Recherche-Ratgeber · Recht/DSGVO

Datenschutz-Folgenabschätzung bei KI-Tools: Wann Selbstständige eine DSFA brauchen

Recherche-Ratgeber · Stand Oktober 2026 · kein Praxistest · veröffentlicht 26.10.2026 · 8 Min · CompareAI Editorial

Teil der Themenübersicht Recht & Datenschutz für Freelancer: Alle Ratgeber im Überblick

Hinweis: Dieser Beitrag ist eine Recherche auf Basis öffentlicher Anbieterangaben und Gesetzestexte (Stand Okt 2026), kein Praxistest. Preise und Limits können sich ändern, prüfe sie vor dem Kauf auf der verlinkten Quelle. Keine Rechts- oder Steuerberatung.

Wer einen KI-Chatbot auf die Website stellt, Kundengespräche automatisch transkribieren lässt oder Bewerbungen mit KI vorsortiert, stößt früher oder später auf den Begriff Datenschutz-Folgenabschätzung, kurz DSFA. Sie gilt als aufwendig und wird deshalb gern ignoriert. Dieser Ratgeber zeigt anhand des Gesetzes und der offiziellen Liste der deutschen Aufsichtsbehörden, in welchen KI-Fällen eine DSFA tatsächlich Pflicht ist, wann nicht – und wie eine schlanke DSFA für ein kleines Unternehmen aussieht. Keine Rechtsberatung, kein Praxistest.

Was eine DSFA ist

Nach Art. 35 Abs. 1 DSGVO muss der Verantwortliche vorab die Folgen einer Verarbeitung für den Schutz personenbezogener Daten abschätzen, wenn sie voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen zur Folge hat. Das Gesetz nennt dabei ausdrücklich die „Verwendung neuer Technologien“ als Faktor. Eine einzige Abschätzung kann mehrere ähnliche Verarbeitungen mit ähnlichen Risiken abdecken.

Art. 35 Abs. 3 zählt drei Fälle auf, in denen eine DSFA immer nötig ist: systematische und umfassende Bewertung persönlicher Aspekte als Grundlage für Entscheidungen mit Rechtswirkung (etwa Profiling), umfangreiche Verarbeitung besonderer Datenkategorien und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Die DSK-Muss-Liste: zwei Punkte betreffen KI direkt

Die Aufsichtsbehörden mussten nach Art. 35 Abs. 4 eine Liste von Verarbeitungen veröffentlichen, für die eine DSFA zwingend ist. Die deutsche Liste der Datenschutzkonferenz (Version 1.1, Stand Oktober 2018) enthält zwei Einträge, die für KI-Anwender relevant sind:

Nr.	Verarbeitung laut DSK	Typisches Einsatzfeld und Beispiele der DSK
11	Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte	Kundensupport mittels künstlicher Intelligenz; Beispiele: ein Callcenter wertet automatisiert die Stimmungslage der Anrufer aus; ein System interagiert per Konversation mit Kunden und verarbeitet für deren Beratung personenbezogene Daten
13	Automatisierte Auswertung von Video- oder Audio-Aufnahmen zur Bewertung der Persönlichkeit der Betroffenen	Telefongespräch-Auswertung mittels Algorithmen; Beispiel: automatisierte Auswertung der Stimmungslage von Anrufern

Laut DSK-Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (Muss-Liste, Version 1.1). Die Liste ist nicht abschließend.

Nr. 11 ist bemerkenswert weit: Ein KI-Chatbot, der Kundenanfragen beantwortet und dabei personenbezogene Daten verarbeitet, „steuert die Interaktion mit den Betroffenen“. Wer etwa mit Chatbase einen Support-Bot auf die Website stellt, sollte daher davon ausgehen, dass eine DSFA nötig ist – mehr dazu im Ratgeber Chatbot und DSGVO.

Was die DSK 2024 zu KI ergänzt hat

In ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Mai 2024) schreibt die DSK, dass beim Einsatz von KI-Anwendungen „vielfach“ eine DSFA erforderlich sein wird. Sie weist zugleich auf ein praktisches Problem hin: Der Anwender ist auf Informationen des KI-Anbieters angewiesen, um Risiken bewerten zu können – etwa dazu, ob Eingaben für das Training genutzt werden und wo die Daten verarbeitet werden. Fehlen diese Informationen, ist das selbst ein Risikofaktor.

Typische Fälle für Selbstständige

KI-Chatbot im Kundensupport mit Personenbezug: fällt unter Nr. 11 der Muss-Liste – DSFA in der Regel Pflicht.
Automatische Stimmungs- oder Sentimentanalyse von Kundengesprächen: ausdrückliches DSK-Beispiel, DSFA Pflicht. Manche Meeting-Tools bieten solche Analysen an; Fireflies etwa listet „Sentiment analysis“ auf seiner Preisseite.
Meeting-Transkription ohne Bewertungsfunktion: nicht ausdrücklich gelistet. Ob ein hohes Risiko besteht, hängt von Inhalt und Umfang ab; eine dokumentierte Vorprüfung ist sinnvoll. Grundlagen: Transkription und DSGVO.
Texte mit KI formulieren, ohne Kundendaten: keine personenbezogene Verarbeitung im Tool – keine DSFA. Wie du Daten vorher entfernst: Kundendaten anonymisieren.
KI-Vorauswahl von Bewerbungen: Bewertung persönlicher Aspekte, Nr. 11 – DSFA Pflicht; zusätzlich gelten Regeln des AI Act für Hochrisiko-Systeme im Beschäftigungsbereich.

Was in eine DSFA gehört

Art. 35 Abs. 7 legt den Mindestinhalt fest:

eine systematische Beschreibung der Verarbeitungsvorgänge und Zwecke,
eine Bewertung der Notwendigkeit und Verhältnismäßigkeit,
eine Bewertung der Risiken für die Betroffenen,
die geplanten Abhilfemaßnahmen, Garantien und Sicherheitsvorkehrungen.

Für einen Freelancer mit einem einzelnen KI-Chatbot kann das ein Dokument von wenigen Seiten sein. Entscheidend ist, dass die Abwägung nachvollziehbar ist und die Maßnahmen umgesetzt werden.

Vorgehen in fünf Schritten

Beschreiben: Welche Daten fließen in das Tool, von wem, wozu, wie lange? Die Angaben stehen idealerweise schon im Verarbeitungsverzeichnis.
Anbieter-Informationen sammeln: Auftragsverarbeitungsvertrag, Serverstandort, Training mit Kundendaten ja/nein, Löschfristen. OpenAI etwa erklärt, Daten aus der API und den Business-Tarifen standardmäßig nicht zum Training zu nutzen; das ersetzt aber nicht die eigene Prüfung.
Risiken benennen: falsche Auskünfte durch die KI, Offenlegung vertraulicher Daten, Drittlandübermittlung, fehlende Transparenz für Betroffene.
Maßnahmen festlegen: Hinweis auf KI im Chat, keine sensiblen Daten abfragen, Übergabe an einen Menschen, kurze Speicherfristen, Zugriffsrechte beschränken.
Restrisiko bewerten und dokumentieren: Bleibt trotz Maßnahmen ein hohes Risiko, musst du nach Art. 36 DSGVO vorab die Aufsichtsbehörde konsultieren.

Was passiert ohne DSFA?

Eine unterlassene DSFA ist ein eigenständiger Verstoß, der nach Art. 83 Abs. 4 DSGVO mit Bußgeld geahndet werden kann. Für Verarbeitungen auf der Muss-Liste ist die Argumentation, man habe kein hohes Risiko gesehen, kaum haltbar. Die DSFA ist außerdem ein guter Nachweis für die Schulungspflicht nach dem AI Act, siehe KI-Kompetenz-Pflicht.

Anbieterseiten

Affiliate-Hinweis (Werbung): Links mit Partnerstatus sind als „sponsored“ markiert. Für dich ändert sich der Preis nicht.

Chatbase öffnen Profil
Fireflies.ai öffnen Profil
ChatGPT öffnen Profil
Otter.ai öffnen Profil

FAQ

Brauche ich für ChatGPT immer eine DSFA?

Nein. Entscheidend ist, ob du personenbezogene Daten verarbeitest und wie. Wer nur eigene Texte ohne Personenbezug bearbeitet, braucht keine DSFA. Ein Support-Chatbot mit Kundendaten fällt dagegen unter die DSK-Muss-Liste.

Ist ein KI-Chatbot auf der Website DSFA-pflichtig?

Wenn er personenbezogene Daten verarbeitet, in der Regel ja: Die DSK nennt Kundensupport mittels KI ausdrücklich als Beispiel für eine DSFA-pflichtige Verarbeitung.

Wie umfangreich muss eine DSFA sein?

Art. 35 Abs. 7 DSGVO verlangt Beschreibung, Notwendigkeitsprüfung, Risikobewertung und Abhilfemaßnahmen. Bei einem einzelnen Tool reichen oft wenige Seiten.

Was ist, wenn das Risiko trotz Maßnahmen hoch bleibt?

Dann musst du vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren (Art. 36 DSGVO).

Kann ich eine DSFA für mehrere Tools machen?

Ja, eine Abschätzung darf mehrere ähnliche Verarbeitungen mit ähnlich hohen Risiken abdecken (Art. 35 Abs. 1 Satz 2 DSGVO).