Das Wichtigste in Kürze
- Eine Datenschutz-Folgenabschätzung (DSFA) ist vor dem Start nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Menschen hat (Art. 35 Abs. 1 Datenschutz-Grundverordnung, DSGVO). Für kirchliche Träger gelten § 35 des Gesetzes über den Kirchlichen Datenschutz (KDG) und § 34 des Datenschutzgesetzes der Evangelischen Kirche in Deutschland (DSG-EKD).
- Ob ein KI-Werkzeug das auslöst, zeigt eine schriftliche Vorprüfung: Gesetz, Muss-Liste der Aufsichtsbehörden und die neun Kriterien der Artikel-29-Datenschutzgruppe. Zwei zutreffende Kriterien sprechen für eine DSFA.
- Geprüft wird die Verarbeitung im Träger, nicht das Produkt: Dasselbe Werkzeug kann bei einem Einsatz eine DSFA auslösen und bei einem anderen nicht.
- Die Leitung des Trägers verantwortet die DSFA, der Datenschutzbeauftragte berät dazu und begleitet die Durchführung. Bleibt ein hohes Restrisiko, ist vor dem Start die Datenschutzaufsicht zu konsultieren (Art. 36 DSGVO).
- Die Grundrechte-Folgenabschätzung der KI-Verordnung (Art. 27) ist eine andere Prüfung: Sie betrifft nur bestimmte Betreiber von Hochrisiko-Systemen nach Anhang III und gilt ab dem 2. Dezember 2027, mit Übergangsregel für ältere Systeme.
Datenschutz-Folgenabschätzung (Kürzel DSFA, auch Datenschutzfolgenabschätzung geschrieben) ist die schriftliche Prüfung, die der Träger als Verantwortlicher vor Beginn einer Verarbeitung durchführt, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen hat. Sie beschreibt die Verarbeitung, bewertet Notwendigkeit und Risiken und legt Abhilfemaßnahmen fest (Art. 35 Abs. 1 und 7 DSGVO).
Verantwortlicher im Sinne der DSGVO ist der Träger, der über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7). Kirchliche Träger wenden das KDG (katholisch) oder das DSG-EKD (evangelisch) an.
Wann braucht ein KI-Werkzeug eine Datenschutz-Folgenabschätzung?
Nach dem Gesetz ist die DSFA nötig, wenn eine Verarbeitung, insbesondere mit neuen Technologien, voraussichtlich ein hohes Risiko hat. Ob KI eine neue Technologie in diesem Sinn ist, sagt das Gesetz nicht. Bei KI verlangt die Datenschutzkonferenz (DSK), der Zusammenschluss der Aufsichtsbehörden von Bund und Ländern, vorab eine Prüfung des Risikos. Sie geht davon aus, dass beim Einsatz von KI-Anwendungen „vielfach“ eine DSFA erforderlich ist (Orientierungshilfe Künstliche Intelligenz und Datenschutz, Rn. 38 und 39). Drei Wege helfen bei der Einordnung.
| Weg | Was er liefert | Fundstelle |
|---|---|---|
| Regelbeispiele im Gesetz | Nötig insbesondere bei umfassender automatisierter Bewertung persönlicher Aspekte als Grundlage erheblicher Entscheidungen und bei umfangreicher Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten | Art. 35 Abs. 3 DSGVO; § 35 Abs. 4 KDG; § 34 Abs. 3 DSG-EKD |
| Muss-Listen der Aufsichtsbehörden | Verarbeitungen, für die eine DSFA durchzuführen ist: Liste der DSK für nichtöffentliche Stellen (17. Oktober 2018), katholische Liste (26. Juli 2018), evangelische Liste (28. November 2018) | Art. 35 Abs. 4 DSGVO; § 35 Abs. 5 KDG; § 34 Abs. 5 DSG-EKD |
| Neun Kriterien der Artikel-29-Gruppe | Prüfraster für alles, was auf keiner Liste steht | Leitlinien WP 248 rev.01 |
Keine Liste ist abschließend. Steht eine Tätigkeit nicht darauf, entscheiden Gesetz und Kriterien (DSK-Liste, Hinweis 1; katholische und evangelische Liste, jeweils Abschnitt B).
| Liste | Einträge für Träger der Sozialen Arbeit und Pflege |
|---|---|
| DSK, nichtöffentliche Stellen | Umfangreiche Daten unter Sozial-, Berufs- oder besonderem Amtsgeheimnis, auch ohne besondere Kategorien (Nr. 3, Einsatzfeld: Träger großer sozialer Einrichtungen); umfangreiche Verhaltensdaten von Beschäftigten (Nr. 8); KI zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte (Nr. 11); Audio-Auswertung zur Bewertung der Persönlichkeit (Nr. 13) |
| Katholische Liste | Umfangreiche Daten unter Sozial- oder Berufsgeheimnis (Nr. 1); umfangreiche Verhaltensdaten von Beschäftigten (Nr. 7); Audio-Auswertung zur Bewertung der Persönlichkeit (Nr. 9); Daten nach §§ 11 und 12 KDG (besondere Kategorien und Straftaten), die zur Bestimmung der Leistungsfähigkeit von Beschäftigten verwendet werden (Nr. 13); umfangreiche Daten über Kinder (Nr. 15) |
| Evangelische Liste | Umfangreiche Daten unter Sozial- oder Berufsgeheimnis (Nr. 2); umfangreiche Verhaltensdaten von Beschäftigten (Nr. 4); Audio-Auswertung zur Bewertung der Persönlichkeit (Nr. 14) |
Bei den Verhaltensdaten von Beschäftigten zählen nur Daten, die so zur Bewertung der Arbeitstätigkeit eingesetzt werden können, dass sich Rechtsfolgen ergeben oder die Betroffenen erheblich beeinträchtigt werden. Beide kirchlichen Listen nennen KI nicht ausdrücklich. Für öffentliche Stellen haben die Aufsichten eigene Listen veröffentlicht (Orientierungshilfe, Fußnote 2); sie sind hier nicht ausgewertet.
Neun Kriterien: Wann zwei Treffer für eine DSFA sprechen
2017 hat die Artikel-29-Datenschutzgruppe, der Vorläufer des Europäischen Datenschutzausschusses (EDSA), neun Kriterien für ein hohes Risiko benannt; der EDSA hat die Leitlinien bestätigt. Zwei zutreffende Kriterien sprechen für eine DSFA, im Einzelfall genügt eines.
| Kriterium | Beispiel im Träger |
|---|---|
| 1. Bewerten oder Einstufen (Scoring, Profiling, Vorhersagen) | KI, die Verläufe oder Risiken einzelner Personen einschätzt |
| 2. Automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung | Ein System entscheidet über Aufnahme oder Absage, ohne dass eine Person prüft |
| 3. Systematische Überwachung | Protokolle zum Verhalten Beschäftigter; je nach Ausgestaltung eine Spracherkennung, die Gespräche laufend mithört |
| 4. Sensible oder höchst persönliche Daten | Verlaufsnotizen, Hilfepläne, Pflegedokumentation |
| 5. Große Datenmenge (Zahl der Betroffenen, Datenmenge, Dauer, Ausdehnung) | Ein Werkzeug mit Zugriff auf die Dokumentation des ganzen Trägers |
| 6. Abgleichen oder Zusammenführen von Datensätzen | Ein Assistent, der Postfächer, Ablagen und Chats verbindet |
| 7. Schutzbedürftige Betroffene (etwa Kinder, Patienten, ältere Menschen, psychisch Kranke, Asylsuchende, Beschäftigte) | Klientinnen und Klienten, Bewohnerinnen und Bewohner, Beschäftigte |
| 8. Neue Technik (nach dem Stand der Technik) | Ein KI-Verfahren, das nach dem Stand der Technik neuartig ist; dass es dem Träger neu ist, genügt nicht |
| 9. Hindern an der Ausübung eines Rechts oder an einer Leistung | Ein System, das mitsteuert, wer einen Platz erhält |
Gezählt werden die zutreffenden Kriterien unabhängig von den Maßnahmen, die der Verantwortliche vorsieht (WP 248, Abschnitt III.B.a). Ebenso verlangt der Beauftragte für den Datenschutz der EKD (BfD EKD), Maßnahmen erst als Teil der DSFA auszuwählen (Beitrag vom 18. November 2024).
Muster: Spracherkennung für die Dokumentation
An einem Verfahren, das in Pflege, Eingliederungshilfe, Jugendhilfe und Beratung denkbar ist, zeigt das Muster, was eine DSFA enthält: Fachkräfte sprechen Verlaufsnotizen ein, ein Dienstleister wandelt sie in Text um. Es sind Mustereinträge; sie beschreiben keinen bestimmten Träger. Gegliedert ist das Muster entlang des Mindestinhalts des Gesetzes (Art. 35 Abs. 7 Buchst. a bis d DSGVO, § 35 Abs. 7 KDG, § 34 Abs. 4 DSG-EKD), ergänzt um Beteiligung und Restrisiko.
| Bestandteil | Mustereintrag |
|---|---|
| Verarbeitung beschreiben (Buchst. a) | Wer spricht wann ein? Welche Daten entstehen? Wohin geht die Aufnahme, wer verarbeitet sie, wann wird sie gelöscht? Wer prüft den Entwurf? |
| Zweck eng fassen (Buchst. a) | „Erstellung der Verlaufsdokumentation im Wohnbereich“, nicht „Dokumentation“; zu allgemein ist auch „Dokumentenmanagement“ (BfD EKD) |
| Notwendigkeit und Verhältnismäßigkeit (Buchst. b) | Warum Spracherkennung? Was wäre milder, etwa Tippen oder ein Diktat statt eines Mitschnitts? Welche Rechtsgrundlage trägt die Dokumentation? |
| Risiken für die Betroffenen (Buchst. c) | Offenlegung vertraulicher Angaben gegenüber dem Dienstleister, Fehlzuordnung durch Erkennungsfehler, Nutzung der Aufnahmen für fremde Zwecke; je Risiko Schwere und Eintrittswahrscheinlichkeit (Erwägungsgrund 75) |
| Abhilfemaßnahmen (Buchst. d) | Vertrag zur Auftragsverarbeitung, Verpflichtung zur Geheimhaltung, kein Training mit den Aufnahmen, kurze Löschfrist, Prüfung jedes Entwurfs durch die Fachkraft |
| Beteiligte hören (Art. 35 Abs. 2 und 9) | Rat des Datenschutzbeauftragten mit Datum, Vertretung der Beschäftigten, gegebenenfalls Standpunkt der Betroffenen |
| Restrisiko und Überprüfung (Art. 35 Abs. 11, Art. 36) | Welches Risiko bleibt? Freigabe, Anpassung oder Verzicht durch die Leitung; bei hohem Restrisiko Konsultation der Aufsicht. Anlässe zur Überprüfung: Update mit neuer Funktion, anderer Dienstleister, neuer Einsatzzweck |
Schon beim Diktat treffen sensible Daten (4) und schutzbedürftige Betroffene (7) zusammen; damit sprechen zwei Kriterien für eine DSFA. Ob auch neue Technik im Sinne des Kriteriums 8 vorliegt, ist im Einzelfall zu beurteilen. Hört das Programm während des Gesprächs mit, kann Kriterium 3 hinzukommen. Der Beitrag zur KI-Dokumentation mit Spracherkennung verlangt bei Mitschnitt und Mithören eine DSFA und beim Diktat eine schriftliche Vorprüfung, die das Ergebnis begründet; im Zweifel ist die DSFA zu erstellen.
Wo die Schwelle „umfangreich“ liegt, sagt das Gesetz nicht. Für Pflegeeinrichtungen hat der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg 2019 festgehalten: Schon die Pflicht, für jede betroffene Person eine Pflegedokumentation zu führen, macht die Verarbeitung umfangreich (FAQ Pflege, Frage 26). Erwägungsgrund 91 nimmt den einzelnen Arzt, den sonstigen Angehörigen eines Gesundheitsberufs und den Rechtsanwalt aus; dem Wortlaut nach gilt das für Einzelpersonen, nicht für Einrichtungen.
Assistent, Microsoft 365 Copilot, KI in der Fachsoftware: derselbe Maßstab
Ein Assistent, der Texte entwirft, bedient je nach Einsatz verschiedene Verarbeitungen, etwa die Zusammenfassung eines öffentlichen Textes oder einen Brief an eine Klientin. Jede hat einen eigenen Zweck, eigene Daten und ein eigenes Risiko. Mehrere ähnliche Vorgänge mit ähnlich hohen Risiken kann eine gemeinsame Abschätzung abdecken (Art. 35 Abs. 1 Satz 2 DSGVO).
Der Beitrag zu Microsoft 365 Copilot bei sozialen Trägern begründet, weshalb eine DSFA bei erreichbarer Klientendokumentation naheliegt und weshalb ich für einen Pilot ohne Klientendaten eine dokumentierte Vorprüfung empfehle. Das KI-Verzeichnis zeigt, welche Werkzeuge laufen.
Kommt eine KI-Funktion per Update in die Fachsoftware, ist zu prüfen, ob die Verarbeitung noch zur vorhandenen DSFA passt. Hat sich das Risiko geändert, ist die DSFA zu überprüfen und anzupassen (Art. 35 Abs. 11 DSGVO, § 35 Abs. 10 KDG, § 34 Abs. 8 DSG-EKD; DSK, Kurzpapier Nr. 5). Die Fragen an den Hersteller führt der Beitrag zur KI-Funktion in der Fachsoftware auf.
Für die DSFA braucht der Träger Angaben des Herstellers; die DSK rät, schon bei Auswahl und Erwerb darauf zu achten, dass der Anbieter sie bereitstellt (Orientierungshilfe, Rn. 40). Ein Auftragsverarbeiter muss den Verantwortlichen bei der DSFA unterstützen (Art. 28 Abs. 3 Buchst. f DSGVO). Eine DSFA des Herstellers kann die eigene Abschätzung vorbereiten, ersetzt sie aber nicht (WP 248, Abschnitt III.A).
Wie läuft eine DSFA im Träger ab?
Das Gesetz schreibt keine Methode vor, nur den Mindestinhalt (Art. 35 Abs. 7 DSGVO). Die DSK empfiehlt ein Team aus Datenschutz, Risikoermittlung und Fachprozessen (Kurzpapier Nr. 5).
- Grenzen Sie die Verarbeitung ab. Beschreiben Sie die Tätigkeit im Träger, nicht das Produkt (so der BfD EKD, Beitrag): wer, welche Daten, welche Systeme, wohin, wie lange. Ausgangspunkt kann das Verarbeitungsverzeichnis sein. Fassen Sie den Zweck eng.
- Machen Sie die Vorprüfung schriftlich. Prüfen Sie Regelbeispiele, Muss-Liste und die neun Kriterien. Halten Sie Ergebnis und Gründe fest, auch wenn keine DSFA folgt (DSK, Kurzpapier Nr. 5).
- Legen Sie die Beteiligten fest. Beteiligen Sie Leitung, Fachbereich, IT, Datenschutzbeauftragte und bei Bedarf den Anbieter. Holen Sie gegebenenfalls den Standpunkt der Betroffenen oder ihrer Vertreter ein (Art. 35 Abs. 9 DSGVO); das KDG nennt nur die betroffene Person (§ 35 Abs. 8), das DSG-EKD enthält dazu keine Regel. Die DSK nennt Gremien der Mitbestimmung, etwa Betriebsräte; bei kirchlichen Trägern kommt die Mitarbeitervertretung (katholisch) oder Mitarbeitendenvertretung (evangelisch) in Betracht.
- Bewerten Sie Notwendigkeit und Verhältnismäßigkeit. Prüfen Sie Rechtsgrundlage und Datenminimierung und suchen Sie mildere Wege, etwa das Diktat statt des Mitschnitts.
- Bewerten Sie die Risiken. Aus Sicht der Betroffenen, nach Schwere und Eintrittswahrscheinlichkeit (Erwägungsgrund 90), zunächst ohne die geplanten Schutzmaßnahmen (WP 248, Abschnitt III.B.a; BfD EKD, Beitrag).
- Legen Sie Abhilfemaßnahmen fest. Dazu zählen technische und organisatorische Maßnahmen, Verträge und Rollen. Halten Sie das verbleibende Restrisiko fest.
- Entscheiden Sie vor dem Start. Die Leitung gibt frei, ändert oder verzichtet. Nach Auffassung der DSK darf die Verarbeitung erst beginnen, wenn die Maßnahmen umgesetzt sind.
- Halten Sie die DSFA aktuell. Testen Sie die Maßnahmen und prüfen Sie erneut, sobald sich das Risiko ändert (Art. 35 Abs. 11 DSGVO; DSK, Kurzpapier Nr. 5).
Verantwortlich bleibt der Träger, auch wenn er Dritte mit dem Entwurf beauftragt (WP 248, Abschnitt III.D.b). Den Rat des Datenschutzbeauftragten holt er ein, sofern einer benannt ist (Art. 35 Abs. 2 DSGVO, § 35 Abs. 2 KDG, § 34 Abs. 2 DSG-EKD, dort „örtlich Beauftragte“). Nach der DSGVO berät der Datenschutzbeauftragte auf Anfrage und überwacht die Durchführung (Art. 39 Abs. 1 Buchst. c). Nach dem DSG-EKD berät er und überwacht die Durchführung (§ 38 Nr. 5); nach dem KDG berät er auf Anfrage und unterstützt die Überprüfung (§ 38 Satz 3 Buchst. d).
Bei weltlichen freien Trägern ist ein Datenschutzbeauftragter unabhängig von der Zahl der Beschäftigten zu benennen, sobald eine Verarbeitung einer DSFA unterliegt (§ 38 Abs. 1 Satz 2 Bundesdatenschutzgesetz, kurz BDSG). Für kirchliche Träger regeln § 36 KDG und § 36 DSG-EKD die Benennung, ohne die DSFA als Auslöser zu nennen. Mehr dazu steht im Beitrag zur Pflicht zum Datenschutzbeauftragten.
Unabhängig davon bleibt die Mitbestimmung der Beschäftigtenvertretung bestehen. Wie sie verläuft, beschreibt der Beitrag zur Mitbestimmung bei der Einführung von KI.
Meine Empfehlung
Die Vorprüfung sollte eine feste Station sein: vor jeder Beschaffung eines KI-Werkzeugs und vor jeder Freischaltung einer KI-Funktion, sobald das Werkzeug personenbezogene Daten erreichen kann. Ein Formular von einer Seite hält die Vorprüfung nach Schritt 2 fest, dazu die Stellungnahme des Datenschutzbeauftragten; die Leitung unterschreibt. Ergibt die Vorprüfung, dass eine DSFA nötig ist, folgt die vollständige DSFA. Bleibt offen, ob sie nötig ist, würde ich sie erstellen (WP 248, Abschnitt III.B.a).
Wenn ein hohes Restrisiko bleibt: Konsultation der Aufsicht
Zeigt die DSFA, dass trotz der Maßnahmen ein hohes Risiko bleibt, konsultiert der Verantwortliche vor der Verarbeitung die Aufsichtsbehörde (Art. 36 Abs. 1 DSGVO, § 35 Abs. 11 KDG, § 34 Abs. 9 DSG-EKD). Hält die Aufsicht die Verarbeitung für nicht vereinbar mit der DSGVO, unterbreitet sie innerhalb von bis zu acht Wochen schriftliche Empfehlungen. Die Frist kann um sechs Wochen verlängert und ausgesetzt werden, bis angeforderte Informationen vorliegen (Art. 36 Abs. 2). KDG und DSG-EKD nennen in diesen Vorschriften keine Frist. Nur das KDG regelt ausdrücklich, dass der Verantwortliche der Aufsicht schon bei der Erstellung der DSFA den Sachverhalt zur Stellungnahme vorlegen kann, wenn er nach Anhörung des Datenschutzbeauftragten die Durchführung ohne die Aufsicht für nicht möglich hält (§ 35 Abs. 3).
Fehlt eine erforderliche DSFA, kann die Aufsicht das beanstanden. Nach der DSGVO gehören die Pflichten der Art. 35 und 36 zu denen, deren Verletzung mit einer Geldbuße geahndet werden kann (Art. 83 Abs. 4 Buchst. a). Für kirchliche Träger regeln § 51 KDG und § 45 DSG-EKD die Geldbuße eigenständig; beide schränken sie für bestimmte kirchliche Stellen ein (§ 51 Abs. 6 KDG, § 45 Abs. 1 Satz 2 DSG-EKD). Das Aufsichtsverfahren beschreibt der Beitrag zum Ablauf einer Beschwerde bei der Datenschutzaufsicht.
Datenschutz-Folgenabschätzung oder Grundrechte-Folgenabschätzung?
„Hohes Risiko“ ist ein Begriff des Datenschutzrechts, „Hochrisiko-System“ einer der KI-Verordnung. Einen Schreibassistenten und eine Spracherkennung führt Anhang III der KI-Verordnung nicht auf; mit Klientendaten können sie aber eine DSFA auslösen. Anhang III nennt unter anderem KI zur Auswahl von Bewerbern oder zur Bewertung von Beschäftigten (Nr. 4) und Emotionserkennung (Nr. 1 Buchst. c). Näheres steht in den Beiträgen zur KI in Bewerbung und Personaleinsatz und zur KI-Verordnung für soziale Träger.
| Punkt | Datenschutz-Folgenabschätzung | Grundrechte-Folgenabschätzung |
|---|---|---|
| Grundlage | Art. 35 DSGVO; § 35 KDG; § 34 DSG-EKD | Art. 27 KI-Verordnung |
| Auslöser | Verarbeitung personenbezogener Daten mit voraussichtlich hohem Risiko, mit oder ohne KI | Inbetriebnahme eines Hochrisiko-KI-Systems nach Anhang III, außer Nr. 2 |
| Wen es trifft | Jeden Verantwortlichen | Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen (Erwägungsgrund 96 nennt dafür unter anderem Sozialdienste), sowie Betreiber nach Anhang III Nr. 5 Buchst. b und c. Ob freie Träger dazugehören, ist ungeklärt |
| Gegenstand | Risiken für Rechte und Freiheiten durch die Verarbeitung von Daten | Auswirkungen auf Grundrechte: Verfahren, betroffene Gruppen, Schadensrisiken, menschliche Aufsicht, Maßnahmen im Schadensfall |
| Zeitpunkt | Vor der Verarbeitung | Vor der ersten Verwendung. Für Systeme nach Anhang III gilt ab |
Betreiber von Hochrisiko-Systemen verwenden gegebenenfalls die Informationen, die der Anbieter nach Art. 13 bereitstellt, für ihre DSFA (Art. 26 Abs. 9 KI-Verordnung). Ist eine Pflicht des Art. 27 schon durch eine DSFA erfüllt, kann der Betreiber in der Grundrechte-Folgenabschätzung auf die einschlägigen Abschnitte der DSFA verweisen oder die einschlägigen Teile übernehmen (Art. 27 Abs. 4).
Diese Fassung des Art. 27 Abs. 4 stammt aus der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) und ist seit dem 27. Juli 2026 in Kraft. Anzuwenden sind Art. 26 und 27 für Systeme nach Anhang III erst ab dem 2. Dezember 2027 (Art. 113 Abs. 3 Buchst. c). Für Systeme, die davor in Verkehr gebracht oder in Betrieb genommen wurden, gilt die KI-Verordnung nur nach einer erheblichen Änderung der Konzeption. Bei Systemen, die Behörden verwenden sollen, sind die nötigen Maßnahmen in jedem Fall bis zum 2. August 2030 zu treffen (Art. 111 Abs. 2). Die frühere Fassung bestimmte, dass die Grundrechte-Folgenabschätzung die DSFA ergänzt.
Was nur vorgeschlagen ist und was offen bleibt
| Gegenstand | Status | Fundstelle |
|---|---|---|
| EU-weite Listen und gemeinsame Vorlage für die DSFA (Digital-Omnibus zum Datenrecht); bis die Kommission den Durchführungsrechtsakt erlässt, gelten die Listen der Aufsichten weiter | Vorschlag | COM(2025) 837 final, Art. 35 DSGVO neu |
| Vorlage des EDSA für die DSFA, Version 1.0 | Entwurf Konsultation vom 14. April bis 9. Juni 2026 abgeschlossen, Endfassung nicht veröffentlicht | EDSA, Template for Data Protection Impact Assessment |
| Zusage des Bundes, bis 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen; nach dem Wortlaut entfiele auch die Benennungspflicht bei einer DSFA (Satz 2). Ein Entwurf ist mir nicht bekannt | Vorschlag | Föderale Modernisierungsagenda, Abschnitt III Nr. 2.2 |
Nach dem Legislative Observatory des Europäischen Parlaments wartet der Vorschlag auf die Entscheidung der zuständigen Ausschüsse (Awaiting committee decision). Weitere Vorschläge daraus führt der Fristenkalender zur KI-Verordnung und zum Datenschutz auf.
Offen bleibt, ob die kirchlichen Listen von 2018 ersetzt wurden, ob freie Träger eine Grundrechte-Folgenabschätzung durchführen müssen und ab welchem Umfang eine Verarbeitung in Beratung, Kita und Jugendhilfe „umfangreich“ ist. Wer ab Dezember 2027 ein Hochrisiko-System betreiben will, plant die Abschätzung deshalb vorsorglich ein. Bei meiner Suche fanden sich weder eine gefestigte Auslegung zur DSFA bei Spracherkennung in der Sozialen Arbeit noch das Muster für einen Fragebogen zur Grundrechte-Folgenabschätzung, das das Büro für Künstliche Intelligenz erarbeiten soll (Art. 27 Abs. 5).
Welche KI-Anwendungen in Ihrem Träger laufen und wo eine Folgenabschätzung in Betracht kommt, zeigt das Verzeichnis im KI-Check; die Folgenabschätzung selbst führt Ihr Träger durch.
Stand: 21. Oktober 2026. Geprüft sind die DSGVO im Amtsblatt-Text mit den Artikeln und Erwägungsgründen der Quellenliste, § 38 BDSG, § 35 KDG in der Fassung des Beschlusses vom 24. November 2025 (gleichlautend in drei Veröffentlichungen), § 36, § 38 und § 51 KDG nach der Veröffentlichung des Bistums Hildesheim, § 34, § 36, § 38 und § 45 DSG-EKD in der Fassung ab 1. Mai 2025, die KI-Verordnung in der konsolidierten Fassung vom 27. Juli 2026 und die Konsultationsseite des EDSA zur DSFA-Vorlage. Den geltenden Stand des KDG nennt Ihr Bistum. Nicht geprüft sind Listen für öffentliche Stellen und Landesrecht; ob die kirchlichen Listen ersetzt wurden, ließ sich nicht feststellen.
Fragen zur Datenschutz-Folgenabschätzung
Wann ist eine Datenschutz-Folgenabschätzung notwendig?
Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen hat, insbesondere bei neuer Technik und bei umfangreicher Verarbeitung von Gesundheitsdaten (Art. 35 Abs. 1 und 3 DSGVO). Ob das zutrifft, klärt vorab eine schriftliche Vorprüfung anhand von Gesetz, Muss-Liste und den neun Kriterien.
Braucht Microsoft 365 Copilot eine DSFA?
Greift Copilot auf umfangreiche Klientendokumentation zu, liegt eine DSFA nahe. Für einen Pilot ohne Klientendaten empfehle ich eine dokumentierte Vorprüfung; die Begründung steht im Beitrag zu Microsoft 365 Copilot.
Wer erstellt die Datenschutz-Folgenabschätzung?
Der Verantwortliche führt sie durch, also der Träger. Er kann Dritte mit dem Entwurf beauftragen, bleibt aber verantwortlich. Der Datenschutzbeauftragte berät auf Anfrage und überwacht die Durchführung (Art. 35 Abs. 2, Art. 39 Abs. 1 Buchst. c DSGVO). Nach dem DSG-EKD berät er und überwacht die Durchführung (§ 38 Nr. 5), nach dem KDG berät er auf Anfrage und unterstützt die Überprüfung (§ 38 Satz 3 Buchst. d).
Gibt es ein Muster oder eine Checkliste für die DSFA?
Das Gesetz schreibt weder Vorlage noch Methode vor, nur den Mindestinhalt (Art. 35 Abs. 7 DSGVO). Arbeitshilfen bieten das Kurzpapier Nr. 5 der DSK und die Arbeitshilfe des BfD EKD mit Checklisten für Vorprüfung und Ablauf. Der Europäische Datenschutzausschuss hat 2026 den Entwurf einer gemeinsamen Vorlage zur Konsultation gestellt und ermuntert Organisationen, ihn bis zur Endfassung zu nutzen; eine verbindliche EU-Vorlage ist nur vorgeschlagen.
Muss die DSFA veröffentlicht oder der Aufsicht geschickt werden?
Veröffentlichen muss der Verantwortliche sie nicht. Der Aufsicht legt er sie bei einer Konsultation nach Art. 36 oder auf Verlangen vor (WP 248, Abschnitt III.D.d).
Quellen
- Europäisches Parlament und Rat: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Amtsblatt L 119 vom 4. Mai 2016, Art. 4 Nr. 7, Art. 28 Abs. 3, Art. 35, 36, 39 und 83 Abs. 4, Erwägungsgründe 75, 90 und 91. Amtsblatt-Text beim Publikationsamt der Europäischen Union, abgerufen am 20. Oktober 2026.
- Bundesministerium der Justiz und für Verbraucherschutz: Bundesdatenschutzgesetz, § 38 Abs. 1. gesetze-im-internet.de, abgerufen am 20. Oktober 2026.
- Europäische Union: Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026 (Informationsfassung ohne Rechtswirkung), Art. 13, 26, 27, 111, 113 und Anhang III. Konsolidierter Text beim Publikationsamt der Europäischen Union, abgerufen am 20. Oktober 2026.
- Europäisches Parlament und Rat: Verordnung (EU) 2024/1689 (KI-Verordnung) im Wortlaut des Amtsblatts vom 12. Juli 2024, Art. 27 Abs. 4 in der früheren Fassung und Erwägungsgrund 96. Amtsblatt-Text beim Publikationsamt der Europäischen Union, abgerufen am 20. Oktober 2026.
- Europäisches Parlament und Rat: Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), Amtsblatt L vom 24. Juli 2026, Art. 1 Nr. 13 (Art. 27 Abs. 4 der KI-Verordnung), Nr. 39 (Art. 111 Abs. 2) und Bestimmung zum Inkrafttreten. Amtsblatt-Text beim Publikationsamt der Europäischen Union, abgerufen am 20. Oktober 2026.
- Europäische Kommission: Vorschlag COM(2025) 837 final vom 19. November 2025 (Digital-Omnibus zum Datenrecht), Art. 35 DSGVO in der vorgeschlagenen Fassung. Vorschlag beim Publikationsamt der Europäischen Union, abgerufen am 20. Oktober 2026.
- Europäisches Parlament: Legislative Observatory, Verfahren 2025/0360(COD). Verfahrensseite, abgerufen am 20. Oktober 2026.
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Liste der Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung durchzuführen ist, Version 1.1 vom 17. Oktober 2018, Nr. 3, 8, 11 und 13 sowie Hinweise. Muss-Liste als PDF, abgerufen am 20. Oktober 2026.
- DSK: Kurzpapier Nr. 5, Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO, Stand 17. Dezember 2018. Kurzpapier als PDF, abgerufen am 20. Oktober 2026.
- DSK: Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024, Rn. 38 bis 40 und Fußnote 2. Orientierungshilfe als PDF, abgerufen am 20. Oktober 2026.
- Artikel-29-Datenschutzgruppe: Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679, WP 248 rev.01, angenommen am 4. April 2017, zuletzt überarbeitet am 4. Oktober 2017, Abschnitte III.A bis III.D. Leitlinien als PDF, abgerufen am 20. Oktober 2026.
- Europäischer Datenschutzausschuss: Endorsed WP29 Guidelines, Eintrag Nr. 6 (WP 248 rev.01). edpb.europa.eu, abgerufen am 20. Oktober 2026.
- Verband der Diözesen Deutschlands: Gesetz über den Kirchlichen Datenschutz (KDG), Fassung des Beschlusses vom 24. November 2025, § 35, § 36, § 38 und § 51. PDF des Bistums Hildesheim, abgerufen am 20. Oktober 2026.
- Konferenz der Diözesandatenschutzbeauftragten der Katholischen Kirche Deutschland: Liste von Verarbeitungsvorgängen nach § 35 Abs. 5 KDG, Beschluss vom 26. Juli 2018, Abschnitt B und Nr. 1, 7, 9, 13 und 15. Liste als PDF, abgerufen am 20. Oktober 2026.
- Evangelische Kirche in Deutschland: EKD-Datenschutzgesetz (DSG-EKD), Bekanntmachung der Neufassung vom 15. Januar 2025 (Amtsblatt der EKD 2025 Nr. 1), in der ab 1. Mai 2025 geltenden Fassung, § 34, § 36, § 38 und § 45. kirchenrecht-ekd.de, abgerufen am 20. Oktober 2026.
- Der Beauftragte für den Datenschutz der EKD: Liste von Verarbeitungsvorgängen für eine Datenschutz-Folgenabschätzung, Version 1.0, Stand 28. November 2018, Abschnitt B und Nr. 2, 4 und 14. Liste als PDF, abgerufen am 20. Oktober 2026.
- Der Beauftragte für den Datenschutz der EKD: Beitrag vom 18. November 2024 zu Fehlern bei der Erstellung einer DSFA nach § 34 DSG-EKD. datenschutz.ekd.de, abgerufen am 20. Oktober 2026.
- Der Beauftragte für den Datenschutz der EKD: Arbeitshilfe zur Durchführung einer Datenschutz-Folgenabschätzung, Stand April 2020, Checklisten Vorprüfung und Ablauf. Arbeitshilfe als PDF, abgerufen am 20. Oktober 2026.
- Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg: Häufig gestellte Fragen zum Thema Datenschutz in der Pflege, Stand 20. Mai 2019, Frage 26. FAQ als PDF, abgerufen am 20. Oktober 2026.
- Bundeskanzler und Regierungschefinnen und Regierungschefs der Länder: Föderale Modernisierungsagenda, Beschluss vom 4. Dezember 2025, Abschnitt III Nr. 2.2. PDF der Staatskanzlei Rheinland-Pfalz, abgerufen am 20. Oktober 2026.
- Europäischer Datenschutzausschuss: Template for Data Protection Impact Assessment, Version 1.0 vom 10. März 2026 (Entwurf zur öffentlichen Konsultation vom 14. April bis 9. Juni 2026). Konsultationsseite und Erläuterung als PDF, abgerufen am 21. Oktober 2026.
- Evangelische Kirche in Deutschland: Kirchengesetz über die Mitarbeitendenvertretungen in der Evangelischen Kirche in Deutschland (MVG-EKD), Bekanntmachung der Neufassung vom 20. Januar 2024, zuletzt geändert durch gesetzesvertretende Verordnung vom 12. Dezember 2025, § 1 Abs. 1. kirchenrecht-ekd.de, abgerufen am 21. Oktober 2026.
- Bistum Hildesheim: Mitarbeitervertretungsordnung für das Bistum Hildesheim (MAVO) in der Fassung vom 1. Januar 2018, § 1a Abs. 1. PDF des Bistums, abgerufen am 21. Oktober 2026.
Christian Monat
Ich bin externer Datenschutzbeauftragter mit IHK-Abschluss und seit 2019 in Team- und Einrichtungsleitung im Sozialwesen tätig. Hier schreibe ich über Datenschutz, Schweigepflicht und den geregelten Einsatz von KI in der Sozialen Arbeit und Pflege. Mehr über mich
Der Beitrag erklärt die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
