Scoring
Bewertung von Bonität, Risiko, Leistung oder Verhalten.
DSFA
Viele KI-Projekte brauchen zuerst eine Risikoanalyse, nicht zuerst einen Prompt.
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wird relevant, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten verursacht.
Informationsguide, keine Rechtsberatung. Stand der Einordnung: 5. September 2026.
Auslöser
KI-Konstellationen mit DSFA-Nähe
Nicht jede KI braucht eine DSFA. Aber diese Muster sollten Alarm auslösen.
HR
Bewerberauswahl, Leistungsanalyse, Monitoring.
Kinder
Lernprofile, Förderbedarf, Minderjährigendaten.
Gesundheit
Diagnosen, Therapie, Befunde, psychische Daten.
Überwachung
Systematische Beobachtung von Verhalten oder Kommunikation.
Neue Technologie
Unklare Wirkungen, große Datenmengen, schwer erklärbare Modelle.
Rechtsquellen
Zitierte Gesetze und Behörden
Diese Seite verweist auf die zentralen offiziellen Quellen.
DSFA-Trigger
Wann der DPIA-Alarm angehen sollte.
Bewertung von Menschen
Scoring, Ranking, Prognosen, Auswahl oder Leistungsmessung.
Sensible Daten
Gesundheit, Biometrie, politische Meinung, Religion, Gewerkschaft, Minderjährige.
Großer Umfang
Viele Betroffene, systematische Auswertung, dauerhafte Profile oder Verhaltensbeobachtung.
Schwere Folgen
Job, Schule, Kredit, Versicherung, medizinische Versorgung oder Zugang zu Leistungen.
SEO-Erweiterung 2026
Konkrete Prüffragen für die Praxis.
Diese Fragen holen die Seite aus der allgemeinen Erklärung heraus und machen sie für Suchanfragen mit Handlungsabsicht stärker.
Was ist der konkrete Zweck?
Ein KI-Projekt braucht einen benennbaren Zweck: Support zusammenfassen, Bewerbungen vorsortieren, Dokumente analysieren oder Patientenkommunikation vorbereiten. Ohne Zweck keine saubere Rechtsgrundlage.
Welche Datenklasse ist betroffen?
Öffentliche Texte sind anders zu bewerten als Kundendaten, HR-Akten, Gesundheitsdaten, Schülerdaten oder Betriebsgeheimnisse. Die Datenklasse entscheidet über Toolfreigabe und Schutzmaßnahmen.
Welche Nachweise fehlen?
Fehlen AVV/DPA, TOMs, Subprozessorenliste, Löschfristen, Region, No-Training-Zusage oder Auditlogs, ist das Tool für sensible Daten nicht reif.
Wann wird gestoppt?
Stoppsignal: besondere Datenkategorien, Kinder, Beschäftigte, Scoring, automatisierte Entscheidungen, systematische Überwachung oder unklare Trainingsnutzung.
Praxisdetails
Was in der Dokumentation stehen sollte.
Eine kurze Datenschutzseite konkurriert in deutschen SERPs kaum mit IHK-, Kanzlei- oder Behördeninhalten. Deshalb braucht jede Schwerpunktseite konkrete Nachweise, Beispiele und Abbruchkriterien.
| Prüfpunkt | Warum er zählt | Gute Dokumentation |
|---|---|---|
| Zweck | DSGVO-Prüfung beginnt mit dem Zweck, nicht mit dem Toolnamen. | Ein Satz pro Use Case: Abteilung, Tool, Daten, Empfänger, Ergebnis. |
| Rechtsgrundlage | Ohne Art. 6 DSGVO ist Verarbeitung nicht tragfähig. | Begründung je Datenklasse; bei Art. 9 zusätzliche Ausnahme prüfen. |
| Betroffeneninfo | Menschen müssen verstehen, wann KI ihre Daten verarbeitet. | Datenschutzhinweis, interne Richtlinie, Kundeninformation, HR-Hinweis. |
| Sicherheit | Prompts, Dateien und Logs können personenbezogene Daten enthalten. | Rollen, Zugriff, Löschung, SSO, Auditlog, Subprozessoren, Region. |
| Menschliche Kontrolle | KI darf Entscheidungen über Menschen nicht unsichtbar automatisieren. | Review-Schritt, Verantwortliche, Korrekturweg, Widerspruchsmöglichkeit. |
Konkreter Vorteil für Rankings: Diese Details matchen Suchintentionen wie „DSGVO KI Checkliste“, „ChatGPT Datenschutz Unternehmen“, „DSFA KI Pflicht“ und „KI Tools datenschutzkonform prüfen“ deutlich besser als ein kurzer Überblick.