Datenschutz-Folgenabschätzung (DSFA) für KI-Agenten: Pflicht, Schwellenwerte und Schritt-für-Schritt-Vorgehen

Eine Datenschutz-Folgenabschätzung (DSFA, englisch DPIA) ist nach Art. 35 DSGVO verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Für KI-Agenten ist sie in der Praxis fast immer erforderlich, weil diese Systeme meist mehrere Risikokriterien zugleich erfüllen, etwa innovative Technologie plus Profiling, automatisierte Entscheidung oder die Kombination von Datensätzen aus mehreren Quellen.

Dieser Artikel ist Teil des Hubs „DSGVO-konformer AI-Agent-Einsatz" und liefert ein belastbares Schritt-für-Schritt-Vorgehen sowie eine Auslöser-Checkliste für DACH-Verantwortliche.

Schnellantworten

• Schwellenwert: Eine DSFA ist Pflicht, sobald ein hohes Risiko wahrscheinlich ist (Art. 35 Abs. 1). Art. 35 Abs. 3 nennt drei Regelfälle, Art. 35 Abs. 4 verpflichtet die Aufsichtsbehörden zu Muss-Listen, in Deutschland die DSK-Liste für den nicht-öffentlichen Bereich, in Österreich die DSFA-V der Datenschutzbehörde. In der Schweiz folgt die DSFA-Pflicht aus Art. 22 DSG; die DSGVO gilt dort nur, wenn Art. 3 Abs. 2 DSGVO greift.
• KI-Realität: KI-Agenten lösen wegen Profiling, automatisierter Entscheidung und innovativer Technologie nahezu immer eine DSFA-Pflicht aus.
• Verfahren: Die DSFA folgt einem dokumentierten Ablauf: Beschreibung der Verarbeitung als Pflichtbestandteil, dann Notwendigkeit/Verhältnismäßigkeit, Risikoidentifikation, Risikobewertung und Abhilfemaßnahmen. Bei hohem Restrisiko folgt die vorherige Konsultation nach Art. 36.

Was eine DSFA nach Art. 35 DSGVO ist

Art. 35 Abs. 1 DSGVO verpflichtet den Verantwortlichen zu einer DSFA, wenn eine Form der Verarbeitung, insbesondere bei Einsatz neuer Technologien, aufgrund von Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die DSFA ist damit ein vorgelagertes Risikomanagement-Instrument: Sie wird vor Verarbeitungsbeginn erstellt und dokumentiert, ob und wie Risiken beherrscht werden.

Wichtig: Der Verantwortliche (Controller) bleibt für die DSFA zuständig, auch wenn er den KI-Agenten nicht selbst entwickelt hat. Die DSK hält in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Version 1.0, 6. Mai 2024) fest, dass beim Einsatz von KI-Anwendungen vielfach eine DSFA erforderlich sein wird (Rn. 39). Ist der Verantwortliche nicht zugleich Anbieter des KI-Systems, ist er dafür auf Informationen des Anbieters zur Funktionsweise angewiesen (Rn. 40).

Wann die DSFA für KI-Agenten Pflicht wird

Art. 35 Abs. 3 nennt drei gesetzliche Regelfälle (Vermutungstatbestände):

1. Systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling mit erheblicher Wirkung.
2. Umfangreiche Verarbeitung besonderer Kategorien (Art. 9) oder von Daten über strafrechtliche Verurteilungen (Art. 10).
3. Systematische weiträumige Überwachung öffentlich zugänglicher Bereiche.

Zusätzlich verpflichtet Art. 35 Abs. 4 DSGVO die Aufsichtsbehörden, Listen der Verarbeitungen zu veröffentlichen, für die eine DSFA Pflicht ist. Für private Verantwortliche in Deutschland gilt die DSK-Muss-Liste für den nicht-öffentlichen Bereich (Version 1.1 vom 17. Oktober 2018), in Österreich die DSFA-V der Datenschutzbehörde (BGBl. II Nr. 278/2018). In der Schweiz folgt die DSFA-Pflicht aus Art. 22 DSG. Die DSGVO gilt für Schweizer Verantwortliche nur, wenn sie Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten dort beobachten (Art. 3 Abs. 2 DSGVO). Für KI-Agenten sind auf der DSK-Liste vor allem diese Einträge einschlägig:

• Einsatz von KI, die personenbezogene Daten verarbeitet, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten (Nr. 11), etwa im Kundensupport
• Zusammenführung von Daten aus mehreren Quellen in großem Umfang, wenn daraus Entscheidungen mit Rechtswirkung vorbereitet werden, etwa beim Scoring (Nr. 5), oder unbekannte Zusammenhänge gesucht werden (Nr. 10)
• Umfassende Profile über Interessen, Beziehungen oder Persönlichkeit (Nr. 9)
• Automatisierte Auswertung von Video- oder Audioaufnahmen zur Bewertung der Persönlichkeit (Nr. 13)
• Biometrische Identifizierung oder genetische Daten, wenn mindestens ein weiteres WP248-Kriterium zutrifft (Nr. 1 und 2)
• Umfangreiche Auswertung des Verhaltens von Beschäftigten zur Bewertung ihrer Arbeit (Nr. 8)

Die praktische Konsequenz: KI-Agenten lösen aufgrund eines oder mehrerer dieser Punkte fast immer eine DSFA-Pflicht aus.

Auslöser-Checkliste für KI-Agenten

Fällt die Verarbeitung unter einen Regelfall nach Art. 35 Abs. 3 oder steht sie auf einer Muss-Liste nach Art. 35 Abs. 4, ist die DSFA Pflicht. Für die übrigen Kriterien gilt nach den Leitlinien WP248 rev.01 als Faustregel: Ab zwei erfüllten Kriterien ist eine DSFA durchzuführen, im Einzelfall schon bei einem. Im Zweifel empfiehlt sich eine dokumentierte Vorab-Schwellenwertprüfung („threshold assessment"), die begründet, warum keine DSFA nötig wäre; dies adressiert die Rechenschaftspflicht nach Art. 5 Abs. 2.

Die DSFA-Methodik Schritt für Schritt

Die Beschreibung der Verarbeitung ist nach Art. 35 Abs. 7 lit. a DSGVO ein vorgelagerter Pflichtbestandteil jeder DSFA: eine systematische Darstellung des KI-Agenten samt Daten-Fluss-Diagramm, das jeden Personendaten-Hop abbildet (Nutzer → Agent-Runtime → Modell-API → Vektorspeicher → MCP-Server → Observability-Backend → Logs), dazu Systemarchitektur mit Sub-Prozessor-Karte und Rollen-Mapping (Verantwortlicher, gemeinsam Verantwortliche, Auftragsverarbeiter, Sub-Prozessoren mit ununterbrochener Kette nach Art. 28 Abs. 4).

Auf dieser Grundlage folgen die vier Kernschritte, die sich aus Art. 35 Abs. 7 lit. b bis d DSGVO ergeben. Sie decken sich mit den Leitlinien WP248 rev.01 der Artikel-29-Datenschutzgruppe, die der EDPB bestätigt hat. Das DSK-Kurzpapier Nr. 5 ordnet sie in einen Zyklus aus Vorbereitung, Durchführung, Umsetzung und Überprüfung ein:

1. Notwendigkeit und Verhältnismäßigkeit. Ist die Verarbeitung strikt erforderlich? Würden anonyme, pseudonyme oder synthetische Daten genügen? Sind Datenmenge und Speicherdauer minimiert? Konkret bei RAG: Indexierung pseudonymisierter Chunks und Minimierung der Kontext-Payloads.
2. Risikoidentifikation. Erfassung der KI-spezifischen Risiken (siehe nächster Abschnitt), bezogen auf die jeweiligen Betroffenengruppen.
3. Risikobewertung. Bewertung jedes Risikos nach Eintrittswahrscheinlichkeit mal Schwere.
4. Risikobehandlung und Restrisiko-Akzeptanz. Technische Maßnahmen nach Art. 32 (Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, Logging, Prompt-Injection-Abwehr), organisatorische Maßnahmen (Schulung, Governance) und vertragliche Maßnahmen (AVV-Klauseln) sowie die dokumentierte Akzeptanz des Restrisikos.

Erforderliche Konsultationsnachweise gehören dazu: die Stellungnahme des Datenschutzbeauftragten (Art. 35 Abs. 2), die Beteiligung des Betriebsrats bzw. der Personalvertretung, wo einschlägig (§ 87 BetrVG, österreichisches ArbVG, Schweizer Mitwirkungsregeln), sowie, wo durchführbar, die Anhörung betroffener Personengruppen (Art. 35 Abs. 9).

KI-spezifische Risiken im Risikoregister

Für KI-Agenten ist der Risikokatalog deutlich breiter als bei klassischer Datenverarbeitung. Die DSFA muss mindestens berücksichtigen:

• Halluzination: frei erfundene, aber plausible Personendaten; zugleich unrichtig (Art. 5 Abs. 1 lit. d) und Re-Identifikationsrisiko
• Bias und Diskriminierung in Scoring- und Ranking-Ausgaben
• Prompt-Injection, einschließlich mandantenübergreifender Angriffe, die fremde Daten extrahieren
• Memory-Leakage zwischen Sessions über geteilten Speicher oder System-Prompts
• Output-Regurgitation von Trainings-PII
• Scope-Creep und unbefugte Inferenz
• Daten-Exfiltration über Tool-Calls an undokumentierte Sub-Prozessoren
• Re-Identifikation über Embedding-Inversion: Embeddings sind nicht automatisch anonym und gelten als pseudonyme Personendaten
• Lieferketten-Risiko über den fünf- bis achtstufigen Sub-Prozessor-Stack

Die DSK-Orientierungshilfe RAG (2025) ergänzt zwei RAG-spezifische Risiken: Membership-Inference-Attacks und Data Poisoning. Die DSK-Publikation „Datenschutzrechtliche Anforderungen an KI-Systeme" (17. Juni 2025) liefert zusätzlich die operative Zuordnung zum Standard-Datenschutzmodell (SDM).

Konkretes Beispiel mit Zahlen: Customer-Service-Agent

Ein Mittelständler (800 Beschäftigte) in Österreich plant einen Kundenservice-Agenten auf Basis von Azure OpenAI. Pro Monat verarbeitet der Agent rund 40.000 Konversationen, davon enthalten schätzungsweise 30 Prozent (also etwa 12.000) identifizierende Kundendaten in Prompts. Eskalationsentscheidungen werden zunächst automatisiert vorbereitet.

In der DSFA wird das Risiko „Output-Regurgitation von Trainings-PII" mit Wahrscheinlichkeit „mittel" und Schwere „hoch" bewertet. Abhilfe: Output-Filter, Red-Team-Test auf Memorisierung, dokumentierte Interessenabwägung. Beim Risiko „Memory-Leakage zwischen Sessions" senkt eine strikte Mandanten-Isolation die Wahrscheinlichkeit von „mittel" auf „gering". Die Prompt-Aufbewahrung im eigenen System wird auf 30 Tage mit Redaktion vor dauerhafter Speicherung begrenzt. Dazu kommt die Missbrauchsüberwachung von Microsoft: Berechtigte Microsoft-Mitarbeiter können markierte Prompts und Antworten prüfen, bei Bereitstellungen im EWR sitzen sie im EWR. Mit genehmigtem „Modified Abuse Monitoring" entfällt diese menschliche Prüfung. Da jede folgenreiche Entscheidung an einen Menschen eskaliert und der Agent vorbereitet statt entscheidet, sinkt das Art.-22-Restrisiko auf ein akzeptables Niveau. Ergebnis: keine vorherige Konsultation nach Art. 36 erforderlich.

Vorherige Konsultation nach Art. 36

Bleibt nach allen Maßnahmen ein hohes Restrisiko, ist vor Verarbeitungsbeginn die Aufsichtsbehörde nach Art. 36 zu konsultieren. Im KI-Agenten-Kontext ist das selten, aber plausibel bei HR-Screening-Agenten mit erheblicher Wirkung auf Bewerber, bei autonomen Gesundheits-Triage-Agenten und bei Versicherungs-Underwriting-Agenten. Hält die Behörde die Verarbeitung für nicht DSGVO-konform, gibt sie innerhalb von bis zu acht Wochen schriftliche Empfehlungen; bei komplexen Verarbeitungen kann sie die Frist um sechs Wochen verlängern (Art. 36 Abs. 2 DSGVO). Nach Schweizer Recht gilt Art. 23 DSG: Der EDÖB teilt seine Einwände innerhalb von zwei Monaten mit, bei komplexen Bearbeitungen innerhalb von drei.

Integration mit der FRIA des EU AI Act

Für Deployer von Hochrisiko-Systemen nach Anhang III, die öffentliche Stellen oder private Anbieter öffentlicher Dienste sind oder in spezifizierten Domänen tätig sind, verlangt Art. 27 EU AI Act eine Grundrechte-Folgenabschätzung (FRIA). Für Anhang-III-Systeme gilt diese Pflicht erst ab 2. Dezember 2027: Der AI-Omnibus (Verordnung (EU) 2026/1744) hat die Hochrisiko-Pflichten aus Kapitel III Abschnitte 1 bis 3, zu denen Art. 27 gehört, vom 2. August 2026 auf dieses Datum verschoben. Art. 27 Abs. 4 erlaubt ausdrücklich, dass die FRIA die DSGVO-DSFA ergänzt und überlappende Inhalte wiederverwendet. Empfohlener Ablauf:

• Die DSFA zuerst (oder parallel) nach der DSGVO-Methodik durchführen.
• Um FRIA-spezifische Elemente erweitern: Auswirkungen auf Grundrechte über den Datenschutz hinaus (Nichtdiskriminierung, Würde, Meinungsfreiheit, wirksamer Rechtsbehelf), betroffene Personengruppen, Schäden, Aufsicht, Beschwerdemechanismen.
• Ein einziges zusammengeführtes Artefakt mit Querverweisen auf Art. 35 DSGVO und Art. 27 AI Act erstellen.

Hinweis zum Zusammenspiel: Das Recht auf Erläuterung der Entscheidungsfindung im Einzelfall nach Art. 86 EU AI Act steht Personen zu, die von einer Entscheidung auf Basis eines Hochrisiko-KI-Systems nach Anhang III (ausgenommen Nr. 2, kritische Infrastruktur) rechtlich oder ähnlich erheblich betroffen sind. Es greift nur, soweit das Unionsrecht, etwa die DSGVO, kein entsprechendes Recht vorsieht (Art. 86 Abs. 3). Art. 86 steht nicht in Kapitel III; seinen Geltungsbeginn am 2. August 2026 hat der AI-Omnibus nicht verschoben. Das Recht knüpft aber an Hochrisiko-Systeme nach Anhang III an, und deren Einstufung nach Art. 6 Abs. 2 gilt erst ab 2. Dezember 2027 (Art. 113 AI Act in der Fassung des AI-Omnibus). Ob Art. 86 vorher praktisch greift, ist offen.

Für Agenturen und B2B

Marketing-Agenturen und B2B-Anbieter, die KI-Agenten für Kunden ausrollen, sind häufig Auftragsverarbeiter. Dann liegt die DSFA-Pflicht beim Kunden als Verantwortlichem, die Agentur muss aber die belastbare Verarbeitungsbeschreibung und die Sub-Prozessor-Karte liefern. Das wird oft unterschätzt. Sind Agentur und Kunde gemeinsam Verantwortliche nach Art. 26 DSGVO, trägt die Agentur die DSFA-Pflicht mit. Wer bereits in der Angebotsphase ein DSFA-Template, ein Daten-Fluss-Diagramm und einen geprüften Maßnahmenkatalog mitbringt, verkürzt Freigabezyklen erheblich und reduziert die häufigste Audit-Beanstandung: ein Copilot- oder Agenten-Rollout ohne DSFA und ohne Betriebsrats-Konsultation. Blck Alpaca unterstützt DACH-Unternehmen dabei, die DSFA von der Schwellenwertprüfung bis zum zusammengeführten DSFA/FRIA-Artefakt aufzusetzen.

Rechtshinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die verbindliche Beurteilung einer konkreten KI-Agenten-Verarbeitung zieh bitte qualifizierten Rechtsrat und deine zuständige Aufsichtsbehörde heran.