Welche Tools helfen bei der DSFA wirklich?

Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch einen aufsichtsbehördlich vertretbaren Einsatz im Einzelfall. Entscheidend sind auch die konkrete Nutzung, ein AVV und interne Datenschutzprozesse. Ob ein Tool in deinem Fall passt, muss individuell geprüft werden.

Praxisregel: ✅ Ein Tool darf Vorlagen, Fragebögen und Erinnerungen liefern und die Dokumentation sauber halten. ✅ Die 9 Kriterien der Aufsichtsbehörden dürfen als Vorprüfung automatisiert abgefragt werden. ⚠️ Die Restrisiko-Bewertung bleibt Menschenarbeit. Bleibt trotz Maßnahmen ein hohes Risiko, ist vor Beginn der Verarbeitung die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO).

Wann ist eine DSFA überhaupt nötig?

Eine DSFA ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt. Art. 35 Abs. 3 DSGVO nennt dafür drei Regelbeispiele: eine systematische, umfassende Bewertung persönlicher Aspekte inklusive Profiling mit erheblicher Wirkung, die umfangreiche Verarbeitung besonderer Datenkategorien (Art. 9) oder strafrechtlicher Daten (Art. 10) und die systematische, umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Die Leitlinien WP248 rev.01 der europäischen Aufsichtsbehörden ergänzen das um neun Kriterien. Dazu zählen unter anderem biometrische und genetische Daten, die Verknüpfung von Daten aus mehreren Quellen, der Einsatz neuer Technologien wie KI und die Daten schutzbedürftiger Personen, etwa Kinder, Patienten oder Beschäftigte. Als Faustregel spricht laut WP248 rev.01 bei zwei oder mehr erfüllten Kriterien in der Regel viel für eine DSFA. Zusätzlich führen die Aufsichtsbehörden nationale Listen nach Art. 35 Abs. 4 DSGVO, die in Deutschland, Österreich und den übrigen EU-Mitgliedstaaten unterschiedlich ausfallen (Stand: 2026-09). Die Schweiz gehört nicht zur DSGVO, dort regelt das DSG (Art. 22) die DSFA.

Wichtig ist die Abgrenzung nach unten. Die Aufzählungen sind Anwendungsfälle, keine Branchenregeln. Ein Freelancer, der mit einem KI-Tool Texte ohne Personenbezug entwirft, löst damit in der Regel keine DSFA-Pflicht aus. Gesundheitsbezogene Angaben können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO darstellen. Ob die Verarbeitung „umfangreich“ ist, entscheidet der Einzelfall.

Welche KI-Tools können eine DSFA-Prüfung auslösen?

Die folgende Tabelle zeigt keine DSFA-Werkzeuge, sondern KI-Tools, die eine DSFA-Prüfung auslösen können. Werkzeuge folgen weiter unten. Wer Personendaten von Kunden oder Beschäftigten durch ein KI-Tool laufen lässt, muss zumindest prüfen, ob eine DSFA nötig wird. Die folgenden Tools sind in unserer Datenbank bewertet:

Tabelle seitlich scrollen →

Die Scores setzen sich in unserer Methodik aus sieben gewichteten Kategorien zusammen, darunter Auftragsverarbeitung, Drittlandtransfer und Datenspeicherung, und sind auf der Seite /methodik erklärt. Der niedrige Wert von DeepSeek bezieht sich ausschließlich auf Datenschutz und Compliance, nicht auf die Qualität der KI-Funktionen. Der kostenlose Plan eignet sich zum Ausprobieren ohne Personenbezug, für den geschäftlichen Einsatz mit Personendaten entsteht dagegen ein erheblicher zusätzlicher Prüfaufwand (Stand: 2026-10).

Auch ein hoher Score nimmt die DSFA-Frage nicht ab. Bei Microsoft 365 Copilot greift das Tool laut Produktbeschreibung auf Inhalte im Mandanten zu (Stand: 2026-10). Das gehört als konkreter Risikofaktor in die Vorprüfung, nicht als pauschales „DSFA erforderlich“. Bei ChatGPT Plus, einem Tarif für Einzelnutzer, entscheidet vor allem, was die Beschäftigten tatsächlich eingeben.

Was lässt sich automatisieren, was nicht?

Tabelle seitlich scrollen →

Das Muster ist eindeutig: Automatisierung hilft dort, wo Arbeit wiederholt und nachweisbar sein muss. Eine Risikomatrix liefert eine Zahl, aber ob ein Schaden „hoch“ ist, bewertet am Ende ein Mensch.

Relevante DSFA-Tools im Überblick

Hinweis: Diese Tools sind noch nicht vollständig in unserer Datenbank geprüft. Wir führen sie ohne Score und ohne Preis auf. Die Angaben beruhen auf den Anbieterseiten (Stand: 2026-09), Funktionsumfang und Preise bitte direkt beim Anbieter prüfen.

Tabelle seitlich scrollen →

Nach unserer Recherche (Stand: 2026-09) gibt es im DACH-Raum kaum ein DSFA-Werkzeug, das speziell auf KI-Tools für Freiberufler zugeschnitten ist. Die meisten Plattformen richten sich laut Anbieterseiten an Mittelstand und Konzerne.

Warum diese Ansätze?

Wer als Freelancer oder kleine Agentur ab und zu eine Verarbeitung dokumentieren muss, kennt das Problem: Eine Plattform mit Rollenmodell und Audit-Trail kostet mehr Einarbeitung, als die eigentliche Aufgabe verlangt. Hier kann eine Vorlage mit den gesetzlichen Pflichtinhalten genügen: Beschreibung, Notwendigkeit, Risiken, Maßnahmen.

Anders sieht es aus, wenn ein Betrieb mit zehn bis fünfzig Beschäftigten HR-Software, CRM und KI-gestützte Kundenanalyse gleichzeitig betreibt. Dann entstehen mehrere Verarbeitungen, die zu verschiedenen Zeitpunkten neu bewertet werden müssen. Mittelstands-Suites wie GlobalSuite Solutions oder TQG verbinden laut Anbieterseiten DSFA-Workflow, GAP-Analyse und Verarbeitungsverzeichnis (Stand: 2026-09). Der Nutzen liegt in der gemeinsamen Datenbasis, nicht in der Automatik der Bewertung.

Für Konzernstrukturen mit vielen Standorten und Fachabteilungen setzen Anbieter wie OneTrust an; für die Zielgruppe dieser Seite dient das nur der Einordnung.

Praxisbeispiel: Copilot im Steuerberaterbüro

Ein Büro mit zwanzig Beschäftigten möchte Microsoft 365 Copilot für Mails und Dokumente einführen. Die Vorprüfung fragt die neun Kriterien ab: Innovative Technologie trifft zu, die Verknüpfung von Daten aus Mails und Dokumenten kann zutreffen, Mandantendaten können sensibel sein, Beschäftigtendaten gehören zu den Daten schutzbedürftiger Personen. Bei zwei oder mehr Treffern spricht viel dafür, die DSFA vollständig durchzuführen.

Das Tool kann hier die Fragebögen bereitstellen, Ergebnisse versionieren und die Neubewertung terminieren. Welche Maßnahmen das Restrisiko senken, legt das Büro mit Beratung des Datenschutzbeauftragten fest. Bleibt trotz dieser Maßnahmen ein hohes Risiko, muss das Büro vor Beginn der Verarbeitung die Aufsichtsbehörde konsultieren (Art. 36 DSGVO); das kann kein Tool übernehmen. Bei Berufsgeheimnisträgern kommt eine gesonderte Prüfung nach § 203 StGB hinzu. Sie folgt nicht automatisch aus der Datenkategorie und lässt sich nicht durch eine DSFA ersetzen.

Kurz gesagt: Wenn Mandanten- oder Beschäftigtendaten in ein KI-Tool wandern, ist in der Regel sinnvoll: eine dokumentierte Vorprüfung, eine Einschätzung deines Datenschutzbeauftragten und eine Neubewertung, sobald sich der Einsatz ändert.

Häufige Fehler bei der DSFA-Automatisierung

Der erste Fehler ist, ein ausgefülltes Formular mit einer bestandenen Prüfung zu verwechseln. Die DSFA ist ein Denkprozess mit Ergebnis, nicht nur ein Dokument. Der zweite Fehler ist, die Vorprüfung zu überspringen: Viele Verarbeitungen brauchen keine DSFA, und wer alles mit Plattform-Aufwand erschlägt, verliert Zeit für die Fälle, die sie wirklich brauchen. Der dritte Fehler ist, die Neubewertung zu vergessen, obwohl sich der Einsatz eines KI-Tools durch neue Funktionen oder Datenquellen ändern kann.

Dazu kommt ein Missverständnis zur Regulierung. Der AI Act und die DSFA nach Art. 35 DSGVO sind getrennte Regelwerke. Die EU-KI-Verordnung hat ihre eigene Logik. Die Hochrisiko-Pflichten des Anhangs III wurden durch den Digital Omnibus, VO (EU) 2026/1744, auf den 2. Dezember 2027 verschoben (Stand: 2026-09). An der DSFA-Pflicht nach DSGVO ändert das nichts: Sie greift unabhängig davon, sobald die Tatbestandsmerkmale vorliegen.

Methodik

Die DSGVO-Scores stammen aus unserer Datenbank, sind Risikoeinschätzungen und auf /methodik erklärt. Tools ohne Score haben wir nicht bewertet. Keine Rechtsberatung, Stand 2026-10.

Fazit & Empfehlung

Wir empfehlen, nach Bedarf zu entscheiden; die Betriebsgröße ist nur eine Orientierung, entscheidend sind Komplexität und Risiko der Verarbeitungen. Freelancer und Solo-Selbstständige starten mit dem Kriterien-Check und einer Vorlage oder der kostenlosen CNIL-Software. Kleine Betriebe mit mehreren Verarbeitungen prüfen eine Mittelstands-Suite, sobald Dokumentation und Neubewertung zum Dauerthema werden. Konzern-Plattformen kommen für diese Zielgruppe nur bei entsprechendem Bedarf in Frage. Und wer vor allem KI-Tools einführt, beginnt mit der Frage, welche Daten tatsächlich hineinfließen.

Nächster Schritt: die Vorprüfung mit den neun Kriterien dokumentieren. Bleibt nach den geplanten Maßnahmen ein hohes Risiko, ist vor Beginn der Verarbeitung die Aufsichtsbehörde zu konsultieren (Art. 36 DSGVO); das ersetzt weder ein Tool noch die Beratung des Datenschutzbeauftragten. Ob eine DSFA im Einzelfall nötig ist, muss individuell geprüft werden.

Du willst nicht jeden Vertrag selbst prüfen? Unsere Tooltests zeigen pro KI-Tool: AVV, DPA, KI-Training, Cloud-Act-Risiko, DSGVO-Score.