA: zwei Folgenabschätzungen mit unterschiedlichem Fokus](https://gerlinger.ai/blog/dsfa-ki-pflicht#dsfa-und-fria-zwei-folgenabschaetzungen-mit-unterschiedlichem-fokus) - [In 5 Schritten zur DSFA für dein KI-System](https://gerlinger.ai/blog/dsfa-ki-pflicht#in-5-schritten-zur-dsfa-fuer-dein-ki-system) - [DSFA-Pflicht bei KI-Agenten und Automatisierungen](https://gerlinger.ai/blog/dsfa-ki-pflicht#dsfa-pflicht-bei-ki-agenten-und-automatisierungen) - [Was du tust, wenn die DSFA ein Restrisiko zeigt](https://gerlinger.ai/blog/dsfa-ki-pflicht#was-du-tust-wenn-die-dsfa-ein-restrisiko-zeigt) - [Wie oft du die DSFA aktualisieren musst](https://gerlinger.ai/blog/dsfa-ki-pflicht#wie-oft-du-die-dsfa-aktualisieren-musst) - [Was eine fehlende DSFA kostet](https://gerlinger.ai/blog/dsfa-ki-pflicht#was-eine-fehlende-dsfa-kostet) - [Warum lokale KI die DSFA seltener zur Pflicht macht](https://gerlinger.ai/blog/dsfa-ki-pflicht#warum-lokale-ki-die-dsfa-seltener-zur-pflicht-macht) - [Häufige Fehler bei der DSFA für KI-Systeme](https://gerlinger.ai/blog/dsfa-ki-pflicht#haeufige-fehler-bei-der-dsfa-fuer-ki-systeme) - [Häufige Fragen](https://gerlinger.ai/#faq) Das Wichtigste in Kürze - Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist Pflicht, sobald ein KI-System voraussichtlich ein hohes Risiko für Betroffene birgt. - Die Art. 29 Datenschutzgruppe nennt 9 Risikokriterien: Erfüllt dein KI-Einsatz 2 davon, ist eine DSFA in der Regel Pflicht. - Eine DSFA hat 4 Pflichtinhalte: Beschreibung der Verarbeitung, Verhältnismäßigkeitsprüfung, Risikobewertung und Abhilfemaßnahmen. - Die FRIA nach Art. 27 KI-VO ergänzt die DSFA bei Hochrisiko-KI, ersetzt sie aber nicht. Ihre Pflicht gilt erst ab 2. Dezember 2027. - Wer eine Pflicht-DSFA unterlässt, riskiert ein Bußgeld nach Art. 83 Abs. 4 DSGVO von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Eine Datenschutz-Folgenabschätzung (DSFA) ist bei einem KI-System Pflicht, sobald die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Betroffenen birgt. Das trifft auf die meisten KI-Anwendungen mit Kunden-, Bewerber- oder Beschäftigtendaten zu, denn KI-Systeme werten Daten systematisch aus und treffen häufig automatisierte Bewertungen. Dieser Ratgeber zeigt, anhand welcher Kriterien du die DSFA-Pflicht für dein KI-System prüfst, was in den Bericht gehört und wie du in 5 Schritten vorgehst. ### Was ist eine Datenschutz-Folgenabschätzung? Eine Datenschutz-Folgenabschätzung ist eine Risikoprüfung nach Art. 35 DSGVO, die ein Unternehmen vor dem Start einer riskanten Datenverarbeitung durchführen muss. Sie dokumentiert, welche personenbezogenen Daten eine geplante Verarbeitung nutzt, welche Risiken daraus für Betroffene entstehen und mit welchen Maßnahmen das Unternehmen diese Risiken senkt. Die Pflicht trifft nach Art. 35 Abs. 1 DSGVO ausdrücklich Verarbeitungen, die "insbesondere bei Verwendung neuer Technologien" ein hohes Risiko erzeugen können. KI-Systeme fallen genau in diese Kategorie: Sie verarbeiten Daten oft intransparent, in großem Umfang und mit dem Ziel, Menschen zu bewerten oder Entscheidungen über sie vorzubereiten. Verantwortlich für die DSFA ist immer das Unternehmen, das die KI einsetzt, nicht der KI-Anbieter. Ein [Auftragsverarbeitungsvertrag mit dem Anbieter](https://gerlinger.ai/blog/avv-ki-anbieter-dsgvo) regelt, wie der Anbieter mit den Daten umgeht. Er ersetzt die eigene DSFA nicht, denn die Risikobewertung bleibt Aufgabe des Verantwortlichen. Der Zweck der DSFA geht über die reine Pflichterfüllung hinaus. Sie zwingt ein Unternehmen, den eigenen KI-Einsatz einmal vollständig durchzudenken, bevor er produktiv läuft: welche Daten fließen hinein, wer trifft am Ende welche Entscheidung, und was passiert, wenn die KI falsch liegt. Diese Fragen sind unabhängig von der DSFA-Pflicht sinnvoll, denn sie decken Schwachstellen auf, bevor sie zu Beschwerden von Kunden oder Beschäftigten führen. ### Wann eine DSFA für KI-Systeme Pflicht ist Die Art. 29 Datenschutzgruppe, deren Leitlinien die europäischen Aufsichtsbehörden weiter anwenden, hat in ihrem Papier WP248 rev.01 9 Risikokriterien für eine DSFA-Pflicht festgelegt. Erfüllt eine geplante Verarbeitung 2 dieser 9 Kriterien, ist eine DSFA in der Regel Pflicht. - Bewertung oder Scoring Die KI bewertet, klassifiziert oder erstellt ein Profil von Personen, etwa ein Bonitäts- oder Recruiting-Score. - Automatisierte Entscheidung mit Rechtsfolge Die KI trifft oder bereitet eine Entscheidung vor, die rechtliche oder vergleichbar erhebliche Wirkung hat. - Systematische Überwachung Die KI beobachtet Personen fortlaufend, etwa bei der Auswertung von Arbeitsverhalten. - Sensible oder höchstpersönliche Daten Die KI verarbeitet Gesundheits-, Bewerbungs- oder andere Daten nach Art. 9 DSGVO. - Datenverarbeitung in großem Umfang Die KI verarbeitet Daten vieler Betroffener oder große Datenmengen je Betroffenem. - Abgleich oder Zusammenführung von Datensätzen Die KI verknüpft Daten aus mehreren Quellen zu einem neuen Gesamtbild. - Daten schutzbedürftiger Personen Betroffen sind etwa Beschäftigte, Kinder oder Patienten in einem Abhängigkeitsverhältnis. - Innovative Technologie Der Einsatz der KI ist neuartig und ihre Risiken sind noch wenig erprobt. - Ausschluss von einem Recht oder Vertrag Die KI-Entscheidung verwehrt einer Person den Zugang zu einer Leistung oder einem Vertrag. Ein Beispiel aus der Praxis: Ein KI-Tool sortiert Bewerbungen vor und erstellt ein Ranking der Kandidaten. Das erfüllt mindestens 3 Kriterien gleichzeitig, Bewertung, automatisierte Entscheidung mit Rechtsfolge und möglicher Ausschluss vom Vertrag. Die DSFA-Pflicht ist damit eindeutig. Wie du diesen Fall zusätzlich nach Art. 22 DSGVO prüfst, erklärt der Ratgeber zu [automatisierten KI-Entscheidungen](https://gerlinger.ai/blog/art-22-dsgvo-ki-entscheidungen). Die häufigste Falle ist der Einsatz kostenloser Consumer-KI-Tools ohne Unternehmenslizenz. Bei vielen kostenlosen Varianten fließen eingegebene Daten in das Training des Anbieters ein, was das Risiko zusätzlich erhöht und die DSFA-Pflicht so gut wie immer auslöst. ![Mitarbeiter geht am Schreibtisch eine gedruckte Checkliste zur DSFA-Pflicht durch, im Hintergrund ein Laptop mit KI-Oberfläche](https://gerlinger.ai/assets/blog/dsfa-ki-pflicht-checkliste.webp) ### Welche KI-Anwendungen typischerweise eine DSFA auslösen Nicht jedes KI-Tool im Unternehmen erreicht die Schwelle für eine Pflicht-DSFA. Die folgende Übersicht ordnet 5 typische Anwendungsfälle ein, jeweils mit der Begründung aus den 9 Risikokriterien. | Anwendungsfall | DSFA nötig? | Begründung | | --- | --- | --- | | Bewerber-Ranking per KI | Ja | Scoring plus automatisierte Entscheidung mit Rechtsfolge | | Kundenservice-Chatbot mit Kundenhistorie | Meist ja | Große Datenmenge plus Profiling der Kundenanliegen | | KI-gestütztes Bonitäts- oder Preis-Scoring | Ja | Scoring plus möglicher Ausschluss von einem Vertrag | | Leistungsauswertung von Beschäftigten | Ja | Systematische Überwachung plus Daten schutzbedürftiger Personen | | Interner KI-Assistent für Textentwürfe ohne Kundendaten | Meist nein | Kein Scoring, keine automatisierte Entscheidung, kleiner Datenumfang | Zum Vergleichen seitlich wischen Der Unterschied liegt selten am KI-Modell selbst, sondern an den Daten, die es verarbeitet, und an der Frage, ob am Ende eine Bewertung oder Entscheidung über eine konkrete Person steht. Ein interner Assistent, der ausschließlich anonymisierte Texte entwirft, bleibt meist unterhalb der Schwelle. Sobald derselbe Assistent Kundendaten oder Bewerbungen einbezieht, kippt die Einordnung. ### Diese 4 Punkte gehören in jede DSFA Art. 35 Abs. 7 DSGVO schreibt vor, welche 4 Bausteine ein DSFA-Bericht mindestens enthalten muss: - Systematische Beschreibung der Verarbeitung: welche Daten die KI verarbeitet, zu welchem Zweck und über welchen Zeitraum. - Bewertung von Notwendigkeit und Verhältnismäßigkeit: ob der KI-Einsatz für den Zweck erforderlich ist und ob ein milderes Mittel denselben Nutzen bringt. - Bewertung der Risiken für Betroffene: welche konkreten Nachteile Kunden, Bewerbern oder Beschäftigten durch Fehlentscheidungen oder Datenmissbrauch drohen. - Abhilfemaßnahmen: technische und organisatorische Maßnahmen, die die identifizierten Risiken senken, etwa menschliche Kontrolle vor jeder finalen Entscheidung. Fehlt einer dieser 4 Punkte, gilt die DSFA als unvollständig. Die Aufsichtsbehörde kann in diesem Fall verlangen, den Bericht nachzubessern, bevor die KI live geht. ### DSFA und FRIA: zwei Folgenabschätzungen mit unterschiedlichem Fokus Neben der DSFA verlangt die KI-Verordnung für einen Teil der Hochrisiko-Systeme zusätzlich eine Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 KI-VO. Beide Prüfungen ergänzen sich, decken aber unterschiedliche Risiken ab. | Kriterium | DSFA (Art. 35 DSGVO) | FRIA (Art. 27 KI-VO) | | --- | --- | --- | | Rechtsgrundlage | DSGVO | KI-Verordnung | | Prüft | Risiken für den Datenschutz | Risiken für Grundrechte insgesamt, etwa Diskriminierung | | Pflichtig für | Jede Verarbeitung mit hohem Risiko | Nur bestimmte Betreiber von Hochrisiko-KI nach Anhang III | | Gilt seit | 25. Mai 2018 | ab 2. Dezember 2027 (durch Digital Omnibus verschoben) | | Verhältnis | Eigenständige Pflicht | Ergänzt die DSFA, ersetzt sie nicht | Zum Vergleichen seitlich wischen Für [Hochrisiko-KI nach Anhang III](https://gerlinger.ai/blog/hochrisiko-ki-eu-ai-act), etwa Recruiting-Systeme oder Bonitätsprüfung, verschiebt der Digital Omnibus die FRIA-Pflicht ebenso wie die übrigen Betreiberpflichten auf den 2. Dezember 2027. Die DSFA-Pflicht nach Art. 35 DSGVO ist von dieser Verschiebung unberührt und gilt unverändert seit Mai 2018, unabhängig vom Zeitplan der KI-Verordnung. Für die meisten kleinen und mittleren Unternehmen bleibt damit vor allem die DSFA relevant: Die FRIA betrifft nach Art. 27 KI-VO nur öffentliche Stellen, private Betreiber öffentlicher Dienstleistungen und Betreiber von KI zur Bonitätsprüfung oder Versicherungstarifierung. Ein Handwerksbetrieb, der KI im Kundenservice oder Recruiting einsetzt, prüft in der Regel nur die DSFA, muss aber im Blick behalten, ob sich sein Anwendungsfall künftig in einen der drei FRIA-pflichtigen Bereiche verschiebt. ### In 5 Schritten zur DSFA für dein KI-System Halte fest, welche Daten das KI-System erhält, verarbeitet und ausgibt, und wer im Unternehmen Zugriff hat. Gehe die 9 Kriterien der Art. 29 Datenschutzgruppe durch und dokumentiere, welche zutreffen. Prüfe, ob der KI-Einsatz für den Zweck erforderlich ist und ob eine risikoärmere Lösung denselben Nutzen bringt. Beschreibe, welcher Schaden Kunden, Bewerbern oder Beschäftigten im schlechtesten Fall droht, etwa eine diskriminierende Vorauswahl. Lege technische und organisatorische Maßnahmen fest, etwa menschliche Kontrolle, Zugriffsbeschränkung und Löschfristen, und lasse den Bericht vom Datenschutzbeauftragten gegenzeichnen. Für ein einzelnes, klar abgegrenztes KI-System dauert dieser Prozess meist 1 bis 2 Wochen, inklusive Abstimmung mit dem Datenschutzbeauftragten. Bindet das System mehrere Datenquellen ein, etwa ein KI-Agent, der auf CRM, ERP und E-Mail-Postfach zugreift, verlängert sich die Prüfung entsprechend. ### DSFA-Pflicht bei KI-Agenten und Automatisierungen ![Mitarbeiterin prüft im Serverraum auf einem Tablet das Datenfluss-Diagramm eines KI-Agenten](https://gerlinger.ai/assets/blog/dsfa-ki-pflicht-agent.webp) Ein [KI-Agent](https://gerlinger.ai/lexikon/ki-agent), der mehrere Systeme selbstständig verknüpft, erhöht das Risiko gegenüber einem einzelnen Chatbot gleich doppelt: Er verarbeitet mehr Datenquellen gleichzeitig und trifft häufiger eigenständige Zwischenentscheidungen, etwa welche E-Mail er priorisiert oder welchen Datensatz er einem Vorgang zuordnet. Schritt 1 der DSFA, die Beschreibung des Datenflusses, wird bei Agenten dadurch zum aufwendigsten Teil der Prüfung. In der Praxis heißt das: Dokumentiere für jeden angebundenen Datenspeicher einzeln, welche Daten der Agent liest und schreibt, statt den gesamten Automatisierungsprozess als eine Blackbox zu behandeln. So lässt sich später auch nachvollziehen, welcher Teilschritt im Zweifel für ein hohes Risiko verantwortlich ist. ### Was du tust, wenn die DSFA ein Restrisiko zeigt Zeigt die DSFA nach Art. 36 Abs. 1 DSGVO, dass trotz aller Abhilfemaßnahmen ein hohes Risiko bestehen bleibt, muss das Unternehmen die zuständige Aufsichtsbehörde vorab konsultieren. Die Behörde hat dann bis zu 8 Wochen Zeit, schriftlich Stellung zu nehmen, in komplexen Fällen verlängert um weitere 6 Wochen. Sie kann den KI-Einsatz in dieser Zeit auch untersagen. In der Praxis betrifft das nur einen kleinen Teil der Fälle: Die meisten Risiken lassen sich bereits durch die Abhilfemaßnahmen aus Schritt 5 so weit senken, dass kein Restrisiko mehr bleibt und die Konsultationspflicht entfällt. Ein sauber dokumentierter Maßnahmenkatalog ist damit nicht nur Formalität, sondern verhindert ein wochenlanges Genehmigungsverfahren. ### Wie oft du die DSFA aktualisieren musst Eine DSFA ist kein einmaliges Dokument. Sie muss erneut geprüft werden, sobald sich einer dieser Punkte wesentlich ändert: - Der Zweck der Verarbeitung ändert sich, etwa wenn ein Kundenservice-Chatbot zusätzlich Vertragsentscheidungen automatisiert. - Das eingesetzte KI-Modell wechselt, etwa beim Umstieg von einem regelbasierten Scoring auf ein lernendes Modell. - Neue Datenquellen kommen hinzu, etwa wenn ein KI-Agent zusätzlich auf ein weiteres System zugreift. - Die Zahl der Betroffenen steigt deutlich, etwa beim Rollout eines Pilotprojekts auf das gesamte Unternehmen. Ohne inhaltliche Änderung empfiehlt die Art. 29 Datenschutzgruppe, eine DSFA spätestens alle 3 Jahre erneut zu prüfen. Das gilt als Richtwert, nicht als starre Frist: Ändert sich das Risiko früher, muss auch die Prüfung früher erfolgen. ### Was eine fehlende DSFA kostet Bußgeld nach Art. 83 Abs. 4 DSGVO bei fehlender DSFA der deutschen Unternehmen setzen KI bereits aktiv ein Eine unterlassene Pflicht-DSFA gilt als formeller Verstoß nach Art. 83 Abs. 4 DSGVO. Das Bußgeld reicht bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher liegt. Die Aufsichtsbehörden berücksichtigen bei der Bemessung zusätzlich, wie viele Betroffene angesprochen waren und wie das Unternehmen mit der Behörde kooperiert. Der Bitkom-Trend verschärft das Risiko zusätzlich: 41 Prozent der deutschen Unternehmen setzen KI 2026 bereits aktiv ein, doppelt so viele wie ein Jahr zuvor (Bitkom, 2026). Je mehr KI-Systeme im Einsatz sind, desto wahrscheinlicher übersieht ein Unternehmen eines davon bei der DSFA-Prüfung. Neben dem Bußgeld selbst drohen bei einem festgestellten Verstoß eine Untersagungsverfügung für das betroffene KI-System und der Aufwand einer nachträglichen DSFA unter Zeitdruck der Behörde. Beides kostet in der Praxis oft mehr Zeit als die ursprüngliche Prüfung, weil der laufende Betrieb bereits auf das System angewiesen ist. ### Warum lokale KI die DSFA seltener zur Pflicht macht Eine [lokale KI](https://gerlinger.ai/lexikon/lokale-ki), die vollständig auf eigenen oder europäischen Servern läuft, entschärft einzelne Risikofaktoren der DSFA-Prüfung: kein Datentransfer in Drittstaaten, kein Training des Anbieters mit deinen Daten, volle Kontrolle über Löschfristen. Die Pflicht zur Risikoprüfung selbst entfällt dadurch nicht: Auch eine lokale KI, die Bewerbungen bewertet oder Beschäftigte systematisch auswertet, erfüllt weiterhin Risikokriterien wie Scoring oder systematische Überwachung. Was sinkt, ist das Risikoniveau selbst und damit oft der Aufwand der DSFA, weil einzelne Risikofaktoren wie der internationale Datentransfer entfallen. Wie sich [on-premise](https://gerlinger.ai/lexikon/on-premise) und Cloud-KI in der Praxis unterscheiden, zeigt der Beitrag zu [lokaler KI im Mittelstand](https://gerlinger.ai/blog/lokale-ki-mittelstand). Unsicher, ob dein KI-Einsatz eine DSFA auslöst? Unser kostenloser [DSGVO-KI-Check](https://gerlinger.ai/leistungen/ki-beratung/ki-readiness-check) gibt dir in 5 Minuten eine erste Einordnung deiner KI-Anwendungen. ### Häufige Fehler bei der DSFA für KI-Systeme - Die DSFA erst nach dem Start durchführen. Art. 35 DSGVO verlangt die Prüfung vorab, nicht nachträglich. Eine nachgeholte DSFA schützt nicht vor dem Bußgeld für die Zeit davor. - Nur das KI-Tool prüfen, nicht den ganzen Prozess. Die DSFA muss auch die vor- und nachgelagerten Schritte erfassen, etwa wer die KI-Ausgabe wie weiterverwendet. - Den AVV mit dem Anbieter für ausreichend halten. Der AVV regelt die Auftragsverarbeitung, nicht die Risikobewertung. Beides ersetzt sich nicht gegenseitig. - Die DSFA einmalig erstellen und nie aktualisieren. Ändert sich das KI-Modell, die Datenquelle oder der Einsatzzweck wesentlich, muss die DSFA erneut geprüft werden. - Den Datenschutzbeauftragten erst am Ende einbinden. Nach Art. 35 Abs. 2 DSGVO muss der Datenschutzbeauftragte bereits während der DSFA konsultiert werden, nicht erst zur Abnahme. - Die 9 Kriterien nur oberflächlich durchgehen. Ein schnelles "trifft eher nicht zu" ohne schriftliche Begründung hält einer Prüfung durch die Aufsichtsbehörde selten stand. Aus der Digital-Erfahrung seit 2007 von Gründer Jannis Gerlinger, TÜV-zertifiziert in Verkaufspsychologie und heute mit Fokus auf KI-Systeme für den Mittelstand, zeigt sich ein wiederkehrendes Muster: Unternehmen, die die DSFA als Teil der KI-Einführung mitdenken statt als nachträgliche Hürde, verlieren dadurch keine Zeit. Sie sparen sich stattdessen die aufwendige Nachdokumentation, wenn eine Aufsichtsbehörde oder ein Kunde später danach fragt. Du willst KI-Systeme einführen, die von Anfang an DSGVO-konform aufgesetzt sind, auf europäischen Servern und mit dokumentierter Risikobewertung? [Buch dir eine kostenlose Erstberatung](https://gerlinger.ai/kontakt), in 15 Minuten klären wir deinen konkreten Anwendungsfall. Jannis Gerlinger berät kleine und mittlere Unternehmen bei der Einführung von Künstlicher Intelligenz und setzt die Lösungen selbst um: KI-Assistenten, Automationen und individuelle Web-Apps. Als Geschäftsführer der JANGER GmbH arbeitet er seit 2007 an digitalen Systemen für Handwerk, Handel und Industrie, von Onlineshops bis zu internen Werkzeugen. Seine TÜV-Zertifizierung in Verkaufspsychologie verbindet technisches Know-how mit einem tiefen Verständnis für Geschäftsprozesse. ### Häufige Fragen. Deine Frage fehlt? [Schreib mir](mailto:hallo@gerlinger.ai), ich antworte innerhalb eines Werktags. #### Wann ist eine Datenschutz-Folgenabschätzung für KI Pflicht? Eine DSFA ist Pflicht, wenn der KI-Einsatz voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Betroffenen birgt. Erfüllt dein KI-System 2 der 9 Risikokriterien der Art. 29 Datenschutzgruppe, etwa Profiling und die Verarbeitung großer Datenmengen, gilt die DSFA-Pflicht in der Regel als ausgelöst. #### Wer muss die DSFA für ein KI-System durchführen? Die DSFA ist Aufgabe des Verantwortlichen, also des Unternehmens, das die KI einsetzt, nicht des KI-Anbieters. Ein Auftragsverarbeitungsvertrag mit dem Anbieter ersetzt die eigene DSFA nicht. #### Was kostet es, eine Pflicht-DSFA zu unterlassen? Die fehlende DSFA gilt als formeller Verstoß nach Art. 83 Abs. 4 DSGVO. Das Bußgeld reicht bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. #### Was ist der Unterschied zwischen DSFA und FRIA? Die DSFA nach Art. 35 DSGVO bewertet Risiken für den Datenschutz. Die FRIA nach Art. 27 KI-VO bewertet zusätzlich Risiken für Grundrechte wie Diskriminierungsfreiheit. Die FRIA ergänzt die DSFA bei Hochrisiko-KI, ersetzt sie aber nicht, und gilt erst ab dem 2. Dezember 2027. #### Braucht jedes KI-Tool im Unternehmen eine DSFA? Nein. Ein einzelner Chatbot ohne Zugriff auf personenbezogene Daten löst meist keine DSFA-Pflicht aus. Sobald ein KI-System Kunden, Bewerber oder Beschäftigte bewertet, systematisch überwacht oder in großem Umfang auswertet, greift die Pflicht in der Regel. #### Wie lange dauert eine DSFA für ein KI-System? Für ein einzelnes, klar abgegrenztes KI-System dauert eine DSFA meist 1 bis 2 Wochen, inklusive Abstimmung mit dem Datenschutzbeauftragten. Komplexe Systeme mit mehreren Datenquellen brauchen entsprechend länger. #### Senkt lokale KI die DSFA-Pflicht? Lokale KI ohne externen Datenabfluss verringert einzelne Risikofaktoren wie den internationalen Datentransfer. Die Pflicht zur Risikoprüfung selbst entfällt dadurch nicht, das Risikoniveau und damit oft der Aufwand der DSFA sinken aber. ### Passt dazu. Drei Beiträge, die dieselbe Frage aus einem anderen Winkel beantworten. #### Art. 22 DSGVO und KI: Pflichten für Unternehmen 2026 Art. 22 DSGVO regelt automatisierte KI-Entscheidungen bei Bewerbern, Bonität und Preisen. So prüfst du deinen KI-Einsatz und bleibst compliant. #### Betriebsrat und KI: Wann Mitbestimmung Pflicht ist Betriebsrat und KI: § 87 BetrVG macht Mitbestimmung fast immer Pflicht. Welche Systeme betroffen sind und wie du es in 5 Schritten klärst. #### AVV mit KI-Anbietern: Diese Pflichten gelten 2026 Ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter ist ab dem ersten Kundendatum Pflicht: was rein muss, wer ihn 2026 anbietet und wie du ihn abschließt.