KI und Datenschutz: Checkliste mit Datenschutz-Folgenabschätzung

Die DSGVO gilt, sobald ein KI-Dienst personenbezogene Daten verarbeitet: in Eingaben, hochgeladenen Dateien, Aufzeichnungen, Ausgaben und Protokollen. Wer den Dienst für eigene Zwecke einsetzt, ist Verantwortlicher; der Anbieter ist Auftragsverarbeiter, wenn er nur nach Weisung verarbeitet. Bestimmt er Zwecke und Mittel selbst, etwa indem er Eingaben für eigene Zwecke nutzt, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Die KI-Verordnung (VO (EU) 2024/1689, geändert durch VO (EU) 2026/1744) regelt daneben Pflichten für Anbieter und Betreiber von KI-Systemen; sie ersetzt keine Prüfung nach der DSGVO.

Im Verfahren, nicht geltendes Recht: Der Digital-Omnibus-Vorschlag COM(2025) 837 (Verfahren 2025/0360(COD), Stand 25.10.2026 laut Legislative Observatory im Ausschuss) würde unter anderem EU-weit einheitliche Listen für die Datenschutz-Folgenabschätzung einführen und Regeln zur Verarbeitung für KI-Entwicklung und -Betrieb ergänzen. Bis zu einer Kundmachung gelten Art. 35 DSGVO und die österreichischen Verordnungen DSFA-V und DSFA-AV.

• Anwendungsfall beschrieben: Welche Daten, welcher Zweck, welche Personen sind betroffen, welche Ausgaben werden wie verwendet
• Rollen geklärt: Sie als Verantwortlicher, der Anbieter als Auftragsverarbeiter, und es ist vertraglich ausgeschlossen, dass er Eingaben für eigene Zwecke nutzt, oder diese Nutzung ist bewusst bewertet
• Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen, mit Unterauftragsverarbeitern, Orten der Verarbeitung und Löschfristen
• Rechtsgrundlage nach Art. 6 festgelegt; bei berechtigtem Interesse die dreistufige Prüfung (Interesse, Erforderlichkeit, Abwägung) dokumentiert, wie sie der EDSA in der Stellungnahme 28/2024 beschreibt
• Besondere Kategorien nach Art. 9 (z. B. Gesundheitsdaten) und Strafdaten nach Art. 10 nur mit eigener Grundlage, sonst technisch und organisatorisch ausgeschlossen
• Datenminimierung nach Art. 5 Abs. 1 lit. c: nur nötige Daten, wo möglich pseudonymisiert oder ohne Personenbezug
• Information der Betroffenen nach Art. 13 und 14 ergänzt, etwa in Datenschutzerklärung, Mitarbeiterinformation oder Gesprächshinweis
• Drittlandübermittlung geprüft: Angemessenheitsbeschluss oder Garantien nach Kapitel V, auch für Support und Unterauftragsverarbeiter
• Keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung ohne Grundlage nach Art. 22 Abs. 2 und Schutzmaßnahmen nach Abs. 3
• Betroffenenrechte umsetzbar: Auskunft, Berichtigung falscher Ausgaben, Löschung von Eingaben und Protokollen
• Herkunft des Modells hinterfragt: Laut EDSA berücksichtigen Aufsichtsbehörden, ob der Betreiber angemessen geprüft hat, dass das Modell nicht durch rechtswidrige Verarbeitung entwickelt wurde (Stellungnahme 28/2024, Rn. 129)
• Technische und organisatorische Maßnahmen nach Art. 32: Zugriff, Protokollierung, Speicherdauer, Konfiguration des Dienstes
• Eintrag im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 ergänzt
• Prüfung auf Datenschutz-Folgenabschätzung durchgeführt und dokumentiert (siehe Vorprüfung)
• KI-Kompetenz der Nutzenden nach Art. 4 KI-VO durch Schulung und Regeln unterstützt

Die Checkliste ist eine Empfehlung von TOMORIS. Gesetzlich vorgegeben sind die genannten Pflichten der DSGVO und der KI-Verordnung; welche davon für Ihren Anwendungsfall greifen, hängt von Daten, Zweck und Dienst ab.

Viele KI-Dienste werden von Anbietern in den USA betrieben oder unterstützt. Für Übermittlungen an Organisationen, die in der Data Privacy Framework List des U.S. Department of Commerce eingetragen sind, besteht ein Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795, Art. 1). Für andere Empfänger brauchen Sie Garantien nach Art. 46 DSGVO, etwa Standardvertragsklauseln. Das Gericht der EU hat eine Klage gegen den Beschluss am 3.9.2025 abgewiesen (T-553/23); dagegen wurde am 31.10.2025 Rechtsmittel beim Gerichtshof eingelegt (C-703/25 P), über das bis 25.10.2026 kein Urteil veröffentlicht ist. Prüfen Sie vor der Entscheidung, ob der Empfänger eingetragen ist und wie das Verfahren steht.

Eine Datenschutz-Folgenabschätzung (DSFA) ist vorab durchzuführen, wenn eine Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Art. 35 Abs. 3 nennt Regelfälle. In Österreich legt die Verordnung der Datenschutzbehörde DSFA-V fest, wann jedenfalls eine DSFA nötig ist, die DSFA-AV, wann nicht. Beide gelten seit 2018 unverändert (RIS, Fassung vom 25.10.2026).

Ausnahmen: Für die in der Anlage zur DSFA-AV beschriebenen Verarbeitungen (DSFA-A01 bis DSFA-A22, etwa Kundenverwaltung oder Personalverwaltung) ist keine DSFA nötig (§ 1 DSFA-AV, § 2 Abs. 1 DSFA-V). Ob ein KI-Einsatz noch innerhalb der Beschreibung einer Ausnahme liegt, ist im Einzelfall zu prüfen. Für Beschäftigtendaten enthält § 2 DSFA-V Sonderregeln für Fälle mit Betriebsvereinbarung oder Zustimmung der Personalvertretung.

Fällt der Einsatz unter keine Liste, hilft die Leitlinie WP 248 rev.01 der Art.-29-Datenschutzgruppe, vom Europäischen Datenschutzausschuss (EDSA) bestätigt: Sie nennt neun Kriterien, darunter Bewertung oder Scoring, automatisierte Entscheidungen, systematische Überwachung, sensible Daten, große Datenmengen, schutzbedürftige Personen und innovative Technologien. In den meisten Fällen ist bei zwei erfüllten Kriterien eine DSFA durchzuführen, manchmal schon bei einem.

1. 1

   Verarbeitung systematisch beschreiben

   Vorgänge, Zwecke und gegebenenfalls die berechtigten Interessen (Art. 35 Abs. 7 lit. a): Datenflüsse vom Eingeben über das Modell bis zur Ausgabe, Speicherung und Protokollierung beim Anbieter, beteiligte Unterauftragsverarbeiter.

2. 2

   Notwendigkeit und Verhältnismäßigkeit bewerten

   Ist die Verarbeitung für den Zweck erforderlich, gibt es mildere Mittel, etwa ohne Personenbezug oder mit weniger Daten (lit. b)?

3. 3

   Risiken für Betroffene bewerten

   Risiken für Rechte und Freiheiten (lit. c), bei KI etwa falsche Ausgaben über Personen, Weitergabe vertraulicher Eingaben, Diskriminierung durch Bewertungen, fehlende Nachvollziehbarkeit. Bei Hochrisiko-KI die Informationen des Anbieters nach Art. 13 KI-VO nutzen (Art. 26 Abs. 9 KI-VO).

4. 4

   Abhilfemaßnahmen festlegen

   Garantien, Sicherheitsvorkehrungen und Verfahren (lit. d), etwa Datenminimierung, menschliche Prüfung vor Entscheidungen, Zugriffsbeschränkung, kurze Speicherfristen, Schulung.

5. 5

   Beteiligen

   Den Rat des Datenschutzbeauftragten einholen, falls benannt (Art. 35 Abs. 2), und gegebenenfalls den Standpunkt der Betroffenen oder ihrer Vertreter, etwa des Betriebsrats (Abs. 9).

6. 6

   Restrisiko entscheiden

   Bleibt trotz Maßnahmen ein hohes Risiko, vor der Verarbeitung die Datenschutzbehörde konsultieren (Art. 36 Abs. 1); sie hat bis zu acht Wochen Zeit, verlängerbar um sechs Wochen (Abs. 2).

7. 7

   Überprüfen

   Erforderlichenfalls prüfen, ob die Verarbeitung der DSFA entspricht, zumindest wenn sich das Risiko ändert (Art. 35 Abs. 11), etwa bei neuem Modell, neuen Funktionen oder neuem Anbieter.

• Privates Konto statt Firmenvertrag: Ohne Vertrag nach Art. 28 und Konfiguration ist offen, was der Anbieter mit den Eingaben tut.
• DSFA erst nach dem Start: Sie ist vorab durchzuführen (Art. 35 Abs. 1); nachträglich lassen sich Grundentscheidungen oft nur schwer ändern.
• Nur die KI-Verordnung geprüft: Ein KI-System, das nicht hochriskant ist, kann trotzdem eine DSFA nach DSGVO und DSFA-V erfordern.
• Ausgaben ungeprüft übernommen: Falsche Angaben über Personen sind unrichtige Daten; Betroffene haben ein Recht auf Berichtigung (Art. 16 DSGVO).
• Protokolle vergessen: Eingaben und Verläufe werden oft beim Anbieter und im eigenen System gespeichert; Speicherdauer und Zugriff gehören in die Prüfung.