Bevor ein neues KI-Tool wie SE Ranking produktiv eingesetzt wird, verlangt die DSGVO in bestimmten Fällen eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO. Dieser Guide zeigt dir praxisnah, wie du eine DSFA für ein KI-Tool durchführst – strukturiert in 7 Schritten. Hinweis: Dieser Artikel ersetzt keine Rechtsberatung, Stand: 08/2026.
Was du brauchst
- Überblick über das geplante KI-Tool (z. B. SE Ranking) und seine Datenverarbeitung
- Zugriff auf das Verarbeitungsverzeichnis deines Unternehmens
- Ansprechpartner für Datenschutz (Datenschutzbeauftragter oder externe Beratung)
- Grundverständnis von personenbezogenen Daten
- Zeit für sieben strukturierte Arbeitsschritte
Zeitaufwand: ca. 3–6 Stunden, je nach Tool-Komplexität. Schwierigkeitsgrad: Mittel. Benötigte Rechte: Einblick ins Verarbeitungsverzeichnis, Abstimmung mit Datenschutzbeauftragtem.
Schritt 1: Schwellenwert-Prüfung – brauchst du überhaupt eine DSFA?
Prüfe zuerst, ob eine DSFA laut Art. 35 Abs. 1 und 3 DSGVO sowie den WP248-Kriterien der Aufsichtsbehörden verpflichtend ist. Typische Auslöser bei KI-Tools: automatisierte Bewertung oder Profiling von Personen, groß angelegte Verarbeitung, systematische Überwachung oder Verknüpfung sensibler Datensätze. Ein Tool wie SE Ranking, das Kunden- oder Lead-Daten automatisiert auswertet, fällt häufig darunter.
Häufiger Fehler: Die Prüfung erst nach dem Kauf statt vor der Einführung durchführen.
Danach weißt du, ob eine DSFA für dieses KI-Tool Pflicht ist.
Schritt 2: Team zusammenstellen und Verarbeitung dokumentieren
Bestimme, wer die DSFA durchführt: meist Fachabteilung, IT und Datenschutzbeauftragter gemeinsam. Dokumentiere schriftlich, welche Daten in das Tool fließen, zu welchem Zweck, und welche Personengruppen betroffen sind (z. B. Kunden, Mitarbeitende, Website-Besucher).
Häufiger Fehler: Nur die IT-Abteilung einbeziehen und den Datenschutzbeauftragten erst am Ende informieren.
Danach liegt eine schriftliche Verarbeitungsbeschreibung als Grundlage für die weiteren Schritte vor.
Schritt 3: Notwendigkeit und Verhältnismäßigkeit prüfen
Kläre, ob die Verarbeitung wirklich erforderlich ist (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO) und ob es weniger eingreifende Alternativen gibt. Prüfe zugleich, ob mit dem Anbieter ein AVV abgeschlossen werden kann – für SE Ranking direkt beim Anbieter erfragen (Stand: 08/2026).
Danach weißt du, ob Umfang und Zweck der Datenverarbeitung angemessen sind und ein AVV vorliegt.
Schritt 4: Risiken für Betroffene bewerten
Bewerte für jede identifizierte Gefahr (z. B. Fehlprofilierung, unbefugter Zugriff) Eintrittswahrscheinlichkeit und Schwere nach den WP248-Kriterien. Bei personenbezogenen Daten, die durch ein KI-Modell automatisiert ausgewertet werden, ist das Risiko einer Fehleinschätzung besonders zu berücksichtigen.
Häufiger Fehler: Risiken nur pauschal als “gering” einstufen, ohne konkrete Szenarien durchzuspielen.
Danach hast du eine dokumentierte Risikobewertung mit Einstufung je Szenario.
Schritt 5: Technische und organisatorische Maßnahmen (TOMs) festlegen
Definiere Maßnahmen, die die identifizierten Risiken senken: Verschlüsselung, Zugriffsbeschränkungen, Löschkonzepte, Protokollierung. Diese TOMs müssen konkret auf das jeweilige KI-Tool zugeschnitten sein, nicht generisch übernommen werden.
Danach liegt eine Liste konkreter Schutzmaßnahmen vor, die dem bewerteten Risiko entspricht.
Schritt 6: Restrisiko bewerten und ggf. Aufsichtsbehörde einbeziehen
Bewerte, welches Risiko nach Umsetzung der TOMs verbleibt. Bleibt das Restrisiko trotz Maßnahmen hoch, schreibt Art. 36 DSGVO eine vorherige Konsultation der zuständigen Aufsichtsbehörde vor, bevor die Verarbeitung startet.
Häufiger Fehler: Das Tool bereits produktiv nutzen, während die Konsultation noch aussteht.
Danach weißt du, ob du starten kannst oder vorher die Aufsichtsbehörde konsultieren musst.
Schritt 7: DSFA dokumentieren und Freigabe einholen
Fasse alle vorherigen Schritte in einem Dokument zusammen: Schwellenwertprüfung, Verarbeitungsbeschreibung, Notwendigkeitsprüfung, Risikobewertung, TOMs, Restrisiko. Hole die Freigabe von Geschäftsleitung und Datenschutzbeauftragtem ein.
Danach liegt eine vollständige, freigabereife DSFA-Dokumentation vor, die du bei Bedarf der Aufsichtsbehörde vorlegen kannst.
Checkliste: DSFA für dein KI-Tool abhaken
- Schwellenwert-Prüfung durchgeführt
- Team und Verantwortliche festgelegt
- Verarbeitung schriftlich dokumentiert
- Notwendigkeit und Verhältnismäßigkeit geprüft
- AVV mit dem Anbieter vorhanden oder angefragt
- Risiken für Betroffene einzeln bewertet
- TOMs definiert und dokumentiert
- Restrisiko nach TOMs bewertet
- Stellungnahme des Datenschutzbeauftragten eingeholt
- Freigabeentscheidung dokumentiert und unterschrieben
Häufige Fehler
- Zu spät starten: Die DSFA wird erst nach der Tool-Einführung nachgeholt statt vorher durchgeführt.
- Fachabteilung fehlt: Nur IT und Datenschutzbeauftragter arbeiten die DSFA aus, ohne die Nutzer des Tools einzubeziehen.
- AVV vergessen: Gerade bei KI-Tools mit automatisierter Auswertung wird die Prüfung eines Auftragsverarbeitungsvertrags übersprungen.
- Pauschale Risikobewertung: Risiken werden ohne konkrete WP248-Kriterien geschätzt statt einzeln durchgespielt.
- Keine Dokumentation: Die DSFA bleibt eine mündliche Absprache statt eines nachweisbaren Dokuments.
Ergebnis
Am Ende hast du eine vollständige, nachvollziehbare DSFA-Dokumentation für dein KI-Tool – inklusive Risikobewertung, Schutzmaßnahmen und Freigabeentscheidung. Das schafft die Grundlage, um die Einführung gegenüber Geschäftsleitung, Datenschutzbeauftragtem und im Zweifel der Aufsichtsbehörde zu begründen.
Beispiel: Eine Steuerkanzlei führt SE Ranking (DSGVO-Score 6.5/10 laut unserer Bewertung, ab 87,2 €/Monat) für automatisierte Keyword- und Kundendaten-Analysen ein. Nach den 7 Schritten liegen eine dokumentierte DSFA, ein geprüfter AVV sowie festgelegte TOMs vor – die Kanzlei kann die Einführung risikobewusst begründen.
Häufige Fragen
Wann ist eine DSFA für ein KI-Tool überhaupt Pflicht? Immer dann, wenn die Schwellenwert-Prüfung aus Schritt 1 ein hohes Risiko ergibt, etwa bei automatisiertem Profiling, systematischer Überwachung oder groß angelegter Verarbeitung sensibler Daten.
Wer muss die DSFA erstellen? Der Verantwortliche, also in der Regel das Unternehmen, das das KI-Tool einsetzt – meist federführend Fachabteilung und Datenschutzbeauftragter gemeinsam.
Was passiert, wenn ich keine DSFA durchführe, obwohl sie nötig wäre? Das ist ein Verstoß gegen Art. 35 DSGVO und kann bei einer Prüfung durch die Aufsichtsbehörde zu Bußgeldern führen, unabhängig davon, ob tatsächlich Schaden entstanden ist.
Kann ich die DSFA auch teilweise an einen externen Dienstleister auslagern? Ja, die inhaltliche Erstellung kann outgesourct werden, etwa an eine externe Datenschutzberatung. Die Verantwortung für die Freigabeentscheidung bleibt aber beim Unternehmen selbst.
Muss die fertige DSFA unterschrieben werden? Eine gesetzliche Formvorschrift gibt es nicht, in der Praxis empfiehlt sich aber eine dokumentierte Freigabe durch Geschäftsleitung und Datenschutzbeauftragten, damit die Entscheidung im Streitfall nachweisbar ist.