DSFA-Muster für KI: Ihre Datenschutz-Folgenabschätzung in drei Schritten.
Beschreiben Sie Ihr KI-Projekt in drei kurzen Schritten. Das Muster erstellt daraus das Gerüst einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oder eine Checkliste für Ihren Auftragsverarbeitungsvertrag, mit Risiken und Maßnahmen, die zu Ihren Angaben passen.
Keine Rechtsberatung · Stand 13. Oktober 2026
Ihr Dokument zum Weiterbearbeiten.
Füllen Sie die drei Schritte oben aus. Hier erscheint dann Ihr Gerüst, mit Ihren Angaben, passenden Risiken und Maßnahmen und mit [Platzhaltern] für alles, was Sie noch ergänzen müssen.
Ergebnis per E-Mail
Optional: Wir schicken Ihnen das Ergebnis zu. Ihre Antworten bleiben sonst nur in Ihrem Browser.
Was ist eine DSFA, und was ein AVV?
Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
Sie bewerten vorab die Risiken einer Verarbeitung, die voraussichtlich ein hohes Risiko für Betroffene hat, und legen Maßnahmen fest. Die DSFA erstellen Sie als Verantwortlicher selbst.
Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Der Vertrag mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa einem Hosting- oder KI-Anbieter. Er regelt Weisungen, Sicherheit, Unterauftragsverarbeiter und Löschung.
Wann ist eine Datenschutz-Folgenabschätzung nötig?
Eine DSFA ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen hat. Bei KI ist das häufig der Fall: wenn Beschäftigten- oder Kundendaten in großem Umfang verarbeitet werden, wenn besondere Kategorien wie Gesundheitsdaten im Spiel sind oder wenn neue Technologien systematisch eingesetzt werden.
Die Datenschutzaufsichtsbehörden veröffentlichen Listen mit Verarbeitungen, für die eine DSFA immer nötig ist. Prüfen Sie diese Liste und dokumentieren Sie auch, wenn Sie zu dem Ergebnis kommen, dass keine DSFA nötig ist.
Die vier Teile einer DSFA nach Art. 35 Abs. 7.
Beschreibung
System, Zweck, Betroffene, Datenkategorien, Speicherdauer und Datenfluss.
Notwendigkeit
Rechtsgrundlage, Datenminimierung, Speicherbegrenzung und Betroffenenrechte.
Risiken
Was kann für die Betroffenen schiefgehen, wie wahrscheinlich und wie schwer?
Maßnahmen
Technische und organisatorische Maßnahmen, die die Risiken senken.
Vom Muster zur fertigen Datenschutz-Folgenabschätzung.
Das Muster füllt alles aus, was sich aus Ihren Angaben ergibt, und markiert den Rest als [Platzhalter]. Kopieren Sie den Text in Ihre Vorlage, ergänzen Sie Rechtsgrundlage, Bewertungen und weitere Maßnahmen und lassen Sie das Dokument von Ihrem Datenschutzbeauftragten prüfen. Betreiben Sie die KI selbst mit lokalem Modell, entfällt meist der AVV für die Plattform.
Fragen zur Datenschutz-Folgenabschätzung.
Wann muss eine Datenschutz-Folgenabschätzung erfolgen?
Immer dann, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen hat. Das gilt etwa bei umfangreicher Verarbeitung besonderer Kategorien, systematischer Überwachung oder neuen Technologien wie KI mit Personendaten. Die Listen der Aufsichtsbehörden nennen Fälle, in denen sie immer nötig ist.
Ist das DSFA-Muster rechtssicher?
Das Muster liefert die Struktur nach Art. 35 Abs. 7 DSGVO und typische Risiken und Maßnahmen für KI-Systeme. Rechtssicher wird die DSFA erst, wenn Sie die Platzhalter ergänzen, Risiken bewerten und Ihr Datenschutzbeauftragter das Dokument prüft. Das Muster spart Zeit beim Aufbau, ersetzt aber keine Beratung.
Was ist der Unterschied zwischen DSFA und AVV?
Die DSFA bewertet die Risiken einer Verarbeitung für die Betroffenen und erstellen Sie als Verantwortlicher selbst. Der AVV ist ein Vertrag mit einem Dienstleister, der Daten in Ihrem Auftrag verarbeitet. Bei einem KI-Projekt brauchen Sie oft beides: die DSFA für das Projekt und einen AVV mit jedem externen Anbieter.
Kann ich das Ergebnis in Word weiterbearbeiten?
Ja. Über die Schaltfläche „Text kopieren“ übernehmen Sie das Dokument mit Überschriften und Aufzählungen in Word oder Ihre DSFA-Vorlage. Alternativ schicken wir Ihnen das Ergebnis per E-Mail, wenn Sie das wünschen. Die gelb markierten Platzhalter zeigen, was Sie noch ergänzen oder bewerten müssen.
Brauche ich für RAGSuite einen AVV?
In der RAGSuite Engine verarbeiten wir Daten in Ihrem Auftrag, deshalb schließen Sie mit uns einen AVV. Betreiben Sie RAGSuite selbst und hat niemand außer Ihnen Zugriff auf personenbezogene Daten, ist für die Plattform kein AVV nötig. Für ein externes Sprachmodell brauchen Sie einen AVV mit dessen Anbieter.
Ihre DSFA steht, wir zeigen die Technik dahinter.
Gehen Sie die Maßnahmen mit uns durch: Löschfristen, Audit-Log und Datenfluss in der RAGSuite Engine oder auf Ihren Servern.