Vorhaben besprechen

TOOLBOX · DOWNLOAD

KI undDatenschutzprüfen.

Sobald Beschäftigte personenbezogene Daten in einen KI-Dienst eingeben, Gespräche transkribieren oder Dokumente auswerten lassen, gilt die DSGVO, und neben ihr die KI-Verordnung. Diese Checkliste führt durch die Prüfung vor dem Einsatz: Rollen und Vertrag mit dem Anbieter, Rechtsgrundlage, Information der Betroffenen, Drittlandübermittlung und automatisierte Entscheidungen. Den Schwerpunkt bildet die Datenschutz-Folgenabschätzung: wann sie nach Art. 35 DSGVO und der österreichischen DSFA-V Pflicht ist, was sie mindestens enthält und wie sie mit der KI-Verordnung zusammenspielt.

PDF herunterladen (8 Seiten)Was drinsteht

Kostenloses PDF · Checkliste

KI und Datenschutz: Checkliste mit Datenschutz-Folgenabschätzung

Thema
KI im Unternehmen
Format
PDF, A4
Umfang
8 Seiten
Größe
105 KB
Stand
25.10.2026
Quellen
10
Nutzung
Weitergabe in unveränderter Form erlaubt
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Prüfschritte vor dem Einsatz eines KI-Dienstes, Pflicht und Mindestinhalt der Datenschutz-Folgenabschätzung, Vorprüfung nach DSFA-V und Bezug zur KI-Verordnung.

  • Datenschutzverantwortliche und Datenschutzbeauftragte, die KI-Dienste freigeben
  • Projektleitungen, die Chat-Assistenten, Transkription oder Auswertungen mit KI einführen
  • IT und Einkauf, die Verträge mit KI-Anbietern abschließen
  • Geschäftsführung, die für den rechtskonformen Einsatz verantwortlich ist

7 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    DSGVO und KI-Verordnung: was wofür gilt

    Die DSGVO regelt die personenbezogenen Daten, die KI-Verordnung das KI-System; beide gelten nebeneinander.

  • 02

    Prüfschritte vor dem Einsatz eines KI-Dienstes

    Zum Abhaken, bevor personenbezogene Daten in einen KI-Dienst fließen; je Anwendungsfall einmal durchgehen.

  • 03

    Drittland: KI-Dienste aus den USA

    Was für Übermittlungen in die USA gilt und warum Sie den Verfahrensstand vor der Entscheidung prüfen sollten.

  • 04

    Wann eine Datenschutz-Folgenabschätzung Pflicht ist

    Art. 35 DSGVO, die österreichische Liste der DSFA-V und die Ausnahmen der DSFA-AV.

  • 05

    Ablauf und Mindestinhalt der DSFA

    Was die Folgenabschätzung nach Art. 35 Abs. 7 enthalten muss und wann die Datenschutzbehörde zu konsultieren ist.

  • 06

    DSFA-Vorprüfung zum Ausfüllen

    Je KI-Anwendungsfall ausfüllen und zum Verzeichnis von Verarbeitungstätigkeiten legen.

  • 07

    Häufige Fehler

    Woran KI-Einführungen datenschutzrechtlich oft scheitern.

AUSZUG

Wann eine Datenschutz-Folgenabschätzung Pflicht ist

Eine Datenschutz-Folgenabschätzung (DSFA) ist vorab durchzuführen, wenn eine Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Art. 35 Abs. 3 nennt Regelfälle. In Österreich legt die Verordnung der Datenschutzbehörde DSFA-V fest, wann jedenfalls eine DSFA nötig ist, die DSFA-AV, wann nicht. Beide gelten seit 2018 unverändert (RIS, Fassung vom 25.10.2026).

Auslöser für eine DSFA mit Bezug zu KI-Diensten
AuslöserFundstelleWas er für KI bedeutet
Neue Technologien, welche die Abschätzung der Auswirkungen erschweren, insbesondere künstliche Intelligenz; ein Kriterium aus Z 1 bis 6 genügt§ 2 Abs. 2 Z 4 DSFA-VFür viele KI-Einsätze mit personenbezogenen Daten der wichtigste Auslöser
Bewertung oder Einstufung von Personen, ausschließlich automatisiert, mit möglichen negativen rechtlichen, physischen oder finanziellen Auswirkungen§ 2 Abs. 2 Z 1 DSFA-VEtwa KI-gestützte Vorauswahl von Bewerbungen oder Bonitätsprognosen
Systematische und umfassende Bewertung persönlicher Aspekte als Grundlage für Entscheidungen mit RechtswirkungArt. 35 Abs. 3 lit. a DSGVOProfiling mit Entscheidungen über Personen
Umfangreiche Verarbeitung besonderer Kategorien (Art. 9) oder von Strafdaten (Art. 10)Art. 35 Abs. 3 lit. b DSGVOEtwa Auswertung von Gesundheitsdaten mit KI
Zwei oder mehr Kriterien, u. a. schutzbedürftige Personen wie Arbeitnehmer, Patienten oder unmündige Minderjährige§ 2 Abs. 3 DSFA-VEtwa KI-Auswertungen über Beschäftigte zusammen mit einem weiteren Kriterium

Ausnahmen: Für die in der Anlage zur DSFA-AV beschriebenen Verarbeitungen (DSFA-A01 bis DSFA-A22, etwa Kundenverwaltung oder Personalverwaltung) ist keine DSFA nötig (§ 1 DSFA-AV, § 2 Abs. 1 DSFA-V). Ob ein KI-Einsatz noch innerhalb der Beschreibung einer Ausnahme liegt, ist im Einzelfall zu prüfen. Für Beschäftigtendaten enthält § 2 DSFA-V Sonderregeln für Fälle mit Betriebsvereinbarung oder Zustimmung der Personalvertretung.

Fällt der Einsatz unter keine Liste, hilft die Leitlinie WP 248 rev.01 der Art.-29-Datenschutzgruppe, vom Europäischen Datenschutzausschuss (EDSA) bestätigt: Sie nennt neun Kriterien, darunter Bewertung oder Scoring, automatisierte Entscheidungen, systematische Überwachung, sensible Daten, große Datenmengen, schutzbedürftige Personen und innovative Technologien. In den meisten Fällen ist bei zwei erfüllten Kriterien eine DSFA durchzuführen, manchmal schon bei einem.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. Verordnung (EU) 2016/679 (DSGVO) (öffnet in neuem Tab)Art. 5, 6, 9, 10, 13, 14, 16, 22, 28, 30, 32, 35, 36, 46
  2. DSFA-V, BGBl. II Nr. 278/2018, geltende Fassung im RIS (öffnet in neuem Tab)§ 2 Abs. 1 bis 3, Fassung vom 25.10.2026 (Stammfassung)
  3. DSFA-AV, BGBl. II Nr. 108/2018, geltende Fassung im RIS (öffnet in neuem Tab)§ 1 und Anlage DSFA-A01 bis DSFA-A22, Fassung vom 25.10.2026
  4. Art.-29-Datenschutzgruppe: Guidelines on Data Protection Impact Assessment, WP 248 rev.01 (4.10.2017) (öffnet in neuem Tab)Abschnitt III.B: neun Kriterien, Faustregel zwei Kriterien
  5. EDSA: Endorsement 1/2018 der Dokumente der Art.-29-Datenschutzgruppe (öffnet in neuem Tab)Nr. 6: WP 248 rev.01
  6. EDSA: Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models (17.12.2024) (öffnet in neuem Tab)dreistufige Prüfung des berechtigten Interesses, Rn. 129 zu Betreibern
  7. Verordnung (EU) 2024/1689 (KI-Verordnung) (öffnet in neuem Tab)Art. 4, 6, 13, 26 Abs. 9, 27, 113
  8. Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24.7.2026 (öffnet in neuem Tab)neuer Art. 4, Art. 27 Abs. 4, Art. 113 Abs. 3 lit. c; in Kraft seit 27.7.2026
  9. Durchführungsbeschluss (EU) 2023/1795 (Datenschutzrahmen EU-USA) und Rechtsmittel C-703/25 P (öffnet in neuem Tab)Art. 1; Rechtsmittel eingelegt am 31.10.2025 gegen das Urteil T-553/23 vom 3.9.2025
  10. Europäisches Parlament, Legislative Observatory: Digital Omnibus 2025/0360(COD) (öffnet in neuem Tab)Stand 25.10.2026: Awaiting committee decision; Vorschlag COM(2025) 837

Diese Checkliste ist eine Empfehlung von TOMORIS und gibt einen Überblick. Sie ersetzt keine Rechtsberatung und keine Datenschutz-Folgenabschätzung im Einzelfall; maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.

TOOLBOX

Passend
dazu.

KI IM UNTERNEHMEN

Mehr zum
Thema.

Weitere kostenlose PDFs aus dem Bereich KI im Unternehmen.

Alle Downloads zu KI im Unternehmen

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads