Brauchen wir eine Datenschutz-Folgenabschätzung? Und wie sie abläuft, zum Beispiel bei KI

Wann die Pflicht greift

Die DSGVO verlangt eine Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der betroffenen Menschen mit sich bringt. Was das konkret heißt, haben die deutschen Aufsichtsbehörden in einer Liste festgelegt. Für die Sozialwirtschaft sind diese Auslöser die wichtigsten:

Eine Faustregel der europäischen Datenschutzbehörden: Treffen zwei Risikomerkmale zusammen, etwa sensible Daten und schutzbedürftige Menschen, ist eine Folgenabschätzung in der Regel nötig. In der Pflege, der Eingliederungshilfe und der Beratung ist das schnell der Fall.

Nicht jede Verarbeitung braucht eine. Die Gehaltsabrechnung oder ein Kontaktformular gehören meist nicht dazu. Wichtig ist, dass Sie die Prüfung dokumentieren, auch wenn das Ergebnis „nicht nötig“ lautet.

Bei einer KI-Einführung

KI steht ausdrücklich auf der Liste der Aufsichtsbehörden, wenn sie Menschen bewertet oder mit ihnen interagiert. Ob eine Folgenabschätzung nötig ist, hängt davon ab, was die KI zu sehen bekommt:

• Allgemeine Aufgaben ohne Personendaten, etwa Texte formulieren oder recherchieren: in der Regel keine Folgenabschätzung.
• Personenbezogene Daten im Einsatz, etwa Protokolle mit Namen oder Zusammenfassungen von Fallakten: genau prüfen.
• KI entscheidet mit, etwa bei Bewerbungen, Hilfebedarf oder Leistungsbewertung: Folgenabschätzung fast immer nötig.

Die Fragen, die bei KI dazukommen: Welche Daten landen in den Eingaben? Wo werden sie verarbeitet und wie lange gespeichert? Werden sie zum Training genutzt? Kann ein Mensch das Ergebnis prüfen und überstimmen? Wer KI für Entscheidungen über Menschen einsetzt, muss nach der KI-Verordnung ab Dezember 2027 in bestimmten Fällen zusätzlich die Folgen für Grundrechte abschätzen. Beides lässt sich in einem Durchgang erledigen.

So läuft sie ab, in 6 Schritten

1. Prüfen, ob sie nötig ist. Anhand der Liste und der Risikomerkmale. Das Ergebnis wird festgehalten, auch ein Nein.
2. Beschreiben, was passiert. Zweck, Daten, betroffene Menschen, Systeme, Empfänger, Datenflüsse. Wer ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten hat, ist hier schnell.
3. Prüfen, ob es nötig und angemessen ist. Geht es mit weniger Daten, kürzerer Speicherung, weniger Zugriffen?
4. Risiken aus Sicht der Betroffenen bewerten. Nicht „Was passiert mit unserem Server?“, sondern „Was passiert mit dem Menschen?“: Eine Diagnose wird bekannt, eine falsche Entscheidung trifft jemanden, Mitarbeitende fühlen sich überwacht. Jedes Risiko nach Eintrittswahrscheinlichkeit und Schwere.
5. Maßnahmen festlegen. Technisch und organisatorisch, mit Verantwortlichen und Termin. Danach das verbleibende Risiko bewerten.
6. Entscheiden und dranbleiben. Die Leitung entscheidet, ob das Vorhaben so starten kann. Der Datenschutzbeauftragte gibt vorher seine Einschätzung ab. Bleibt ein hohes Risiko, muss vor dem Start die Aufsichtsbehörde gefragt werden. Ändert sich das Vorhaben, wird die Folgenabschätzung nachgeführt.

Ein Beispiel: Tourenplanung mit Ortung im ambulanten Dienst

Ein Pflegedienst will die Touren seiner Mitarbeitenden mit Standortdaten planen, um Wege zu verkürzen und Notfälle schneller zu erreichen.

• Das Risiko: Aus den Standortdaten entstehen Bewegungsprofile. Sie könnten zur Leistungskontrolle genutzt werden, und Mitarbeitende fühlen sich beobachtet.
• Die Maßnahmen: Ortung nur während der Tour, nicht in Pausen und nach Dienstende. Keine laufende Standortanzeige für Vorgesetzte, nur für die Einsatzleitung im Notfall. Löschung nach wenigen Wochen. Auswertung nur für die Tourenplanung, nicht für Personalgespräche. Vereinbarung mit der Mitarbeitervertretung.
• Das Ergebnis: Mit diesen Maßnahmen ist das Restrisiko vertretbar. Die Leitung entscheidet, das System einzuführen, und legt eine Überprüfung nach einem Jahr fest.

Der Nutzen der Folgenabschätzung liegt hier nicht im Papier, sondern in den Maßnahmen. Sie machen die Einführung für die Mitarbeitenden annehmbar.

Woran Folgenabschätzungen scheitern

• Zu spät. Die Software ist gekauft, der Vertrag unterschrieben. Jetzt kann die Folgenabschätzung nur noch nachträglich begründen, statt mitzuentscheiden.
• Vom Anbieter übernommen. Viele Anbieter liefern eine Vorlage mit. Sie ist hilfreich, beschreibt aber das Produkt, nicht Ihren Einsatz, Ihre Daten und Ihre Menschen.
• Nur aus IT-Sicht. Firewalls und Verschlüsselung sind wichtig. Die Folgenabschätzung fragt aber nach den Folgen für die Menschen.
• Ohne Entscheidung. Ein Dokument ohne klares „Ja, mit diesen Maßnahmen“ der Leitung hilft niemandem.
• Nie wieder angeschaut. Neue Funktionen, neue Daten, ein neuer KI-Baustein: Dann muss die Folgenabschätzung mitwachsen.

In großen und regulierten Organisationen

• Eine Folgenabschätzung für gleichartige Vorhaben. Führt ein Verbund dieselbe Software in allen Einrichtungen ein, reicht eine gemeinsame Folgenabschätzung, wenn die Risiken gleich sind. Jeder Rechtsträger muss sie sich aber zu eigen machen.
• Betroffene einbeziehen. Wo es passt, werden die Betroffenen oder ihre Vertretung gehört: Mitarbeitervertretung, Betriebsrat, Bewohner- oder Klientenbeiräte. Das macht die Bewertung besser und die Einführung leichter.
• Kirchliche Träger. Katholische und evangelische Einrichtungen haben eigene Datenschutzgesetze. Auch dort ist die Folgenabschätzung Pflicht, nach weitgehend gleichen Regeln.
• Krankenhäuser. Klinische Systeme, Medizingeräte mit Datenanbindung und KI in der Diagnostik bringen fast immer eine Folgenabschätzung mit sich. Datenschutz, Informationssicherheit und Medizintechnik sollten sie gemeinsam erarbeiten.
• Gremien. Ob die Organisation ein verbleibendes Risiko in Kauf nimmt, entscheidet die Leitung. Vorstand und Aufsicht sollten die großen Folgenabschätzungen kennen, vor allem bei KI.

Wie Sie mit uns starten

Als externer Datenschutzbeauftragter unserer Linie Struktur & Compliance beraten wir bei jeder Folgenabschätzung und geben die Einschätzung ab, die das Gesetz vor dem Start verlangt: Einrichtung 1.900 €, danach 290 € im Monat bis 50 Beschäftigte, 490 € bis 250 Beschäftigte, darüber auf Anfrage. Steht ein einzelnes Vorhaben an, etwa eine KI-Einführung oder eine neue Dokumentation, erarbeiten wir die Folgenabschätzung mit Ihnen im Modul Datenschutz-Folgenabschätzung: 2.900 € je Vorhaben, 3.900 € bei KI oder mehreren beteiligten Systemen. Grundlage ist ein gepflegtes Verzeichnis; fehlt es, beginnen wir mit dem Modul Verarbeitungsverzeichnis und Löschkonzept.

→ Mehr zu Struktur & Compliance

Häufige Fragen

Vom Team der addonware GmbH, Bereich Struktur & Compliance. Stand: Oktober 2026.